Het gebruik van een professioneel e-mailadres is in de meeste jobs onontbeerlijk. Een schat aan informatie wordt via e-mail verstuurd en ontvangen. Wanneer een werknemer uit dienst treedt, voelen veel werkgevers zich er niet comfortabel bij om het e-mailaccount van die werknemer onmiddellijk te deactiveren. Wat als een belangrijke klant zich nog tot dat adres wendt en de werkgever dit niet kan opvolgen?

Een ‘frequently asked question’ aan Stappers Advocaten bestaat er in of de werkgever de mailbox nog een tijdje kan opvolgen, bijvoorbeeld door een collega toegang te verschaffen.

In een recente beslissing van 2 december 2021 maakt de Geschillenkamer van de Gegevensbeschermingsautoriteit (‘GBA’) duidelijk dat dit uit den boze is.

Een woordje toelichting.

Professioneel e-mailadres en mailbox zijn persoonsgegevens

Aangezien je uit een professioneel e-mailadres en de informatie in de daaraan gekoppelde mailbox informatie over identificeerbare natuurlijke personen kunt afleiden, zijn dit persoonsgegevens in de zin van de GDPR. De bedoeling van zo’n professioneel e-mailaccount is om in het kader van een professionele betrekking e-mails te ontvangen en te verzenden en persoonsgegevens kunnen als uitgangspunt dus enkel daarom worden verwerkt.

Vóór vertrek: belangrijke inhoud recupereren

De GBA schraagt zich achter een advies van het Comité van Ministers van de Raad van Europa om, wanneer de inhoud van professionele e-mails van een vertrekker moet worden gerecupereerd voor het goed functioneren van de organisatie, de werkgever passende maatregelen moet nemen om die inhoud op te vragen vóór het vertrek van de werknemer en, indien mogelijk, in diens aanwezigheid.

Na vertrek

Automatisch bericht (out-of-office)

Op basis van de verplichtingen van de GDPR moet de werkgever uiterlijk op de dag van het vertrek van de werknemer de mailbox voorzien van een automatisch bericht waarbij alle volgende correspondenten worden gewaarschuwd dat de betrokkene zijn functie binnen het bedrijf niet meer uitoefent en waarbij de contactgegevens van de persoon of een algemeen e-mailadres worden verstrekt die in zijn plaats moeten worden gecontacteerd. Dit kadert binnen het gerechtvaardigd belang van de werkgever.

Redelijke termijn

Het hierboven vermelde automatisch bericht mag a priori één maand worden uitgestuurd. Afhankelijk van de context en met name de verantwoordelijkheid die de werknemer had, kan de periode nog wat langer zijn, maar volgens de GBA idealiter niet langer dan drie maanden. Belangrijk is dat die verlenging moet gebeuren met instemming van de betrokken persoon of ten minste nadat deze van de verlenging op de hoogte is gesteld.

Deactivatie

Na deze periode van één tot drie maanden moeten het e-mailadres en de mailbox van de betrokkene onherroepelijk worden verwijderd.

Geen toegang meer tot mails zelf?

De GBA spreekt zich niet duidelijk uit tegen het kennisnemen van de inhoud van een mailbox van een vertrekker na diens vertrek indien dat toch om de ene of de andere gerechtvaardigde reden nodig zou zijn. Het Hof van Cassatie oordeelde dan wel in 2019 dat daarvoor in principe steeds de toestemming van de werknemer nodig is, maar in dit arrest werd geen uitspraak gedaan over de uitzonderingen op die toestemmingsvereiste en de voorganger van de GBA, de Privacycommissie, was van oordeel dat het patronaal gezagsrecht zo’n uitzondering kon vormen.

Belang van transparantie

Alleszins benadrukt de Geschillenkamer nogmaals het belang van transparantie. Wees als werkgever duidelijk over het lot van het e-mailaccount na het vertrek van de werknemer. Beschrijf hoe de belangrijke informatie door de werkgever zal worden gerecupereerd, welke out-of-office er zal worden geïnstalleerd en hoe lang deze actief zal blijven. Geef ook te kennen dat het soms wel in het gerechtvaardigd belang van de werkgever kan zijn om toegang te verschaffen tot de e-mailbox, ook na het vertrek.

Goed voornemen voor 2022: update e-policy

De GBA deelde in dit dossier enkel een berisping uit omdat de werkgever intussen maatregelen had genomen. In een eerder dossier werd een boete van 15.000 euro opgelegd aan een werkgever. Deze beslissingen maken duidelijk dat de tijd van al dan niet heimelijk het e-mailadres van een vertrekker op te volgen, voorbij is. Hoog tijd om uw policy’s en praktijken op dat vlak op punt te stellen mocht dat nog niet gebeurd zijn.

Stappers Advocaten is ideaal geplaatst om u bij te staan dit goede voornemen te verwezenlijken.

Stephanie Raets, Stappers Advocaten