Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Een directe collega heeft toegang tot de mailbox van onze teamleider/manager en kan mailtjes die wij dachten in prive/vertrouwen te sturen meelezen. Wij waren hier niet van op de hoogte gesteld. Mag dit zomaar en wat kan hier eventueel aangedaan worden als dit niet mag?

Antwoord: Ik ga er maar even vanuit dat deze directe collega met een legitieme reden die toegang heeft. Het lijkt me vanzelfsprekend dat als die collega tegen de regels in het wachtwoord kent, er iets goed mis is en de collega natuurlijk niet die mails mag lezen.

De vraag "mag dit zomaar" komt dan allereerst neer op "met welke reden heeft de collega toegang". Het gaat kennelijk niet om de assistent van de teamleider, gezien de bewoordingen "directe collega". Op zich zou het logisch zijn dat iemands assistent toegang heeft tot diens mailbox, dat hoort immers bij het assisteren.

Een ict-beheerder is vaak ook iemand die toegang heeft tot mailboxen vanuit zijn of haar werk. Dat is dan op zich ook legitiem. De vervanger van de teamleider kan ook redenen hebben om in de mailbox te willen, en zo kan ik nog wel even doorgaan.

Als iemand toegang heeft tot een mailbox, dan wil dat nog niet zeggen dat zhij dan alles mag met de inhoud. Het lezen en andere acties moet verbonden zijn met die taak. Een assistent mag dus meer dan een ict-beheerder, bijvoorbeeld.

Persoonsgebonden berichten vallen gewoonlijk buiten die taak, als jij specifiek iets aan teamleider Janny de Vries wil berichten dan behoort Willem de assistent daar niet in te kijken. In de context van e-mail is dit wat lastig in te regelen, praktisch kom je vaak niet verder dan in de onderwerpregel termen als "Strikt persoonlijk" of "Alleen voor jou" op te nemen. Encryptie met een sleutel waartoe de assistent of andere toeganghebber niet bevoegd is, zou nog mooier zijn.

Dan blijft als laatste nog de juridische achtervang over dat je geheimhouding hebt over duidelijk vertrouwelijke dingen die je in het kader van je werk tegenkomt. Dat geldt dus ook als er geen persoonsgebonden encryptie is gebruikt, en ook als de mail in de inbox stond en ook als er niet "strikt persoonlijk" in de onderwerpregel staat. Als na lezing duidelijk is dat dit een privébericht was, dan heb jij dus je mond (en screenshotknop) daarover te houden.

Natuurlijk is het in een werkrelatie vaak lastig om een collega ergens op aan te spreken, juist omdat je nog lang met die persoon zult moeten blijven werken. En als dit een persoon is die er weinig problemen mee heeft om (kennelijk) te roddelen over wat hij in die mailboxen leest, dan zal een goed gesprek ook weinig effect hebben. Dan blijft over het meer escaleren: vakbond of OR inschakelen, de teamleider hierop aanspreken als een groep, HR vragen hier wat van te vinden, een klacht bij de manager van de teamleider, zulke dingen.

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.