Monitorizarea e-mailurilor de către angajator: când vă poate citi e-mailurile?

Da, angajatorul tău poate citi e-mailul tău de la serviciu în Olanda, dar numai în limite restrânse și niciodată doar pentru că firma deține adresa poștală. Citirea conținutului are întotdeauna nevoie de o justificare proprie: un interes legitim în temeiul GDPR, o căutare necesară și proporțională, o politică scrisă pe care ai știut-o dinainte și, în cazul în care există un consiliu de întreprindere, acordul prealabil al acestuia pentru acordul de monitorizare.

E-mailul de serviciu este un sistem al companiei, așa că angajatorul tău stabilește regulile de utilizare a acestuia. Mai jos explicăm când este legală citirea e-mailurilor, unde se află limitele și ce poți face dacă angajatorul tău a exagerat.

Poate angajatorul meu să-mi citească e-mailurile?

Da, dintr-un motiv comercial concret și numai în măsura în care acest motiv se aplică. Se aplică două seturi de reguli în același timp: legislația olandeză privind munca și GDPR.

Conform articolului 7:660 din Codul Civil Olandez ( Burgerlijk Wetboek , BW), angajatorul dumneavoastră poate oferi instrucțiuni privind utilizarea echipamentelor companiei și poate verifica dacă acestea sunt respectate. În conformitate cu Regulamentul general privind protecția datelor (GDPR, în olandeză AVG ), conținutul căsuței dumneavoastră poștale și datele de trafic aferente acesteia sunt date cu caracter personal, așadar fiecare inspecție are nevoie de un temei legal. Autoritatea olandeză pentru protecția datelor ( Autoriteit Persoonsgegevens , AP) supraveghează acest al doilea nivel.

Accesul tehnic nu este o permisiune. Un administrator de sistem poate aproape întotdeauna să deschidă o cutie poștală sau să restaureze un mesaj șters, dar dacă angajatorul dumneavoastră poate verifica acest lucru este decis de GDPR și de obligația de a acționa ca un bun angajator ( goed werkgeverschap , articolul 7:611 BW). Cu cât intruziunea este mai gravă, cu atât motivul trebuie să fie mai puternic: filtrarea automată a spamului și a programelor malware este ușor de justificat, un manager care citește luni întregi de corespondență a unui coleg nu este.

Pe ce temei legal te poate monitoriza angajatorul?

Aproape întotdeauna pe baza interesului legitim în temeiul articolului 6 alineatul (1) litera (f) din RGPD, nu pe baza consimțământului dumneavoastră. Consimțământul în temeiul articolului 6 alineatul (1) litera (a) din RGPD este rareori dat în mod liber într-o relație de muncă.

Interesul legitim necesită trei lucruri, evaluate și înregistrate înainte de deschiderea cutiei poștale: un interes real și prezent, prelucrarea necesară pentru a-l satisface și un echilibru cu drepturile dumneavoastră care să fie în favoarea angajatorului. Interesele care rezistă sunt concrete: un incident de securitate, o suspiciune de scurgere de secrete comerciale, o suspiciune de fraudă sau o obligație de investigare impusă de o autoritate de reglementare. Dorința generală de a vedea cât de mult muncesc oamenii nu rezistă.

Principiile articolului 5 din RGPD se aplică în întregime. Materialul găsit în timpul investigării unei scurgeri de date nu poate fi reutilizat ca fișier de performanță, căutările trebuie limitate la ceea ce este necesar, iar exportul unei căsuțe poștale trebuie șters odată ce investigația și orice procedură sunt închise. Pentru o monitorizare sistematică și extinsă, este necesară o evaluare a impactului asupra protecției datelor (DPIA) în temeiul articolului 35 din RGPD. O clauză din contractul dumneavoastră care acceptă monitorizarea arată că ați fost informat, dar nu înlocuiește testul de echilibrare sau consimțământul comitetului de întreprindere. Prezentarea noastră generală a protecției e-mailului și a datelor în cadrul RGPD explică modul în care aceste obligații se îmbină.

Cum limitează necesitatea și proporționalitatea o căutare?

Necesitatea întreabă dacă obiectivul poate fi atins fără a citi deloc căsuța poștală. Proporționalitatea întreabă dacă intruziunea este în concordanță cu problema.

Cea mai puțin intruzivă cale vine prima (subsidiaritatea). În cazul unei suspiciuni de scurgere de date, aceasta înseamnă că metadatele trebuie plasate înainte de conținut: expeditorul, destinatarul, marca temporală și atașamentele sunt adesea suficiente pentru a confirma sau a risipi o suspiciunea. Dacă un manager are nevoie de un fișier din căsuța poștală a unui coleg aflat în concediu medical, acesta îl poate transmite mai departe sau un administrator poate efectua o căutare restrânsă; o căsuță poștală aflată în concediu medical este probabil să conțină date medicale, o categorie specială conform articolului 9 din RGPD.

O căutare proporțională este limitată în ceea ce privește persoanele, termenii de căutare și timpul: echipa în cauză, termenii legați de materialul scurs și un interval de săptămâni în jurul incidentului. Este efectuată de o persoană fără un interes personal, cum ar fi responsabilul cu confidențialitatea datelor sau un specialist extern, iar totul este înregistrat.

Sunt mesajele private dintr-o căsuță poștală de afaceri protejate?

Da. Articolul 8 din Convenția Europeană a Drepturilor Omului (CEDO) protejează viața privată și corespondența la locul de muncă, iar instanțele olandeze îl aplică direct.

În cauza Bărbulescu împotriva României (5 septembrie 2017), Marea Cameră a Curții Europene a Drepturilor Omului a stabilit factorii care trebuie evaluați: dacă angajatul a fost informat în prealabil, cât de mult a mers monitorizarea, dacă au existat motive legitime, dacă era disponibilă o metodă mai puțin intruzivă, consecințele pentru angajat și garanțiile oferite. Atunci când angajatorul dumneavoastră dă peste un mesaj care este în mod evident privat sau care dezvăluie sănătate, religie, apartenență sindicală sau opinii politice, trebuie să oprească citirea acestuia și să îl elimine din dosar.

Nu vă încadrați în contul de serviciu și mutați orice element personal care ajunge într-un folder denumit clar. Aplicațiile de mesagerie de pe propriul dispozitiv schimbă și mai mult echilibrul; consultați articolul nostru despre dacă angajatorul dvs. vă poate citi mesajele WhatsApp.

De ce trebuie să fie de acord mai întâi consiliul de întreprindere?

Deoarece legislația olandeză conferă comitetului de întreprindere ( ondernemingsraad ) dreptul de a-și da consimțământul asupra acordurilor de monitorizare. Introducerea, modificarea sau retragerea unui acord de monitorizare prin e-mail sau internet necesită acordul prealabil al acestuia.

Articolul 27 alineatul (1) litera (k) din Legea privind consiliile de întreprindere ( Wet op de ondernemingsraden , WOR) acoperă prelucrarea și protecția datelor cu caracter personal ale personalului, iar articolul 27 alineatul (1) litera (l) acoperă facilitățile adecvate pentru verificarea prezenței, conduitei sau performanței. Înregistrarea e-mailurilor, filtrarea internetului, supravegherea camerelor video și software-ul de productivitate se încadrează într-una sau ambele categorii. Fără consimțământ, consiliul de întreprindere poate invoca nulitatea deciziei în scris, în termen de o lună (articolul 27 alineatul (5) WOR) și poate solicita instanței subordonate ( kantonrechter ) să dispună respectarea acesteia.

Ceea ce necesită consimțământ este acordul, nu fiecare investigație individuală din cadrul acestuia. Un comitet de întreprindere este obligatoriu acolo unde lucrează cel puțin 50 de persoane (articolul 2 din WOR); în organizațiile mai mici, cerințele GDPR se aplică în continuare în întregime.

Ce trebuie să conțină o politică de monitorizare legală?

O explicație clară, scrisă, a ceea ce este monitorizat, de ce și cum, care vă este oferită înainte de începerea oricărei monitorizări. O clauză generală conform căreia „angajatorul poate monitoriza comunicările” nu este suficientă.

• scopurile monitorizării, descrise concret;
• ce este procesat și prin ce mijloace, inclusiv dacă conținutul poate fi citit sau doar datele de trafic;
• cine poate autoriza o inspecție, cine o efectuează și cum se aplică principiul celor patru ochi;
• cât timp sunt păstrate datele de monitorizare și rezultatele investigațiilor;
• dacă este permisă utilizarea privată a sistemelor companiei și în ce limite;
• drepturile angajaților, inclusiv accesul la datele lor și dreptul de a depune o plângere la AP.

Un angajator care a promis căutări prin cuvinte cheie și apoi exportă o cutie poștală completă încalcă propriile reguli publicate. Nota noastră despre înțelegerea obligațiilor angajatorului și angajatului și analizele noastre mai ample despre obligațiile legale ale angajatorilor olandezi explică modul în care aceste documente interacționează cu relația de muncă.

Cât de departe poate merge angajatorul dumneavoastră atunci când suspectează o abatere de conduită?

Numai până la punctul în care se extinde suspiciunea documentată. O decizie scrisă de la început consemnează suspiciunea, faptele din spatele acesteia, scopul și de ce mijloacele mai ușoare nu sunt suficiente; extinderea căutării pentru că prima rundă nu a găsit nimic este o expediție de pescuit.

Monitorizarea sub acoperire este justificabilă doar în cazul în care informarea dumneavoastră ar zădărnici ancheta, de exemplu pentru că probele ar fi distruse, și trebuie să fie temporară, limitată și divulgată ulterior. Aveți dreptul să fiți audiat cu privire la constatări înainte de a se trage concluzii.

Probele obținute ilegal prin e-mail sunt de obicei admise în procedurile civile olandeze, deoarece interesul stabilirii adevărului prevalează, în general. Însă încălcarea nu este gratuită: aceasta susține o cerere de daune, o plângere la AP și o cerere de despăgubire echitabilă ( billijke vergoeding ) într-un caz de concediere. Într-o concediere sumară ( ontslag op staande voet ), angajatorul trebuie să demonstreze un motiv urgent în temeiul articolului 7:678 BW și să acționeze fără întârziere, lucru pe care o anchetă care se prelungește timp de luni de zile îl subminează. Ghidul nostru despre cum să gestionezi concedierea unui angajat stabilește legal această secvență.

Se aplică același lucru și pentru înregistrarea în jurnal, chat, lucrul la distanță și foștii angajați?

Da. Jurnalele de internet, înregistrările VPN, platformele de chat precum Teams sau Slack, permisele de acces, gestionarea dispozitivelor mobile și tablourile de bord pentru productivitate necesită un scop specificat, necesitate, proporționalitate, transparență și, acolo unde este cazul, acordul consiliului de întreprindere.

Instrumentele continue, cum ar fi înregistrarea tastelor apăsate, capturile de ecran la intervale și obligativitatea utilizării unei camere web pe parcursul întregii zile de lucru, sunt extrem de dificil de justificat; o instanță olandeză a decis că obligativitatea ca un angajat să țină camera pornită toată ziua reprezenta o intruziune inacceptabilă în viața privată. Munca de acasă ridică pragul, deoarece locuința este nucleul sferei private în temeiul articolului 8 din CEDO.

După plecarea dumneavoastră, angajatorul dumneavoastră nu vă poate mai citi căsuța poștală. Contul ar trebui dezactivat prompt, cu un răspuns automat care să includă numele unui coleg, orice redirecționare limitată la o perioadă anunțată, iar mesajele personale pe care le semnalați ar trebui predate sau șterse. Vă păstrați dreptul de acces și puteți solicita ștergerea datelor care nu mai sunt necesare (articolul 17 din RGPD).

Ce ar trebui să verifici ca angajat?

Dacă suspectați că angajatorul v-a citit e-mailul în mod ilegal, începeți cu o cerere de acces scrisă și păstrați o evidență a faptelor. Acționați rapid dacă este vorba de o concediere.

• Dacă a existat o politică de monitorizare scrisă și dacă v-a fost furnizată înainte de monitorizare.
• Dacă consiliul de întreprindere a fost de acord cu acordul.
• Ce date a prelucrat angajatorul dumneavoastră, printr-o cerere de acces în temeiul articolului 15 din RGPD, la care trebuie să se răspundă în termen de o lună.
• Indiferent dacă au fost citite mesaje private sau date medicale.
• Dacă ați fost audiat înainte de a se trage concluzii.
• Termenele limită în cazul unei respingeri, cum ar fi două luni, pentru a contesta o respingere sumară.

Ce ar trebui să verifici ca angajator?

Documentează-ți raționamentul înainte de a deschide o cutie poștală. Un angajator care nu își poate reconstitui ancheta se află într-o poziție slabă în fața autorității de apel sau a unei instanțe.

• Un interes legitim înregistrat și un test de echilibrare în temeiul articolului 6 alineatul (1) litera (f) din RGPD.
• O politică de monitorizare scrisă și comunicată și, acolo unde este necesar, o DPIA (Evaluare a Performanței la Daune).
• Acordul prealabil al consiliului de întreprindere în temeiul articolului 27 alineatul (1) literele (k) și (l) din WOR.
• O căutare limitată în persoane, termeni și timp, efectuată de o persoană independentă și înregistrată.
• O procedură pentru mesajele private și categoriile speciale de date găsite în timpul unei căutări.
• Păstrarea și ștergerea datelor de investigație odată ce cazul este închis.

Ce putem face pentru tine cu monitorizarea e-mailurilor la locul de muncă?

Avocații noștri specializați în dreptul muncii oferă consultanță angajaților și angajatorilor cu privire la monitorizare, confidențialitate și litigiile de concediere care decurg din acestea.

• Redactăm cererea dumneavoastră de acces în temeiul articolului 15 din RGPD și evaluăm răspunsul angajatorului.
• Evaluăm dacă o investigație care a stat la baza unui avertisment, suspendare sau concediere a fost legală.
• Solicităm daune sau despăgubiri echitabile sau ne apărăm împotriva unei astfel de cereri în fața tribunalului subdistrictual.
• Întocmim o plângere la Autoriteit Persoonsgegevens.
• Pentru angajatori, redactăm politica de monitorizare și solicitarea de acord a consiliului de întreprindere.
• Am stabilit protocolul investigației: domeniul de aplicare, termenii de căutare, investigatorul independent și înregistrarea datelor.

Rezumat

• Angajatorul dumneavoastră poate citi e-mailul dumneavoastră de la serviciu doar pentru un interes comercial concret, înregistrat și numai în limitele interesului respectiv (articolul 6 alineatul (1) litera (f) din RGPD).
• Căutarea trebuie să fie necesară și proporțională: metadate înainte de conținut, limitată în persoane, termeni de căutare și timp, efectuată independent și înregistrată.
• Trebuie să cunoașteți politica de monitorizare în avans, iar în cazul în care există un consiliu de întreprindere, acesta trebuie să fi consimțit acordul (articolul 27 din WOR).
• Evident, mesajele private și categoriile speciale de date rămân în afara fișierului, chiar și în timpul unei percheziții legale.
• Dacă suspectați că monitorizarea a mers prea departe, începeți cu o cerere de acces în temeiul articolului 15 din RGPD și acționați rapid dacă este vorba de o respingere a datelor.

Întrebări frecvente