Introductietekst I. Inleiding Hoewel de Commissie zich reeds verschillende malen uitgesproken heeft over het vraagstuk van controle op het internet- en emailgebruik op de werkplaats, acht ze de tijd gekomen om zich nog eens uit eigen beweging ten gronde uit te spreken. Wat volgt is een introductietekst over de problematiek van de toegang door werkgevers tot de informaticatools die gebruikt worden door hun werknemers. Voor een meer uitgebreide en juridische benadering wordt verwezen naar de bijlagen, inzonderheid naar het integrale rapport. De bedoeling is dat deze introductietekst met zijn bijlagen wordt onderworpen aan een publieke consultatie, teneinde observaties, bemerkingen, suggesties of kritieken te verzamelen bij de lezer, die indien ze gegrond worden bevonden door de Commissie, naderhand kunnen opgenomen worden in de definitieve teksten die de Commissie ter zake zal uitbrengen. Inhoudelijk gaat de aandacht vooral uit naar de patronale kennisname van elektronische communicaties van werknemers die gevormd worden door e-mail en internetverbindingen op het werk, al dan niet voor professionele doeleinden. Het kan daarbij gaan over de communicaties zelf (namelijk de inhoud van een e-mail of een bezochte webpagina) als over de elektronische communicatiegegevens (adressen van verzenders en ontvangers, uur van verzending/ontvangst of verbinding, adressen van bezochte websites). Er wordt vooreerst gesteld dat patronale toegang tot elektronische communicatie en elektronische communicatiegegevens van werknemers niet enkel een kwestie van controle op die werknemers betreft, maar tevens het beheer en de organisatie van de activiteiten van de werkgever aanbelangt. Zo communiceert de werknemer in uitvoering van zijn arbeidscontract elektronisch met derden via het informaticasysteem van zijn werkgever. Het resultaat van het geleverde werk dat tot stand kwam via gebruik van de informaticatools, waaronder het emailsysteem van de werkgever, moet uiteraard aan die laatste worden afgeleverd. De werkgever zou deze informatie moeten kunnen ontvangen van de betrokkene of moeten kunnen opzoeken ten einde er kennis van te nemen om de continuïteit van de dienstverlening en de goede werking van de onderneming/het openbaar bestuur te verzekeren, inzonderheid in geval van afwezigheid, overlijden of vertrek van de werknemer. Toegang tot gegevens betreffende een werknemer kan via het werkstation dat gebruikt wordt door die werknemer als via andere dragers waarop de gegevens worden bewaard (servers, opslagmedia,...) en impliceert ook het gebruik ervan (afdruk op papieren drager, doorzending aan een andere bestemmeling,...), en dit ongeacht het beoogde doeleinde (beheer of controle). Ondanks zijn verplichting de persoonlijke levenssfeer van werknemers daarbij te eerbiedigen, moet de werkgever niettemin in staat zijn/blijven zijn legitieme belangen doelmatig te vrijwaren. De bescherming van de persoonlijke levenssfeer van de werknemers op de werkplek moet weliswaar gewaarborgd worden, maar niet op een wijze die onnodige beperkingen meebrengt voor de realisering van de rechten en belangen van de werkgever. De goede werking van de onderneming/het openbaar bestuur moet verzekerd blijven. II. Juridisch kader
Er wordt gewezen op de interferentie van verschillende wetsbepalingen waaraan de toelaatbaarheid van de patronale kennisname van elektronische communicatie en elektronische communicatiegegevens moet worden getoetst. De Commissie benadrukt enerzijds dat, voor een juist begrip, het onontbeerlijk is deze bepalingen in hun geheel (en dus gezamenlijk) te lezen en zet zich anderzijds af tegen een interpretatie van dit wettelijke arsenaal waardoor patronale toegang uiteindelijk als onmogelijk/onwettig wordt beschouwd. Zoniet zou dit kunnen leiden tot meer verdoken en onbeheerste monitoringpraktijken, wat uiteindelijk de bescherming van de persoonlijke levenssfeer van werknemers helemaal niet dient. Eerder ingenomen standpunten, zoals bijvoorbeeld in het basisadvies van 3 april 2000 van de Commissie, worden opnieuw onderzocht door de toepassing van al die relevante normen, met inbegrip van de dwingende bepalingen uit het arbeidsrecht, te beoordelen in het licht van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens . Er wordt eraan herinnerd dat privacy inzake gegevensverwerking wordt beschermd door artikel 8 van het Europees Verdrag tot bescherming van de Rechten van de Mens, door Europese richtlijnen (de Europese richtlijn nr. 95/46 van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en de Richtlijn 2002/58/EG van het Europees Parlement en de Raad van 12 juli 2002 betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie) en door het interne Belgische recht (artikel 22 van de Grondwet, artikel 314bis van het Strafwetboek (Sw.) en de artikelen 124 en volgende van de wet van 13 juni 2005 betreffende de elektronische communicatie (WEC)). Het telecommunicatiegeheim valt tevens onder de bescherming van de persoonlijke levenssfeer en inzake het opslaan en het verwerken van persoonsgegevens op het vlak van de telecommunicatie is ten slotte de WVP van toepassing. Het is bovendien een uitgemaakte zaak dat deze rechtsbescherming tevens doorwerkt in de arbeidsverhoudingen. Anderzijds zijn er ook de werkgeversrechten of –belangen (recht op gezagsuitoefening, tuchtrecht, eigendomsrecht, risico op aansprakelijkheden,...) die mee in de balans moeten opgenomen worden. Het recht op privacy is immers niet absoluut en de bijzondere situatie van de gezagsrelatie tussen werkgever en werknemer zal zeker in acht moeten worden genomen. De privacyverwachtingen (verwachtingen die iemand redelijkerwijze heeft omtrent de mate van inmenging in zijn privéleven) van de werknemers op het werk zijn evident minder groot dan deze thuis. Vervolgens wordt gesteld dat het recht op privacy moet worden uitgeoefend binnen het normdoel van het rechtsstelsel (zelfontplooiing). Het recht op bescherming van privacy is een functioneel recht en het beroep erop mag niet leiden tot straffeloosheid. Daarna worden de specifieke mogelijke uitzonderingen op de principiële geheimhouding van elektronische communicatie tussen correspondenten en elektronische communicatiegegevens met betrekking tot deze correspondenten aangekaart. De toestemming van alle personen betrokken bij elektronische communicatie (afzender en bestemmeling bij emailverkeer) is een mogelijke uitzondering, al wordt tegelijk beschouwd dat het moeilijk is voor een werkgever om zowel de toestemming te bekomen van deelnemers aan de communicatie buiten de onderneming als de vrije toestemming van de in ondergeschikt verband werkende deelnemers binnen de
onderneming. De Commissie gaat er, wat dit laatste betreft, zelfs van uit dat een individuele toestemming van de werknemer, wegens de ongelijke machtsverhouding, niet als een echte toestemming kan worden beschouwd en dus niet de werkelijke basis kan vormen om in te grijpen op diens communicatiebescherming. Specifieke uitzonderingen op de geheimhouding van elektronische communicatie, zoals deze om de goede werking van het bedrijfsnetwerk na te gaan, de ‘callcenteruitzondering’ en de uitzondering om zakelijke communicatie te registreren, zijn eveneens mogelijk, maar deze laten uiteindelijk onvoldoende mogelijkheden aan de werkgever om er een algemene controle op het e-mail- en internetgebruik in de onderneming op te baseren. De communicatiebescherming van artikel 314bis Sw. en artikel 124 WEC is ten slotte niet van toepassing als de wet toelaat of oplegt erop in te grijpen. Wanneer een werknemer door misbruik van het computersysteem schade aanricht aan een derde, kan de werkgever hiervoor wettelijk aansprakelijk worden gesteld. Tegenover de objectieve, foutloze aansprakelijkheid van de werkgever, moet een zeker controlerecht van de werkgever staan. Het gezagsrecht van de werkgever, zoals neergelegd in de wet van 3 juli 1978 betreffende de arbeidsovereenkomsten voor de private sector of in de rechtspositieregeling van ambtenaren voor de publieke sector, kan als een wettelijk grondslag dienen om bepaalde controlehandelingen te stellen, voor zover die dan gebeuren conform de normaal gangbare bedrijfsvoering (als een redelijk en voorzichtige werkgever) en conform andere toepasselijke relevante wettelijke (zoals de WVP, en de wet van 8 april 1965 tot instelling van de arbeidsreglementen), reglementaire bepalingen (zoals het Koninklijk Besluit van 27 augustus 1993 betreffende het werken met beeldschermapparatuur) en bepalingen uit bepaalde collectieve arbeidsovereenkomsten (zoals CAO nr. 81 tot bescherming van de persoonlijke levenssfeer van de werknemers ten opzichte van de controle op de elektronische online-communicatiegegevens, CAO nr. 9 van 9 maart 1972 houdende ordening van de in de Nationale Arbeidsraad gesloten nationale akkoorden en collectieve arbeidsovereenkomsten betreffende de ondernemingsraden en CAO nr. 39 van 13 december 1983 betreffende de voorlichting en het overleg inzake de sociale gevolgen van de invoering van nieuwe technologieën). Indien de tussenkomst van de werknemer in de elektronische communicatie gebeurt in functie van het afgesproken werk en in naam van de werkgever en deze tussenkomst uitdrukkelijk of minstens ondubbelzinnig is voor zowel hemzelf als voor de correspondent, stelt zich evenmin een wettelijk obstakel voor de ingreep in de communicatiebescherming. Een werkgever neemt dan kennis van de inhoud van gezonden of ontvangen e-mails die voor hem bestemd zijn of waarvan hij de afzender of ontvanger is via tussenkomst van een werknemer. WVP Wat meer specifiek de WVP betreft worden de toelaatbaarheids- en rechtmatigheidsvoorwaarden geschetst waaronder zowel de publieke of private werkgever persoonsgegevens met betrekking tot hun werknemers (met inbegrip van hun elektronische communicatie of elektronische communicatiegegevens) kunnen verwerken. Er volgt inzonderheid een bespreking van de 3 basisbeginselen uit deze wet, waarvan de naleving essentieel wordt geacht voor de bescherming van de persoonlijke levenssfeer van werknemers bij de verwerking van hun persoonsgegevens: het finaliteitsbeginsel, het proportionaliteitsbeginsel en het transparantiebeginsel.
Het finaliteitsbeginsel impliceert dat de doeleinden die een verwerking van persoonsgegevens noodzaken welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn. Een eventuele verdere verwerking van persoonsgegevens dient steeds verenigbaar te zijn met het oorspronkelijk doeleinde (rekening houdend met de redelijke verwachtingen van de datasubjecten en rekening houdend met eventuele wetgeving). Het proportionaliteitsbeginsel impliceert dat de verwerking, uitgaande van het doeleinde dat wordt beoogd, toereikend, ter zake dienend en niet overmatig is. De inmenging in de persoonlijke levenssfeer van het datasubject moet strikt beperkt blijven tot wat noodzakelijk is om de vooropgestelde finaliteit te bereiken. Het belang van de betrokkene die aanspraak maakt op bescherming uit hoofde van de WVP moet voldoende gevrijwaard blijven. Het transparantiebeginsel impliceert dat de personen die worden onderworpen aan de verwerking worden ingelicht over het doel van de verwerking en wie het nastreeft. Zij kunnen inzage krijgen in hun verwerkte gegevens en in principe wordt voor elke geautomatiseerde verwerking een aangifte gedaan bij de Commissie die deze publiek maakt. Inlichtingen worden gegeven via circulaires, het arbeidsreglement, de individuele arbeidsovereenkomst, de ICTpolicy… De vigerende wettelijke en conventionele bepalingen inzake informatie en consultatie van de werknemersvertegenwoordiging moeten worden gerespecteerd om de transparantie met betrekking tot het elektronisch toezicht te vergroten en de dialoog tussen de betrokken partijen te bevorderen. Deze 3 principes begrenzen weliswaar de mogelijkheden van de werkgever bij een patronale toegang tot en dus verwerking van elektronische communicatie(gegevens), maar deze verwerking is niettemin a priori toegelaten op basis van één van de gronden uit artikel 5 WVP en dit met het oog op de uitvoering van de specifieke verplichtingen en rechten van de werkgever met betrekking tot het arbeidsrecht. CAO nr. 81 Deze tekst, die juridisch enkel de private werkgever vat, spreekt de facto eigenlijk ook de publieke werkgever aan. Deze CAO doet immers niets anders dan de WVP - die ook geldt ten aanzien van de publieke werkgever te concretiseren voor de problematiek die ze wenst te reguleren, met name de bescherming van de persoonlijke levenssfeer van de werknemers ten opzichte van de patronale controle op hun elektronische online-communicatiegegevens. Hoewel voor sommigen juridisch niet helemaal onbesproken, bestaat de grote verdienste van deze CAO er in te schetsen hoe ver de werkgever mag gaan in zijn wettelijke permissie tot het controleren van elektroniche datacommunicatie omtrent werknemers en deze CAO heeft, minstens in de praktijk, zijn nut reeds bewezen of kan zijn nut bewezen. De bekommernis van CAO nr. 81 betreft in hoofdzaak het surfen en mailen door werknemers voor persoonlijke doeleinden. De CAO nr. 81 wil hieraan verhelpen, zowel preventief als curatief. Alleen al door het bestaan van CAO nr. 81, en dus de wetenschap dat werknemers die eraan zijn onderworpen kunnen gecontroleerd worden, gaat er een preventieve werking van uit en zullen het gros van de werknemers zich niet verliezen in een tomeloos privégebruik van de aangeboden internetfaciliteiten. CAO nr. 81 verbiedt de werkgever om permanent, zonder medeweten en onmiddellijk al op persoonsniveau het bestaan van privénetgebruik vast te stellen en te controleren. Maar meer dan vaststellen dat een werknemer erg veel private mails krijgt of verzendt, of erg veel surft op websites die
niets met het werk te maken (kunnen) hebben, kan de werkgever uiteindelijk niet op basis van de CAO nr. 81. CAO nr. 81 voorziet nl. een stapsgewijze controle: eerst het globaal controleren van op zich niet tot individuele personeelsleden herleidbare telecommunicatiedata en pas daarna desgevallend een individualisering (al dan niet op directe wijze, naargelang het beoogde doeleinde van de controle) van die gegevens -dit wil zeggen het toeschrijven van welbepaalde telecommunicatiedata aan een welbepaalde werknemer- bij detectie van anomalieën naar aanleiding van de globale controle. Op basis van deze CAO is evenwel geen individualisering van de inhoud van een elektronisch bericht mogelijk als de werknemer aanvoert dat het een privébericht betreft. Toch zou, weliswaar bij wijze van uitzondering, kennisname van de inhoud van een door een personeelslid ontvangen en/of verstuurde email en/of bezochte website mogelijk kunnen geacht worden op basis van andere regelgeving. In het overgrote deel van de gevallen zal de kennisneming van de inhoud echter niet eens noodzakelijk zijn: uit de transmissiegegevens zal de werkgever veelal reeds de niet-eerbiediging van de interne ICT-gebruiksregels kunnen aantonen. Dit maakt dat de inmenging in de persoonlijke levenssfeer van de personeelsleden zodoende tot een minimum kan worden beperkt. Het geheel van de supra aangehaalde wetsbepalingen staat geenszins de kennisname van het bestaan van bepaalde communicatiegegevens met betrekking tot werknemers in de weg. Zij vormen daarentegen een geheel gerechtvaardigd wettelijk obstakel tegen systemen voor exploratieve en algemene controlepraktijken, obscure of occulte systemen voor elektronische bewaking en meer in het algemeen tegen het buitensporig gebruik van de telecommunicatietechnologie die verder gaat dan wat voor de gebruikelijke bedrijfsvoering noodzakelijk is. Het systematisch en a priori willen afluisteren, aftappen, opslaan of anderszins onderscheppen of controleren van elektronische communicatiegegevens van geïdentificeerde of identificeerbare werknemers verdraagt zich inderdaad niet met het wettelijk dispositief. Er wordt dan ook besloten dat de werkgever er baat bij heeft de bovenstaande wettelijke voorwaarden, procedures en waarborgen op correcte wijze te implementeren en na te leven: de bewijsmiddelen naar aanleiding van de door hem gevoerde controles zullen dan normaal als rechtsgeldig worden aanzien. III. Gebruik van het (onrechtmatig verkregen) bewijs In het rapport kon evenmin onvermeld blijven dat er zich een tendens in de rechtspraak en de rechtsleer aftekent in de richting van een anders begrepen notie van privacy (op de werkvloer), mede onder invloed van de zgn. Antigoon-rechtspraak van het Hof van Cassatie. Deze onderstroom kan moeilijk genegeerd worden. Het betreft hier meer bepaald de kwestie van de regelmatigheid van bewijzen die verzameld werden in weerwil van de net vermelde toepasselijke bepalingen. Er wordt gewezen op het arrest van 14 oktober 2003. Een onrechtmatig verkregen bewijs moet slechts tot uitsluiting leiden bij miskenning van op straffe van nietigheid voorgeschreven vormvereisten, wanneer de bewijsverkrijging is aangetast door een gebrek waardoor de betrouwbaarheid ervan wegvalt of waardoor het recht op een eerlijk proces in gevaar wordt gebracht. In andere gevallen komt het de rechter toe een belangenafweging te doen alvorens het bewijs al dan niet uit te sluiten. De principes van de Antigoonrechtspraak hebben tegenwoordig ook al ingang gevonden bij de arbeidsrechtbanken en –hoven. Het feit dat bepaalde procedureregels met betrekking tot de privacy niet werden nageleefd kan dus rechtvaardigen dat bewijsstukken door de rechter worden geweerd, inzonderheid als de ernst van de inbreuk die de vaststelling mogelijk maakte duidelijk de begane onregelmatigheid overstijgt. IV. Aanbevelingen
Naast het rapport werden door de Commissie in een afzonderlijk document nog een aantal gedragsregels geformuleerd die voorbeelden of middelen vormen om rekening te houden met de WVP bij een patronale toegang tot elektronische communicatie of elektronische communicatiegegevens. Gezien de vraag naar wat al dan niet toelaatbaar is op de werkplaats van verscheidene factoren kan afhangen onder meer van de werkomgeving, de aard van de verantwoordelijkheden van de werkgever en de werknemer en de aard van het werk op zich, wordt er ter zake evenwel niets dwingend opgelegd. De belangrijkste aanbeveling die wordt geformuleerd is het afraden van het dubbel gebruik van het emailsysteem door werknemers (zowel professioneel als privé). Een dergelijke gesplitste opstelling leidt in de praktijk tot een werkbare en toepasbare regeling inzake toegang tot email van werknemers die niettemin tevens recht doet aan de privacy van die werknemers. Immers, indien de werkgever in zijn ICTpolicy heeft aangekondigd en opgelegd dat werknemers hun private e-mail verplicht via een persoonlijk e-mailadres (genre Hotmail) moeten laten verlopen, en niet via het e-mailadres dat hen ter beschikking werd gesteld om de professionele bezigheden te kunnen uitvoeren, dan mag de werkgever er in principe van uitgaan dat de informatie die zich bevindt in de professionele mailboxen van de werknemers ook professioneel, functioneel en bedrijfsmatig is. Daartoe heeft hij, op basis van zijn gezag als werkgever, toegang, ook wat de inhoud van die berichten betreft, teneinde de continuïteit van de dienstverlening en de goede werking van de onderneming/het openbaar bestuur te kunnen blijven verzekeren, inzonderheid in geval van afwezigheid, overlijden of vertrek van de werknemer. Een dergelijke toegang gebeurt dan overeenkomstig de basisvoorwaarden bepaald in de WVP: mits duidelijke en precieze informatie over de specifieke doeleinden van deze verwerking en mits de verwerking noodzakelijk en proportioneel is. Een dergelijke gesplitste opstelling komt elk van de partijen tegemoet in hun respectievelijke aanspraken. Enerzijds is er de waarborg in het voordeel van de werkgever om alle communicatiegegevens in principe te kunnen beschouwen als zijnde van professionele aard en daardoor voor hem vatbaar voor inhoudelijke toegang. Anderzijds is er de waarborg van de werknemer dat, ook op de werkplek, in principe een beperkte elektronische communicatievrijheid voor privédoeleinden mogelijk blijft (zoals Europese rechtspraak vereist) via het eigen emailadres, met inbegrip van de waarborg dat zelfs bij ongeoorloofde aanwending van dit communicatiemiddel, de controle van de werkgever in beginsel niet verder zal kunnen gaan dan het gebruik van de telecommunicatiegegevens, en dus niet de inhoud zelf van de elektronische berichten, als bewijs voor eventueel misbruik van toegelaten privécommunicatie en dit volgens de spelregels van de CAO nr. 81.
