Een werknemer verlaat de firma: een ontslag, een welverdiend pensioen, een overstap naar een andere firma, enzovoort. Mag u als werkgever het professioneel e-mailadres van de vertrekkende persoon verder gebruiken (bv. om de continuïteit van het bedrijf te waarborgen)? Of moet u dit e-mailadres onmiddellijk afsluiten? De Gegevensbeschermingsautoriteit spreekt zich uit.

Voorwerp van de klacht

Het voorwerp van de klacht betrof een privé e-mail verstuurd naar een professioneel e-mailadres. De werknemer in kwestie had intussen de firma verlaten en had geen toegang meer tot zijn mailbox. De werkgever liet een antwoord versturen naar de afzender van het bericht met mededeling dat het e-mailadres zou ophouden te bestaan. Hoewel deze e-mail de verwijdering van het e-mailadres aankondigde, vormde dit ook het bewijs dat dit nog steeds niet was gebeurd. De werkgever had nog steeds toegang tot de mailbox (en tot persoonlijke e-mails).

Uitspraak

De Gegevensbeschermingsautoriteit oordeelde dat het e-mailadres en de mailbox beschouwd moeten worden als ‘persoonsgegevens’ van de ex-werknemer. Deze bevatten informatie die kunnen worden gelinkt aan een concrete identificeerbare persoon (de vertrekkende werknemer).  Dit betekent dat de privacywetgeving hierop van toepassing is.

Interessant aan deze uitspraak is dat de Gegevensbeschermingsautoriteit concreet aangeeft hoe de werkgever zich in dergelijke situatie moet gedragen:

• Uiterlijk op de dag van het vertrek van de werknemer moet er een automatisch bericht worden ingesteld. De ex-werknemer moet hiervan vooraf verwittigd worden.
• Dit automatische bericht waarschuwt alle volgende correspondenten dat de persoon niet meer actief is binnen het bedrijf en laat weten welke persoon in zijn plaats moet worden gecontacteerd (of bevat een link naar een algemeen e-mailadres).
• Dit automatisch bericht mag gedurende een redelijke periode actief blijven. De Gegevensbeschermingsautoriteit stelt daarbij een periode van 1 maand voorop. Afhankelijk van de context kan er ook een langere periode worden toegestaan, maar dit mag in principe niet langer zijn dan drie maanden.
• Na afloop van deze periode moeten het e-mailadres en de mailbox worden gewist.
• Indien gewenst, kunnen partijen onderling overeenkomen dat de vertrekkende werknemer nog gedurende een bepaalde periode toegang krijgt tot zijn mailbox.

De werkgever in kwestie had de werknemer niet geïnformeerd omtrent het verdere gebruik van zijn e-mailadres. Bovendien beging de werkgever een GDPR-inbreuk omdat hij het e-mailadres verder had gebruikt, o.a. voor het verzenden van e-mails aan externe personen. De mailbox werd door de IT-verantwoordelijke toegevoegd aan de mailbox van een andere werknemer. Deze laatste kon op die manier alle e-mails gericht aan de vertrokken werknemer lezen en beantwoorden.

Onbehandelde professionele e-mails

Uiteraard zal u als werkgever belangrijke professionele e-mails in de mailbox van uw werknemer willen recupereren. Omtrent dit punt heeft de Gegevensbeschermingsautoriteit in het verleden ook reeds richtlijnen meegegeven. De Gegevensbeschermingsautoriteit stelt dat het selecteren en doorsturen van dergelijke professionele e-mails moet geschieden vóór het vertrek en in aanwezigheid van de vertrekkende werknemer. In geval van een omstreden situatie kan een vertrouwenspersoon worden ingeschakeld.

Het is ten zeerste aangeraden dat u in uw arbeidsreglement of in een ICT policy de nodige richtlijnen en regels vastlegt met betrekking tot het gebruik van ICT hulpmiddelen en wat ermee zal gebeuren in geval van een ontslag of enige andere vorm van stopzetting van de samenwerking. Zodoende kunt u alvast heel wat discussies uit de weg gaan en bent u voorbereid op elke situatie.

Heeft u vragen? Wenst u bijkomende toelichting of overleg? Aarzel niet om mij te contacteren.