Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: De proxyserver bij ons bedrijf logt exact wie welke pagina's opvraagt. Wij gebruiken dit voor het oplossen van technische problemen, meer niet. Management krijgt wel anonieme statistieken. Nu is er een probleem gerezen met een werknemer en is men bij ons komen vragen of er een gedetailleerde rapportage kan worden gemaakt van het surfgedrag van deze persoon. Mogen wij dit geven?

Antwoord: Het monitoren van internetverkeer op niveau van individuele gebruikers valt onder de Wet bescherming persoonsgegevens. Als bedrijf mag je eigenlijk alleen doen als het loggen absoluut noodzakelijk is voor een bedrijfsbelang én dat bedrijfsbelang zwaarder weegt dan de privacy. Het bedrijf moet bewijzen dat beiden zo zijn, en met name dat "weegt zwaarder dan de privacy" kom je niet snel aan.

Eigenlijk ontkom je er niet aan om standaard alléén op geanonimiseerd niveau te loggen, en pas individuele logs aan te zetten bij een concreet vermoeden van misbruik zoals vastgelegd in het IT-reglement. Heb je geen IT-reglement, dan heb je dus een probleem.

Is er een technische reden waarom je moet loggen op individueel niveau, dan is dat prima, maar dan mogen de logs enkel en alleen voor die technische reden worden ingezet. Pas nadat apart is gebleken dát er een concreet zwaarwegend bedrijfsbelang is (zie het reglement) én afgifte van de logs op die werknemer is absoluut noodzakelijk om dat bedrijfsbelang te dienen (er is geen andere optie) dan mag je die logs gebruiken.

Het IT-reglement legt vast wie om deze logs mag vragen en onder welke omstandigheden. Het is dus niet zo dat er altijd een schriftelijk dienstbevel van de directie moet zijn, bijvoorbeeld. De regels over afgifte bepaalt de directie, maar als die vindt dat een afdelingshoofd de bevoegdheid moet hebben, dan mag dat.

Ook moet het reglement voorzien in het beoogde gebruik. Staat in dat IT-reglement dat je logt voor beveiliging en tegen diefstal van bedrijfsgeheimen, dan mag je logs niet gebruiken om een slecht functionerende werknemer aan te spreken. Alleen als hij beveiligingsincidenten veroorzaakt of vermoedelijk bedrijfsgeheimen steelt zou je hem kunnen aanspreken. Het reglement moet dus voorzien in "disfunctioneren" of iets dergelijks als grond om te gaan monitoren.

Het reglement moet bij alle werknemers bekend gemaakt worden (maar ze laten tekenen hoeft niet, het is een eenzijdige instructiebevoegdheid). Is er een OR, dan heeft deze instemmingsrecht.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.