Kan mijn werkgever zien welke sites ik bezoek?

Kan werkgever zien welke sites ik bezoek? Privacyregels

Veel werknemers vragen zich af of een kan werkgever zien welke sites ik bezoek realiteit is tijdens werktijd. Het monitoren van internetgedrag raakt direct de privacy op de werkvloer. Onduidelijkheid hierover veroorzaakt onnodige spanningen. Kennis van uw rechten voorkomt misverstanden en beschermt uw persoonlijke gegevens.

Kan mijn werkgever zien welke sites ik bezoek?

Nee, je werkgever kan in principe niet zomaar zien welke websites je bezoekt. Deze informatie is standaard niet toegankelijk, noch bij een sollicitatie, noch tijdens je reguliere dienstverband, tenzij er specifieke monitoringsoftware is geïnstalleerd of je via het bedrijfsnetwerk surft. De privacywetgeving beschermt werknemers streng tegen willekeurige controle.

Het controleren van digitaal gedrag op de werkvloer is aan strikte regels gebonden onder de Algemene Verordening Gegevensbescherming (AVG). Een werkgever mag niet zomaar elke muisklik of internetpagina volgen zonder dat daar een gegronde, vooraf gecommuniceerde reden voor is. Dit betekent dat je privacy in de basis goed beschermd is, maar er zijn belangrijke nuances afhankelijk van de apparatuur en het netwerk dat je gebruikt.

De juridische grenzen van internetcontrole

Veel werknemers vragen zich af: ziet werkgever mijn zoekgedrag zodra ik achter mijn bureau kruip? Het antwoord hangt sterk af van de transparantie binnen de organisatie. Onder de AVG moet een werkgever namelijk een legitiem doel hebben - zoals de IT-beveiliging waarborgen of misbruik voorkomen - om gegevens te verwerken. Bovendien moet de ondernemingsraad vooraf toestemming geven voor het inzetten van monitoringsoftware.

Nieuwe cijfers laten zien dat de adoptie van surveillance op de werkvloer flink stijgt. Maar liefst 62% van de werkgevers logt de internetgeschiedenis via bedrijfsapparaten, en 59% maakt gebruik van realtime schermmonitoring. In mijn eigen ervaring als IT-beheerder heb ik vaak gezien dat organisaties deze systemen puur inrichten als passieve beveiliging tegen malware, en niet om de individuele werknemer privacy internetgebruik te schenden of werknemers te pesten. Maar het gebeurt dus wel degelijk op de achtergrond. De wet eist daarom dat de controle proportioneel is; een algeheel verbod op privé-internetgebruik is wettelijk gezien onredelijk.

Wanneer kan een werkgever wél je surfgedrag inzien?

Je surfgedrag is zichtbaar als je gebruikmaakt van een laptop of telefoon van de zaak, of wanneer je bent verbonden met de wifi op kantoor. Op die momenten lopen je internetverzoeken via de bedrijfscentrales of lokale beheersoftware. Dit betekent dat de IT-afdeling technisch gezien de mogelijkheid heeft om DNS-lookups en internetverkeer te registreren.

Er is echter een groot verschil tussen wat technisch kan en wat juridisch mag. Een gerichte, individuele controle is pas toegestaan bij een concreet vermoeden van misbruik, fraude of diefstal. Zelfs als er monitoringsoftware actief is, mag werkgever internetgeschiedenis inzien onder strikte voorwaarden, maar mag de werkgever niet zomaar je privégesprekken of persoonlijke e-mails inzien. Gebeurt dit wel zonder dringende reden en zonder dat je vooraf bent ingelicht via een internetreglement? Dan schendt het bedrijf de wet.

Het verschil tussen netwerkbeheer en endpoint-surveillance

Om te begrijpen wat er precies wordt opgeslagen, moeten we kijken naar de manier van registreren. Er zijn grofweg twee smaakjes: controle op netwerkniveau en controle op het apparaat zelf (endpoints). Maar er is een addertje onder het gras. Als je thuiswerkt zonder VPN, ziet het kantoornetwerk niets. Heb je echter trackingsoftware op je werklaptop staan? Dan maakt de locatie plotseling niets meer uit.

Toen ik destijds mijn eerste grootschalige monitoringtool uitrolde, schrok ik van de details. De software registreerde niet alleen de domeinen, maar maakte ook periodieke screenshots. Ongeveer 76% van de bedrijven die monitoring inzetten, focussen zich primair op web- en applicatiegebruik, terwijl 44% zelfs toetsaanslagen kan registreren via keyloggers. Let wel: het structureel inzetten van zulke zware keyloggers is in de EU bijna altijd verboden wegens strijdigheid met het proportionaliteitsbeginsel. Men mag alleen de grote lijnen bewaken, tenzij er een formele fraude-omgeving wordt onderzocht.

Netwerkcontrole versus Apparaatmonitoring (Endpoints)

Netwerk-level loggen

• Matig. Het is een algemene filter die vooral bedoeld is voor databeheer en netwerkbeveiliging.

• Beperkt. Men ziet welk domein (bijv. bank.nl) je bezoekt, maar niet de exacte subpagina's dankzij HTTPS-versleuteling.

• Ja, elk privétoestel dat inlogt op de kantoor-wifi kan op netwerkniveau gelogd worden.

• Nee, stopt zodra je de kantoor-wifi verlaat (tenzij je een actieve VPN-verbinding gebruikt).

Apparaat-level monitoring (Endpoint) ⭐

• Extreem hoog. Kan screenshots maken, applicatietijd bijhouden en actieve uren analyseren.

• Volledig. Omdat de software direct op het scherm of via de browser meekijkt, omzeilt het netwerkversleuteling.

• Nee, de werkgever kan en mag deze software absoluut niet op jouw eigen telefoon of pc installeren.

• Ja, de software draait lokaal op de werklaptop en registreert alles, ook op je thuisnetwerk.

Het datalek-misverstand van Thomas in Eindhoven

Thomas, een software engineering consultant uit Eindhoven, gebruikte zijn werklaptop regelmatig om in de avonduren te surfen naar cryptocurrency-fora. Hij wist dat de privacywetgeving streng was en dacht dat zijn surfgedrag volledig anoniem bleef voor het management.

De ommekeer kwam toen Thomas op een schadelijke link klikte binnen een schimmig investeringsforum. Er werd op de achtergrond een ransomware-script geactiveerd. Het IT-beveiligingsteam sloeg direct alarm omdat er vreemde datapakketten vanuit zijn laptop werden verstuurd.

Thomas raakte in paniek en probeerde zijn lokale browsergeschiedenis snel te wissen om zijn privéactiviteit te verbergen. Dit maakte de situatie alleen maar verdachter voor de security-auditors. Tijdens het incidentenonderzoek werd zijn volledige endpoint-logboek geopend om de infectiebron te traceren.

Uiteindelijk bleek dat het IT-team zijn surfgeschiedenis van de afgelopen weken gewoon kon inzien via de beveiligingssoftware. Thomas kreeg geen ontslag, maar wel een formele waarschuwing. Hij leerde de harde les dat IT-monitoring bij incidenten direct alle privacyargumenten opzij schuift.