Kan mijn baas zien wat ik op internet doe?

Kan mijn baas zien wat ik op internet doe: 70% controle

kan mijn baas zien wat ik op internet doe beïnvloedt de privacy op de werkvloer aanzienlijk. Onzorgvuldig internetgebruik leidt tot onverwachte professionele risicos door de registratie van ongebruikelijk dataverkeer. Het begrijpen van de monitoringregels beschermt werknemers tegen onbedoelde meldingen waardoor het surfgedrag aanpassen aan bedrijfsrichtlijnen essentieel is voor een veilige werkomgeving.

Kan mijn baas zien wat ik op internet doe?

Kan mijn baas zien wat ik op internet doe? Ja, je werkgever kan technisch gezien bijna alles zien wat je op het bedrijfsnetwerk of op een zakelijke laptop doet. Hoewel je recht hebt op privacy, mag een baas onder strikte voorwaarden je internetgebruik monitoren, mits dit vooraf is vastgelegd in een ICT-reglement. Het antwoord hangt echter sterk af van het apparaat dat je gebruikt en de verbinding die je kiest.

In de praktijk zie ik vaak dat werknemers denken dat ze veilig zijn zodra ze hun eigen telefoon gebruiken op de wifi van de zaak. Dat is een misvatting. Systeembeheerders kunnen weliswaar niet direct in je WhatsApp-berichten kijken, maar ze zien wel welke domeinen je bezoekt en hoeveel data je verbruikt. Het is een grijs gebied waar techniek en recht elkaar ontmoeten.

Wat de systeembeheerder precies van je ziet

Wanneer je ingelogd bent op het bedrijfsnetwerk, fungeert de server van de zaak als een soort poortwachter. Elke website die je bezoekt, laat een spoor achter in de logs. Zelfs als een site versleuteld is (HTTPS), ziet de beheerder nog steeds dat je op YouTube zit, alleen niet precies welke video je bekijkt.

De monitoring gaat vaak verder than alleen webadressen. Ongeveer 70% van de grotere bedrijven gebruikt gespecialiseerde software die ongebruikelijk dataverkeer signaleert.^[1] Dit betekent dat als je een hele middag Netflix streamt, je naam waarschijnlijk bovenaan een lijstje met grootverbruikers komt te staan. Systeembeheerders kijken meestal niet actief mee met elk individu, maar de data is er wel als er een aanleiding is voor onderzoek.

De mythe van de incognitomodus

Veel mensen denken dat de incognitomodus in Chrome of Safari hen onzichtbaar maakt. Dat is simpelweg niet waar. De incognitomodus zorgt er alleen voor dat je geschiedenis niet op de laptop zelf wordt opgeslagen. Het netwerkverkeer gaat echter nog steeds via de bedrijfsproxy. Voor je baas maakt het dus geen enkel verschil of je incognito surft of niet. Je bent gewaarschuwd.

Privacyregels: Wat mag je werkgever volgens de AVG?

Je werkgever heeft geen vrijbrief om je de hele dag te bespioneren. Volgens de monitoring werknemers AVG moet er sprake zijn van een gerechtvaardigd belang. Dit kan bijvoorbeeld het beveiligen van het netwerk tegen virussen zijn, of het voorkomen van misbruik van bedrijfstijd. Een geheime controle is bijna nooit toegestaan, tenzij er een sterke verdenking is van diefstal of fraude.

Er is een duidelijke grens: de baas mag geen privégegevens inzien, zoals je medisch dossier of persoonlijke e-mails, tenzij dit strikt noodzakelijk is voor de bedrijfsvoering. Veel Nederlandse werknemers vallen onder een ICT- of internetprotocol met regels over privacy op het werk internetgebruik. Heb je dat nooit ondertekend? Dan staat de werkgever juridisch een stuk zwakker bij een conflict over internetgebruik. ^[2]

Ik heb ooit een situatie meegemaakt waarbij een collega werd aangesproken op zijn internetgedrag. Hij was ervan overtuigd dat zijn privacy werd geschonden. Wat bleek? De werkgever had in het personeelshandboek heel specifiek vermeld dat excessief privégebruik tijdens werktijd niet was toegestaan. Omdat hij meer dan 4 uur per dag op sociale media zat, was de waarschuwing juridisch houdbaar. Het loont dus echt om die kleine lettertjes eens te lezen.

Bring Your Own Device (BYOD) en kantoor-wifi

Gebruik je je eigen iPhone of Android-toestel op het werk? Dan is de controle beperkter, maar niet nul. Wat betreft de vraag wat kan systeembeheer zien op mijn laptop, de werkgever kan niet op je telefoon kijken, maar wel zien wat er over het wifinetwerk gaat. Als je verbonden bent met de zakelijke wifi, zijn je DNS-aanvragen zichtbaar. Wil je echt privacy? Schakel dan over op je eigen 4G of 5G databundel. Dat is de enige manier om de bedrijfslogs volledig te omzeilen.

Controle per apparaat en verbinding

Laptop van de zaak

Monitoring-agents op het apparaat zelf en netwerklogging

Zeer hoog; inclusief lokale bestanden, applicaties en browsergeschiedenis

Hoogst; werkgever heeft volledige beheerderstoegang

Eigen telefoon op werk-wifi

Logs op de draadloze controller en firewall

Gemiddeld; alleen de bezochte domeinnamen (metadata)

Beperkt tot surfgedrag; apps zelf zijn meestal versleuteld

Eigen telefoon op 4G/5G (Aanrader)

Directe verbinding met de provider (KPN, Odido, etc.)

Nul; werkgever heeft geen toegang tot dit netwerkverkeer

Minimaal; volledig gescheiden van de werkomgeving

Het dilemma van Thomas: De VPN-misrekening

Thomas, een softwareontwikkelaar uit Utrecht, dacht slim te zijn door een privé-VPN te installeren op zijn werklaptop. Hij wilde tijdens de baas zijn tijd wat crypto-handeltjes bijhouden zonder dat de IT-afdeling mee keek.

De eerste poging was een ramp. De VPN blokkeerde de interne bedrijfssoftware, waardoor hij geen toegang meer had tot de gedeelde schijven. Hij moest de IT-servicedesk bellen met een smoesje over een 'verbindingsfout'.

Toen besefte hij dat de IT-afdeling juist gealarmeerd werd door versleuteld verkeer van een onbekende bron. De systeembeheerder zag direct dat er een niet-geautoriseerde tunnel openstond en vroeg Thomas om uitleg.

Uiteindelijk kwam Thomas er met een waarschuwing vanaf. De les? Zelfs pogingen om monitoring te omzeilen vallen op. Sindsdens gebruikt hij alleen nog zijn eigen tablet op zijn eigen hotspot voor privézaken.