Gebruik van internet en e-mail op de werkvloer

Beperkt controle­recht van de werkgever

De werkgever mag het gebruik controleren van de IT-middelen die aan de werknemers ter beschikking worden gesteld in het kader van de uitvoering van het werk. Deze controle is echter strikt omkaderd door de principes van de GDPR en door cao nr. 81. In een context waarin de mogelijkheden tot digitale controle toenemen, is het essentieel om uw rechten te kennen. Elk misbruik van toezicht kan worden betwist.

Wat bepaalt cao nr. 81?

Informatie en raadpleging

Werknemers moeten vooraf (collectief en/of individueel) op de hoogte gesteld worden van alle aspecten van de controle en het beleid inzake het (niet) toegelaten gebruik van de online-communicatiemiddelen.

De geïnstalleerde controlesystemen moeten regelmatig geëvalueerd worden, naar gelang het geval in de ondernemingsraad, het comité voor preventie en bescherming op het werk of met de vakbondsafvaardiging, met het oog op voorstellen om ze aan te passen aan de technologische ontwikkelingen.
 

Doelbinding

De controle op de elektronische online-communicatiegegevens van werknemers is maar toegestaan mits een of meer van de volgende doeleinden worden nagestreefd:

• het voorkomen van ongeoorloofde of lasterlijke feiten, feiten die strijdig zijn met de goede zeden of de waardigheid van een andere persoon kunnen schaden;
• de bescherming van de economische, handels- en financiële belangen van de onder- neming die vertrouwelijk zijn alsook het tegengaan van ermee in strijd zijnde praktijken (bv. verspreiding van bestanden, schending van zakengeheimen, met inbegrip van onderzoek en ontwikkeling, productieprocessen en alle mogelijke vertrouwelijke gegevens);
• de veiligheid en/of de goede technische werking van de IT-netwerksystemen van de onderneming, met inbegrip van de controle op de kosten die ermee gepaard gaan, alsook de fysieke bescherming van de installaties van de onderneming;
• het te goeder trouw naleven van de in de onderneming geldende beginselen en regels voor het gebruik van online technologieën.

Individualisering

De controle gebeurt aanvankelijk enkel op globaal niveau, d.w.z. zonder dat deze gelinkt kan worden aan een individuele werknemer. Pas in een tweede fase kan bij de vaststelling van een inbreuk de controle geïndividualiseerd worden.

De individualisering van de elektronische online-communicatiegegevens gebeurt, naargelang het doel van de door de werkgever geïnstalleerde controle:

• in het kader van een directe procedure
• in het kader van een indirecte procedure (met alarmbelprocedure).
   

Directe procedure

De directe individualisering van de elektronische online-communicatiegegevens is toegestaan als de controle één of meer van de volgende doeleinden nastreeft:

• het voorkomen van ongeoorloofde of lasterlijke feiten, feiten die strijdig zijn met de goede zeden of de waardigheid van een andere persoon kunnen schaden;
• de bescherming van de economische, handels- en financiële belangen van de onderneming die vertrouwelijk zijn alsook het tegengaan van ermee in strijd zijnde praktijken (bv. verspreiding van bestanden, schending van zakengeheimen, met inbegrip van onderzoek en ontwikkeling, productieprocessen en alle mogelijke vertrouwelijke gegevens);
• de veiligheid en/of de goede technische werking van de IT-netwerksystemen van de onderneming, met inbegrip van de controle op de kosten die ermee gepaard gaan, alsook de fysieke bescherming van de installaties van de onderneming;

Een werkgever die in het kader van een globale (anonieme) controle voor de hier opgesomde doeleinden een onregelmatigheid vaststelt, heeft de mogelijkheid om in het licht van de algemene gegevens waarover hij beschikt, direct over te gaan tot een individualisering van de elektronische online-communicatiegegevens, teneinde de identiteit van de verantwoordelijke persoon of personen te kunnen opsporen.
 

Indirecte procedure

Wanneer de controle het te goeder trouw naleven van de in de onderneming geldende beginselen en regels voor het gebruik van online technologieën nastreeft, is de individualisering maar toegestaan mits een voorafgaande voorlichtingsfase wordt in acht genomen.

De voorlichting heeft tot doel de werknemer(s) op een duidelijke en begrijpelijke wijze in te lichten over het bestaan van de onregelmatigheid en over het feit dat de elektronische online-communicatiegegevens geïndividualiseerd zullen worden wanneer opnieuw een dergelijke onregelmatigheid wordt vastgesteld.

De voorlichting moet erin bestaan dat de in de onderneming vastgestelde beginselen en regels in herinnering worden gebracht of worden gepreciseerd, zodat een nieuwe onregelmatigheid van dezelfde aard voorkomen wordt.

Pas bij een nieuwe schending na deze voorlichting is individualisering toegestaan.

De werknemer die bij toepassing van de procedure van indirecte individualisering verantwoordelijk wordt gesteld voor een onregelmatigheid bij het gebruik van de elektronische online communicatiemiddelen, wordt door de werkgever uitgenodigd voor een gesprek.

Dit gesprek heeft plaats voor iedere beslissing of evaluatie die de werknemer individueel kan raken.

De beginselen van de GDPR

Naast cao nr. 81 moet de werkgever ook de GDPR‑beginselen naleven:

• Doelbinding: gegevens mogen enkel worden verzameld voor een welbepaald, gerechtvaardigd en duidelijk omschreven doel (bv. goede werking van het netwerk, niet om het privéleven te bespioneren).
• Proportionaliteit (of dataminimalisatie): de werkgever mag enkel die gegevens verzamelen die strikt noodzakelijk zijn.
• Transparantie: u moet vooraf en op duidelijke wijze geïnformeerd worden over het bestaan, de aard en de modaliteiten van de controle.
• Loyaliteit en beperking van de bewaartermijn: de gegevens mogen niet langer worden bewaard dan noodzakelijk en mogen enkel worden gebruikt voor het doel waarvoor ze werden verzameld.

De toestemming van de werknemer kan niet dienen als enige rechtsgrond, aangezien hij zich in een ondergeschikte positie ten opzichte van de werkgever bevindt.