Kan mijn werkgever mijn browsergeschiedenis zien?

Kan mijn werkgever mijn browsergeschiedenis zien? Regels

Het controleren van het internetgedrag op de werkvloer brengt ingrijpende privacyvragen met zich mee voor veel werknemers. Ontdek de juridische grenzen van digitale monitoring en wanneer een organisatie uw surfgedrag mag registreren.

De wettelijke grenzen van controle op de werkvloer

De vraag of een werkgever zomaar toegang heeft tot je browsegeschiedenis kan te maken hebben met diverse technische en juridische factoren, en het antwoord hangt sterk af van de specifieke context. In de basis mag een leidinggevende niet zomaar in je browsergeschiedenis duiken. Werknemers hebben namelijk een fundamenteel recht op privacy op de werkvloer browsergeschiedenis, ook wanneer zij gebruikmaken van een computer of laptop van de zaak. De Algemene Verordening Gegevensbescherming (AVG) beschermt deze persoonlijke levenssfeer op een redelijk strenge manier en stelt duidelijke grenzen aan wat een organisatie wel en niet mag registreren tijdens de arbeidsrelatie.

Zelden mag een leidinggevende zonder gegronde reden privégegevens inzien. Uit grootschalig arbeidsmarktonderzoek blijkt dat bij 13 procent van de werknemers de werkgever daadwerkelijk registreert welke websites zij bezoeken.^[1] Dit laat zien dat hoewel het technisch vrij eenvoudig is om internetgedrag bij te houden, structurele controle internetgebruik door werkgever aan strikte regels is gebonden. Een organisatie moet een heel zwaarwegend doel hebben, zoals het garanderen van de netwerkbeveiliging of het voorkomen van datalekken, om dit te mogen rechtvaardigen. Bovendien moet het personeel vooraf volledig zijn geïnformeerd over deze mogelijke controle.

Privacy is een recht. De privacywetgeving - en dit is een cruciaal punt voor elke werknemer - verbiedt stelselmatige controle zonder dat er vooraf duidelijke richtlijnen zijn opgesteld. Een werkgever mag werkgever internetgedrag controleren als er aan specifieke voorwaarden wordt voldaan, maar dus niet stiekem software installeren om elke dag je internetgedrag te bekijken, puur om te controleren of je wel productief genoeg bent. Er moet altijd een zorgvuldige afweging worden gemaakt tussen het bedrijfsbelang en jouw persoonlijke levenssfeer.

Technisch toezicht versus juridische werkelijkheid

Het feit dat een systeembeheerder met bepaalde software live kan meekijken, betekent absoluut niet dat dit juridisch zomaar mag. Veel organisaties worstelen met de vraag: kan mijn werkgever mijn browsergeschiedenis zien tijdens de dagelijkse werkzaamheden? Onderzoek toont aan dat bijna 20 procent van alle werknemers op de een of andere manier digitaal wordt gemonitord door hun baas. ^[2] Dit hoge percentage zorgt helaas vaak voor een sfeer van wantrouwen en extra stress op de werkvloer. Dat is een groot verschil met een gezonde, op vertrouwen gebaseerde werkomgeving.

Het stiekem bekijken van je browsergeschiedenis is vrijwel altijd verboden, tenzij er een concreet vermoeden is van fraude of andere ernstige misstanden. Zelfs in zo een uitzonderlijke situatie (waarin een tijdelijke heimelijke controle noodzakelijk is) moet de inbreuk zo beperkt mogelijk blijven. Vraag je dus goed af wat de regels zijn rondom een werkcomputer privé gebruiken privacy voordat je persoonlijke zaken regelt. Een werkgever mag bijvoorbeeld niet zomaar al je privé-mails openen of je vrijetijdsgedrag op het internet gedurende een lange periode in kaart brengen. De Autoriteit Persoonsgegevens (de instantie die toeziet op de naleving van de privacywet) adviseert organisaties om uiterst terughoudend te zijn met monitoring software.

Dit mag simpelweg niet. Als werknemer mag je verwachten dat je incidenteel een privé-appje kunt sturen of het nieuws kunt lezen zonder dat dit direct consequenties heeft. Een algeheel verbod op privégebruik van internet is weliswaar toegestaan, maar de handhaving daarvan mag nooit leiden tot een constante, geheime surveillance van je digitale stappen.

Confronterende situaties en het belang van een ICT-reglement

Soms gaan managers hun boekje te buiten en gebruiken ze verzamelde gegevens om medewerkers onverwacht aan te spreken op hun surfgedrag. Het is gebleken dat ongeveer 10 procent van de werknemers weleens door de werkgever is geconfronteerd met informatie die via digitale monitoring is verkregen.^[3] Dit leidt in de praktijk bijna altijd tot een flinke deuk in het onderlinge vertrouwen en kan de arbeidsrelatie permanent beschadigen. Werknemers voelen zich daardoor vaak bekeken en onveilig tijdens hun dagelijkse werkzaamheden.

Om dit soort nare situaties te voorkomen, is de aanwezigheid van een transparant IT- en internetreglement cruciaal. In zo een protocol moet exact staan omschreven wat de richtlijnen zijn en in hoeverre een mag baas geschiedenis bekijken avg toestaat binnen de wettelijke kaders. Helderheid is hierin essentieel. Als er binnen de organisatie geen duidelijk reglement is opgesteld en de ondernemingsraad heeft geen instemming gegeven voor de controlemaatregelen, then is de kans groot dat de uitgevoerde controle juridisch onrechtmatig is.

Verschil tussen incidentele controle en structurele monitoring

Om te begrijpen wat een werkgever juridisch gezien mag doen, is het belangrijk om het verschil te kennen tussen een gerichte incidentele controle en het doorlopend monitoren van internetgedrag.

Incidentele controle (Aanbevolen bij vermoedens)

• Beperkt tot de noodzakelijke gegevens, waarbij persoonlijke communicatie en privé-bestanden zoveel mogelijk worden ontzien.
• Alleen toegestaan bij een concreet en gefundeerd vermoeden van fraude, diefstal of ernstig misbruik.
• Tijdelijk en zo kort mogelijk, specifiek gericht op het verzamelen van bewijs voor het vermoedelijke feit.

Structurele monitoring

• Zeer hoog, aangezien ook onschuldig privégebruik en vertrouwelijke gegevens automatisch worden vastgelegd.
• Gebeurt continu en algemeen, vaak ingezet onder het mom van algemene netwerkbeveiliging of productiviteitsmeting.
• Permanent en stelselmatig, waarbij data van alle medewerkers over een lange periode wordt verzameld.

Het privacy-conflict van Daan in Utrecht

Daan, een administratief medewerker uit Utrecht, merkte dat zijn laptop trager werd en vermoedde dat er monitoringsoftware op was geïnstalleerd. Hij maakte zich zorgen over zijn privacy omdat hij in de pauze weleens zijn bankzaken regelde.

Hij besloot zijn manager hier direct naar te vragen, maar kreeg een ontwijkend antwoord over algemene netwerkbeveiliging. Dit zorgde voor veel frustratie en een gevoel van onveiligheid tijdens zijn werk.

De ommekeer kwam toen Daan contact opnam met de ondernemingsraad van het bedrijf. Het bleek dat de directie de software had ingevoerd zonder de verplichte instemming van de raad te vragen.

Na een formele klacht moest de werkgever de software uitschakelen. Daan leerde dat een organisatie zich altijd aan de AVG moet houden en niet zomaar stiekem gegevens mag verzamelen.