image

Juridische vraag: Mag baas uitgaand verkeer personeel monitoren

woensdag 7 april 2010, 10:58 door Arnoud Engelfriet, 8 reacties

Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: Steeds meer bedrijven en organisaties maken zich zorgen over het weglekken van gevoelige bedrijfsgegevens. Nu zijn er tools beschikbaar die alle in- en uitgaande communicatie kunnen monitoren en alarm kunnen slaan. Zo kan bijvoorbeeld worden gedetecteerd dat iemand bepaalde bedrijfsgeheimen naar buiten mailt, dan wordt alarm geslagen en de mail naar het management als bewijs doorgestuurd. Maar mag dat allemaal wel van de privacywet? Het voelt als de omgekeerde wereld: iedereen fouilleren omdat er wellicht iemand iets fout zou doen.

Antwoord: Ook op het werk heb je recht op privacy. Niet zo veel als thuis, maar wel degelijk "enige" privacy. Wil je werkgever daar inbreuk op maken, dan moet hij aantonen dat deze inbreuk noodzakelijk is voor de bedrijfsbelangen én dat er geen minder inbreukmakende manier is om die bedrijfsbelangen te dienen. En als het bedrijf een OR heeft, dan is de werkgever verplicht om hun instemming te vragen alvorens een privacybeperkende maatregel in te voeren.

Het monitoren van netwerkverkeer kán een privacyschending zijn. Het hangt er wel vanaf hoe je het doet. Een geautomatiseerd spamfilter dat verdachte bijlages weggooit, is geen privacyschending. Als er geen mens is die kennisneemt van de inhoud van die bijlages, zie ik niet hoe je privacy geschonden kan worden. Maar een mens van alles laten monitoren mag niet zomaar.

Een filter dat scant op woorden of iets dergelijks uit een database met bedrijfsgeheimen lijkt me in dezelfde lijn als een spamfilter. Het verschil is hier wel dat alle verdachte mails doorgestuurd worden naar een mens, en dat lijkt me op het eerste gezicht wel een privacyschending op te leveren. Ik zou dat dus niet zo doen. Waarom niet de mails gewoon terugkaatsen met een verwijzing naar het bedrijfsreglement over vertrouwelijke informatie?

Inderdaad is iedereen fouilleren omdat er mogelijk iemand iets naar buiten smokkelt, in het algemeen niet aanvaardbaar. Pas bij een concrete aanleiding zou je dat mogen doen, en dan ook nog eens alleen voor korte tijd en specifiek ergens op gericht. Bij een beursgenoteerd bedrijf zou dat wellicht de weken voor publicatie van de jaarcijfers kunnen zijn, omdat het echt een groot probleem is als die naar buiten lekken.

Bovendien: iemand die de informatie naar buiten wil smokkelen, heeft genoeg middelen om het filter te misleiden. Ik zou met zo'n filter dus vooral false positives verwachten, en dat is onaanvaardbaar vanuit privacyoogpunt.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".

Reacties (8)
07-04-2010, 14:58 door Anoniem
In mijn ogen als een bedrijf de juiste stappen heeft genomen geen schending van privacy:
Bij een hoop bedrijven is dit nl ondervangen in de getekende overeenkomst, personeelshandboek, NDA of dmv het scherm met boodschap welke je krijgt bij het inloggen.
Hierdoor geef je als werknemer het bedrijf toestemming om deze acties te ondernemen.

Dus ook het fysiek naar buiten smokkelen op welke manier is hierdoor geen privacy schending maar uitvoering van de huisregels van het bedrijf.
Waar de werknemers zelf voor hebben getekend!

Roept misschien wel de volgende vraag op:
In hoeverre is een NDA of juridische melding vooraf bij het inloggen op het bedrijfsnetwerk rechtsgeldig?
07-04-2010, 17:22 door Anoniem
Ik denk dat een bedrijf,als je bijvoorbeeld even in de pauze op de pc van het bedrijf een mailtje aan iemand stuurt,dat wel wordt geregistreerd,maar de inhoud dat mag de werkgever niet lezen.
Je mag best wel eens iemand een mailtje sturen die je kent van je vrienden op je werk,alleen niet te vaak.
Als hij wel de inhoud leest is hij wel in overtreding van de privacyregels van de werknemer.
Kijk een werkgever mag er wel wat van zeggen als je te vaak websites bezoekt of te vaak chat op msn tijdens het werk.
Want er moet productiviteit worden geleverd.
Als je wil chatten met iemand moet je maar thuis internet of een pc aanschaffen.
Opzicht is dat wel logisch.
08-04-2010, 14:57 door Anoniem
@ A. Engelfriet.


Hoewel ik heel vaak onder de indruk ben van je stellingen en manier van uitleggen met voorbeelden ben ik het in dit geval wel eens met je uitleg, maar niet eens met de wet.

Ik ben niet juridisch geschoold, derhalve heb ik slechts mijn verstand om op te vertrouwen;

Zolang je in dienst bent van een werkgever (en onder werktijd) en/of gebruik maakt van de bedrijfsmiddelen van een werkgever vindt ik dat je de morele plicht hebt om alles in het werk te stellen om je werk te doen. Privé dingen regel je maar in privé tijd. Controle hierover berust bij de werkgever die immers door het bedrijfsbelang voorop te stellen ook het inkomen van de andere werknemers bewaakt. Indien dit in gevaar (kan) komen omdat iemand zo nodig prive-emails zit te sturen of bedrijfsgeheimen aan het lekken is komt immers ook het (gezins)inkomen van de collega's in gevaar. Controle hierover onder werktijd en op de werkplaatsen mag in mijn ogen dan ook in de breedste zin van het woord.
Begrijp me niet verkeerd, ik ben geen voorstander van slavenarbeid in meer of mindere mate, de tijd van de zweep ligt gelukkig ver achter ons (hier toch....). Respect voorop voor mens en dier.

Ik vindt het echter anders worden indien de veiligheid van bedrijfsbelangen onder werktijd moedwillig in gevaar kunnen, of in gevaar wordt gebracht. Vertrouwen is goed, controleren is beter. Ik heb er daarom geen enkele moeite mee dat een persoon alle emails en communicatie mag en kan controleren die onder de paraplu van een wettelijk arbeidscontract worden verstuurd of ontvangen. Ik vindt dit zelfs logisch. Wellicht dat dit weer een verhaal wordt van huisregels en andere bijkomende regeltjes waar Nederland zo goed in is, maar ik vindt het een kwestie van logica. Als het zwart-wit gesteld wordt zoals hierboven vindt ik dat de werkgever wel degelijk mag en kan controleren. Sterker nog, hij moet wel om de belangen van anderen (inderdaad waaronder zichzelf ook) te kunnen beschermen. Als je werkt kan en mag je gecontroleerd worden. Onder werktijd werk je, onder privétijd moet je het zelf maar weten. Hier moet de controle van de werkgever ook duidelijk stoppen.
Misschien dat je uitleg van de wet dus goed is, alleen deugt de wet dan niet (hij strookt in ieder geval niet met mijn boerenverstand hihihi).

Ik besef heel goed dat je hiermee niet het lekken van bedrijfsgeheimen onmogelijk maakt, maar het wordt wel moeilijker gemaakt.Op deze manier zijn er meer momenten waarop een potientele lekker zichzelf kan afvragen of wat hij doet in orde is. Ook zodat de werkgever later de schuld niet kan krijgen (en de claim) waarbij de lekkende werknemer zegt: "Het is de schuld van de werkgever, hij heeft het immers zo makkelijk gemaakt".

Als je uitleg van de wet correct is heb je misschien de morele plicht om deze wet aan te pakken (als jurist). Dit is immers de morele verplichting die bij je werk komt kijken................Het lijkt me immers sterk dat een spamfilter net zo goed "tussen de regels" kan lezen en op deze manier bedrijfsspionage kan ontdekken. Daarnaast breek je misschien privacywetten door teveel woorden erin op te nemen. Welke mogen wel en welke niet? Glad ijs in mijn ogen om je hierover uit te laten. Het is daarom in ieders belang om de wet zodanig op te stellen dat hierover duidelijkheid bestaat. Het makkelijkst is daarom wel of geen controle. Zo weet iedereen waar hij aan toe is. En volgens mij hebben wetsmakers de morele verplichting dit te doen. Dit wordt door de bevolking overgelaten aan experts zoals (jij en) de politiek. Stel je voor dat iemand jou aansprakelijk stelt wegens nalatigheid om dit aan te pakken. Een net zo omgekeerde wereld als je artikel?


Het Orakel
08-04-2010, 16:49 door SirDice
Door Anoniem: Ik denk dat een bedrijf,als je bijvoorbeeld even in de pauze op de pc van het bedrijf een mailtje aan iemand stuurt,dat wel wordt geregistreerd,maar de inhoud dat mag de werkgever niet lezen.
Bij een van mijn vorige werkgevers mocht je dit gewoon altijd. De enige voorwaarde was dat er "PRIVE" in het onderwerp stond. Deze emails mocht ik niet inzien, de rest was "fair game".
08-04-2010, 16:54 door SirDice
Door Anoniem: @ A. Engelfriet.


Hoewel ik heel vaak onder de indruk ben van je stellingen en manier van uitleggen met voorbeelden ben ik het in dit geval wel eens met je uitleg, maar niet eens met de wet.

Ik ben niet juridisch geschoold, derhalve heb ik slechts mijn verstand om op te vertrouwen;

Zolang je in dienst bent van een werkgever (en onder werktijd) en/of gebruik maakt van de bedrijfsmiddelen van een werkgever vindt ik dat je de morele plicht hebt om alles in het werk te stellen om je werk te doen. Privé dingen regel je maar in privé tijd. Controle hierover berust bij de werkgever die immers door het bedrijfsbelang voorop te stellen ook het inkomen van de andere werknemers bewaakt. Indien dit in gevaar (kan) komen omdat iemand zo nodig prive-emails zit te sturen of bedrijfsgeheimen aan het lekken is komt immers ook het (gezins)inkomen van de collega's in gevaar. Controle hierover onder werktijd en op de werkplaatsen mag in mijn ogen dan ook in de breedste zin van het woord.
Begrijp me niet verkeerd, ik ben geen voorstander van slavenarbeid in meer of mindere mate, de tijd van de zweep ligt gelukkig ver achter ons (hier toch....). Respect voorop voor mens en dier.
Nu ben ik ook niet juridisch geschoold maar ik heb altijd begrepen dat als een werkgever een werknemer 'onbeperkt' internet en email ter beschikking geeft dat deze werkgever dan ook moet accepteren dat dit voor privé doeleinden gebruikt kan en mag worden. Uiteraard wel binnen perken, net zo goed als dat je ook best een privé telefoontje mag plegen met de telefoon die op je bureau staat.
11-04-2010, 18:05 door Anoniem
@ SirDice

Ik vindt juist dat een werkgever GEEN onbeperkt internet en telefoongebruik aanbiedt op het moment dat dit niet in de 1045 pagina's van de huisregels vermeldt staat over wat wel en niet mag. Als dit wel zo zou zijn, dan moet het expliciet vermeldt worden en is overleg met de OR niet noodzakelijk. Waar ligt anders de grens, moet ik misschien ongevraagd de bedrijfsmercedes pakken om een pakje kauwgom te halen in Duitsland? Waar ligt deze grens? Mag je wel naar een sexlijn bellen? Of naar je oma in Australië? Of naar de apotheek om een middel te halen zodat je niet met ziekteverlof hoeft?

Wie bepaalt de grens? Blijkbaar de overheid, laat ze hierin dan ook heel duidelijk in zijn. Ik ben echter van mening dat dit gewoon op dit moment niet goed geregeld is. Blijkbaar mag je wel filteren op woorden, maar er staat niet bij welke woorden. Blijkbaar mag je wel bellen, maar niet naar Australië. Dit is geen wet, dit is een richtlijn die bij elke handeling onderhevig is aan situatie en humeur van een rechter. Ik vel geen oordeel over rechters, zij moeten elke zaak toetsen aan de wet. Ik heb kritiek op de wet.

Voor mij is een wet:

Het is op geen enkele wijze toegestaan bedrijfsmiddelen of bedrijfstijd te gebruiken voor privédoeleinden tenzij een werkgever hierop schriftelijke uitzonderingen maakt. Controle hierop mag door de werkgever in de breedste zin van het woord gebeuren en met alle bedrijfsmiddelen (ook menselijke of dierlijke) die hij/zei noodzakelijk acht.


Kort en duidelijk. Iedereen weet waar hij aan toe is. Blijkbaar is de huidige wet een doos bonbons, je weet nooit wat je gaat tegenkomen. Maar laten we vooral met de bonden (werknemers en werkgevers) lekker uren vergaderen. Zijn we toch zo goed in Nederland. We weten zelf niet meer wat er wel en niet meer mag omdat huidige wetten niet stroken met verstand.

Vergelijk het met een leraar die een leerling betrapt op gebruik van een spiekbriefje. Vervolgens wordt de leraar, school en ministerie aangeklaagd wegens breuk in privacy. Hij keek immers rond om te controleren op het goede verloop van het examen. Foei hoor leraar, mag niet.
11-04-2010, 18:46 door Anoniem
Toen ik jaren geleden als vakantiekracht op een groot distributiecentrum werkte waren daar bij de uitgang poortjes die random mensen selecteerden die vervolgens hun zakken mochten leeghalen.
13-04-2010, 10:38 door Anoniem
Als ik als werkgever niet meer mag bepalen hoe mijn werknemers met zaak-apparatuur omgaan en alles maar aan de privacy wetgeving wordt opgehangen, dan vergaat mij de lust tot ondernemen echt wel en stop ik ermee. Wij worden veel te veel aan banden gelegd als werkgevers. WIJ zijn de baas, natuurlijk ook binnen bepaalde grenzen. Ik betaal het salaris voor 40 uur en niet voor 35 uur! In veel gevallen zit met tussen door uren voor zichzelf te werken en daar pas ik voor. En het lekken van bedrijfsgeheimen doe je normaliter niet met e-mail enz. omdat dat altijd tegen je gebruikt kan worden. Dat doe je beter in de prive-sfeer of het beruchte cafe. Wordt het mailen en internetten te gek, dan grijp ik in!
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.