Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Bij mijn werkgever speelt momenteel een grotere reorganisatie, waarbij velen (waaronder ook ik) hun baan gaan verliezen. HR heeft alle medewerkers geïnstrueerd een automatische reply in te stellen met een tekst die erop neerkomt dat je er niet meer werkt en met wie de wederpartij contact moet opnemen.

Ik vind dit prematuur, omdat ik hier nog steeds werk en het collectief ontslag nog niet is goedgekeurd. Daarop heeft HR de accounts overgenomen (met hulp van IT) en het bericht zelf ingesteld. Ik kan niet meer bij mijn mail of bestanden en mijn contactpersonen lezen nu dat ik vanaf dd/mm hier niet meer werk. Kan dit zomaar?

Antwoord: Vragen als deze krijg ik vaak wanneer er iets met ict-systemen of persoonsgegevens gebeurt in de context van een reorganisatie of ontslag. Men wil daar bezwaar tegen maken en zoekt dan naar wetten die worden overtreden, want dat is een hele stevige om een punt mee te kunnen maken.

Het probleem is: situaties als deze zijn zeer specifiek, en de wet heeft daar geen pasklaar antwoord op. Bovendien is de oplossing lang niet altijd de zuiver juridische route. Dit maakt het erg lastig om vragen als deze te beantwoorden, maar laten we het toch proberen.

De kern van de vraag is dat het bedrijf een persoonsgebonden zakelijk account laat beheren door een ander persoon. Op zich is dat rechtmatig: die accounts zijn van het bedrijf, en het bedrijf bepaalt dus wat ermee gebeurt. Het bedrijf moet als goed werkgever wel rekening houden met de privacy, gegevensbescherming en andere belangen van de werknemer.

Een situatie waarin zo'n overname prima is, is als de werknemer ziek is en het werk door moet. Dan moet je in die mailbox kunnen om relevante mails op te duikelen. (Beter is natuurlijk dat er geen kritische informatie alleen in een mailbox zit, maar we hebben nog een lange weg te gaan hierin.) Mails _versturen_ uit die mailbox vind ik een stuk spannender, maar in een kleine organisatie verdedigbaar als het bedrijfsbelang groot is en de collega zich duidelijk kenbaar maakt: "Bedankt voor je mail aan Wim, hij is ziek maar ik Kees neem het over".

Hier gaat het meer om een conflict. De werkgever wil de klant tijdig informeren over de opvolging van deze Wim, en daar is zo'n automatische reply een standaardmanier voor. Voorschrijven dat je een dergelijke reply aanzet en met welke strekking is gewoon de instructiebevoegdheid van de werkgever, dus dat had Wim moeten doen. En ja, ook als het nog niet de laatste werkdag is: overdracht van werk kan en mag prima al eerder geregeld worden.

Het is alleen weer geen goed werkgeverschap om een onjuiste mededeling uit te laten gaan. Als Wim zijn ontslag er inderdaad nog niet door is, dan kun je hem niet verplichten "per dd/mm werk ik hier niet meer" in de mail te zetten. (Mogelijk weet HR meer dan Wim, maar dan is het weer zeer ongepast om op die manier Wim zijn ontslag aan te zeggen.)

Daar komt bij dat door deze handelwijze van HR Wim niet meer kan werken: zijn mail is ontoegankelijk, net als alle applicaties en bestanden die hij nodig heeft. Ik weet niet om wat voor reorganisatie het gaat, maar kan me moeilijk voorstellen dat Wim en collega's per direct overbodig zijn.

De beste koers lijkt me dan ook om op basis van deze onmogelijkheid om te werken een escalatie te doen: beste directeur, graag wil ik blijven werken, alleen heeft HR mijn account uitgezet dus ik kan niets doen. Ik hoor graag je oplossing.

Het zou kunnen dat de werkgever dan zegt, dat is helemaal goed je bent per direct vrijgesteld en we laten je weten hoe het verder gaat. Afdwingen dat je bij je account kan terwijl je die niet nodig hebt voor het werk, is niet mogelijk. Ik snap dat je dan relaties niet meer zelf kunt informeren, maar dat is een te klein belang om alsnog toegang te eisen.

Je kunt dit gebruiken als een opstap naar een discussie over de inhoud van de autoreply. Als het ontslag er inderdaad nog niet door is, dan is de mededeling prematuur en mogelijk schadelijk voor de reputatie van Wim.

In theorie is een kopie van je mailbox opeisen via de AVG mogelijk. Berichten van en naar jou zijn persoonsgegevens. Maar onduidelijk is of dat recht dan gaat over enkel de metadata "je kreeg op 3 maart een mail van Kees" of dat de volledige lap tekst van Kees er bij mag. Verder krijg je dan direct discussies over bedrijfsgeheimen en relatiebedingen, wat een enorme ruis in het toch al aanwakkerende bedrijfsconflict gaat geven. Ik zou deze route dus afraden.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.