Angajatorul îți citește mesajele WhatsApp: ce permite legea olandeză

Angajatorul dumneavoastră nu vă poate citi pur și simplu mesajele WhatsApp, pe un telefon privat sau pe un telefon al companiei. Citirea acestora este legală doar ca excepție: în cazul în care există o suspiciune concretă și serioasă, o modalitate de investigare la fel de intrusivă și o politică care a informat personalul în prealabil ce poate fi verificat; un acord de monitorizare structurală necesită, de asemenea, acordul consiliului de întreprindere în temeiul articolului 27 alineatul (1) litera (l) din Legea consiliilor de întreprindere (Wet op de ondernemingsraden, WOR).

Mesajele sunt date cu caracter personal, așadar GDPR-ul se aplică în întregime. Mai jos explicăm cadrul legal, diferența dintre mesajele private și cele comerciale, rolul comitetului de întreprindere și ce puteți face dacă a fost depășită limita.

Ce reguli vă protejează mesajele de la locul de muncă?

Se aplică simultan trei niveluri de lege: dreptul la viață privată, legislația privind protecția datelor și legislația muncii. Fiecare dintre acestea limitează ceea ce un angajator poate face cu mesajele tale.

Articolul 8 din Convenția Europeană a Drepturilor Omului (CEDO) protejează viața privată și corespondența, inclusiv la locul de muncă, iar articolul 10 din Constituția olandeză (Grondwet) face același lucru. Curtea Europeană a Drepturilor Omului impune angajatorilor să informeze în prealabil personalul cu privire la natura și amploarea monitorizării, iar instanțele trebuie să evalueze motivele angajatorului în raport cu intruziunea și disponibilitatea unor mijloace mai puțin intruzive.

Conținutul unui mesaj, expeditorul și destinatarul, precum și ora trimiterii acestuia sunt date cu caracter personal. Citirea acestora reprezintă prelucrare în conformitate cu GDPR, cu principiile sale de limitare a scopului, minimizare a datelor și limitare a stocării. Prezentarea noastră generală a protecției generale a datelor stabilește aceste principii, iar Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens, AP) le supraveghează.

În dreptul muncii, dreptul angajatorului de a da instrucțiuni acoperă modul în care se desfășoară munca, nu viața privată. Un angajator care merge mai departe și accesează cu ușurință un cont sau un dispozitiv fără permisiune poate comite încălcarea proprietății informatice (computervredebreuk) în temeiul articolului 138ab din Codul penal olandez (Sr), pedepsită cu închisoare de până la doi ani.

În ce temei legal poate un angajator să citească mesaje?

Fiecare operațiune de prelucrare necesită un temei legal în temeiul articolului 6 din RGPD. Într-un raport de muncă, acest temei este aproape niciodată consimțământul, așadar angajatorul trebuie să se bazeze pe un interes legitim.

Consimțământul trebuie să fie dat în mod liber și, deoarece depindeți de angajatorul dumneavoastră, refuzul este rareori lipsit de consecințe. Prin urmare, Autoritatea de Protecție a Datelor (AP) și autoritățile europene pentru protecția datelor consideră consimțământul ca fiind invalid pentru aproape toate activitățile de monitorizare la locul de muncă; o clauză din contractul dumneavoastră sau din politica IT nu schimbă acest lucru.

Un interes legitim poate fi protejarea proprietății companiei și a informațiilor confidențiale, investigarea unei suspiciuni concrete de fraudă, respectarea unei obligații legale sau securizarea rețelei. Curiozitatea, neîncrederea generală, verificarea productivității sau dorința de a ști ce spune personalul despre management nu sunt considerate a fi un interes legitim. Angajatorul trebuie să își înregistreze evaluarea înainte de începerea monitorizării. Planul de acțiune stabilește condițiile pe care le aplică monitorizării angajaților.

Necesitate, proporționalitate și subsidiaritate

Chiar și în cazul unui interes legitim, citirea mesajelor trebuie să fie necesară, proporțională și opțiunea cea mai puțin intruzivă. Dacă intervievarea persoanelor implicate, verificarea jurnalelor de sistem sau examinarea tranzacțiilor ar răspunde la întrebare, citirea mesajelor este ilegală, oricât de incriminator ar fi rezultatul.

O suspiciune credibilă că un angajat vinde baza de date cu clienți justifică mult mai mult decât o întrebare despre declarațiile de cheltuieli. În practică, angajatorul trebuie să restrânge căutarea în prealabil: un interval de date limitat, participanți numiți, termeni de căutare definiți și o regulă conform căreia, evident, conținutul privat nu este citit. În cazul în care monitorizarea este sistematică și la scară largă, este necesară o evaluare a impactului asupra protecției datelor (DPIA) în temeiul articolului 35 din GDPR înainte de începerea acesteia.

Transparență: politica este pe primul loc

Monitorizarea care nu a fost niciodată anunțată este aproape întotdeauna ilegală. Angajatorul are nevoie de o politică scrisă și accesibilă care să precizeze dacă este permisă utilizarea privată a dispozitivelor companiei, ce este înregistrat și pentru cât timp, când poate fi inspectat conținutul, cine decide și cine efectuează verificarea.

O politică care își rezervă doar dreptul „de a monitoriza totul în orice moment” este puțin probabil să reziste. Aceasta semnalează instanței că angajatorul nu a luat niciodată în considerare proporționalitatea.

Trebuie să fie de acord și consiliul de întreprindere?

Da, pentru acordul de monitorizare în sine. În temeiul articolului 27 alineatul (1) literele (k) și (l) din WOR, angajatorul are nevoie de consimțământul consiliului de întreprindere (ondernemingsraad) pentru orice acord privind prelucrarea datelor cu caracter personal ale angajaților și pentru orice sistem destinat sau adecvat pentru monitorizarea prezenței, comportamentului sau performanței.

Un comitet de întreprindere este obligatoriu într-o întreprindere care are în mod normal cel puțin 50 de angajați (articolul 2 din WOR). Dacă consiliul refuză acordul, angajatorul poate solicita permisiunea instanței subdistrictuale (kantonrechter), care este acordată numai dacă refuzul este nerezonabil sau dacă decizia este impusă de motive comerciale imperative (articolul 27 alineatul (4) din WOR).

Omiterea acestei etape are consecințe grave. În temeiul articolului 27 alineatul (5) din WOR, o decizie luată fără consimțământ este nulă dacă consiliul de întreprindere invocă nulitatea în scris în termen de o lună de la informarea cu privire la decizie sau de la constatarea aplicării acesteia.

Contează al cui este telefonul?

Mai puțin decât cred angajatorii. Ceea ce contează este natura comunicării și ceea ce te-ai putea aștepta în mod rezonabil, deși proprietatea afectează ceea ce angajatorul are acces practic.

Telefon privat

Angajatorul nu are drept de acces pe telefonul dumneavoastră privat. Nu vă poate solicita să predați sau să deblocați telefonul sau să instalați software fără acordul dumneavoastră, iar refuzul reprezintă exercitarea unui drept, nu obstrucționarea unei anchete. Accesul la materialele de pe un dispozitiv privat este posibil doar prin intermediul competențelor de investigare penală sau printr-o hotărâre judecătorească.

Telefonul companiei

Dacă utilizarea privată este permisă, în mod explicit sau în practică, mențineți o așteptare rezonabilă de confidențialitate în conversațiile private de pe telefonul respectiv. Mesajele WhatsApp sunt criptate end-to-end, astfel încât angajatorul nu le poate citi în rețeaua companiei sau prin Wi-Fi, dar pe un telefon gestionat, departamentul IT poate vedea aplicațiile instalate, copiile de rezervă sau, cu telefonul în mână, istoricul conversațiilor. Din punct de vedere legal, angajatorul poate consulta doar ceea ce are nevoie pentru un scop definit și legitim.

Adu-ți propriul dispozitiv și WhatsApp Web

Dacă folosiți propriul telefon pentru serviciu, accesul angajatorului ar trebui să fie limitat la un mediu de lucru gestionat separat, cum ar fi contul de e-mail al companiei și aplicațiile de serviciu. Înainte de a instala software-ul de gestionare a dispozitivelor mobile, întrebați în scris ce poate vedea acesta, dacă ștergerea de la distanță afectează datele private și ce se întâmplă când plecați. Pe un computer de serviciu, WhatsApp Web poate fi vizibil prin monitorizarea ecranului sau prin alte instrumente IT.

Este chat-ul de afaceri tratat diferit?

Da. Un mesaj dintr-un grup WhatsApp al companiei despre un client sau dintr-un instrument de chat la locul de muncă reprezintă o comunicare de afaceri pe sistemele controlate de angajator, iar în unele sectoare trebuie păstrat din motive de reglementare.

Aceleași principii GDPR se aplică în continuare: un scop definit, nu mai multe date decât este necesar, transparență cu privire la ceea ce este înregistrat și o regulă pentru aspectele private care apar pe canalele de lucru. Colegii care discută despre un cadou de ziua de naștere într-un grup de lucru nu și-au renunțat la viața privată, dar menținerea conversațiilor private în afara canalelor de lucru vă consolidează poziția.

Când poate un angajator să vadă mesajele?

Numai după o suspiciune concretă de abatere gravă, o anchetă care începe cu pasul cel mai puțin intruziv și o percheziție restrânsă și documentată. Monitorizarea sub acoperire, fără a vă anunța în prealabil, este posibilă doar în cazuri excepționale, pentru o perioadă limitată de timp, iar dumneavoastră trebuie să fiți informat ulterior.

Un exemplu ilustrativ: un angajator suspectează că un angajat transmite fișiere ale clienților către un concurent. O investigație legală examinează mai întâi ce fișiere au fost descărcate, când și din ce cont. Numai dacă acest lucru nu răspunde la întrebare, angajatorul poate defini o perioadă limitată și un canal pe propriul echipament, poate angaja un grup mic să efectueze căutarea și să înregistreze raționamentul acestuia, apoi să audieze angajatul. Instalarea unui software de monitorizare pe telefoanele unui întreg departament și citirea lunilor de conversații eșuează la orice test, chiar dacă găsește dovezi.

Când un coleg predă mesajele

De obicei, angajatorul nu caută deloc: un coleg transmite o captură de ecran. Angajatorul a primit astfel informații, nu le-a accesat, dar din acel moment prelucrează date cu caracter personal și trebuie să aibă în continuare un interes legitim și să limiteze utilizarea acestora la ceea ce impune acest interes.

Un destinatar este, în general, liber să transmită un mesaj, așa că argumentul că angajatorul l-a obținut în mod ilegal rareori are succes. Ceea ce puteți argumenta este contextul: patru mesaje dintr-un schimb lung de replici oferă o imagine parțială. Un angajator care acționează pe baza unei capturi de ecran fără a solicita conversația completă și a vă asculta nu a investigat în mod corespunzător.

Situații care merg adesea prost

• Absență din cauza unei boli: verificarea mesajelor sau a rețelelor sociale pentru a verifica dacă sunteți într-adevăr bolnav înseamnă prelucrarea datelor medicale, lucru pe care angajatorul nu îl poate face; întrebările despre boală aparțin medicului de la companie.
• Activități secundare suspectate: citirea mesajelor nu este aproape niciodată cea mai puțin intruzivă modalitate de a afla ce face cineva în timpul liber.
• Un conflict escaladat sau o reorganizare: căutarea de muniție în comunicații va fi considerată de instanță ca o constituire a unui dosar, nu ca o investigare a unui incident.

Pot fi folosite mesajele obținute ilegal împotriva ta?

Adesea, da. În procedurile civile olandeze, inclusiv în cazurile de muncă, probele obținute cu încălcarea normelor de confidențialitate sunt excluse doar în circumstanțe excepționale, deoarece interesul de a stabili adevărul prevalează de obicei.

Încălcarea contractului de muncă contează în continuare. Poate susține o cerere separată de despăgubire, afectează modul în care instanța îl percepe pe angajator și, într-un caz de concediere, poate fi considerată o conduită grav culpabilă (ernstig verwijtbaar handelen) din partea angajatorului, ceea ce poate duce la o despăgubire echitabilă (billijke vergoeding). Articolul nostru despre concedierea sumară pe baza mesajelor WhatsApp explică cum se manifestă acest lucru.

Ce poți face dacă angajatorul ți-a citit mesajele?

Nu șterge nimic și află mai întâi exact ce s-a întâmplat. Ștergerea mesajelor odată ce a apărut o dispută pare a fi o ascundere și poate fi reținută împotriva ta.

Întrebați-vă angajatorul în scris pe ce bază au fost accesate mesajele, ce a fost accesat, de către cine, când și în ce scop. Trimiteți o cerere de acces în temeiul articolului 15 din RGPD; angajatorul trebuie să răspundă în termen de o lună, prelungibil cu două luni pentru cereri complexe (articolul 12 alineatul (3) din RGPD).

Apoi alegeți calea. O plângere internă adresată angajatorului sau responsabilului cu protecția datelor este cea mai rapidă. Consiliul de întreprindere este organismul potrivit dacă problema constă în mecanismul de monitorizare în sine. O plângere adresată Autorității de Protecție a Datelor (AP) este gratuită, dar AP decide singură dacă investighează și nu acordă despăgubiri. Pentru despăgubiri sau un ordin de încetare, vă adresați instanței civile; articolul 82 din RGPD oferă dreptul la despăgubiri, dar instanțele olandeze acordă sume restrânse pentru daune morale și vă solicită să vă justificați pierderea. Prezentarea noastră generală a drepturilor angajaților din Țările de Jos prezintă poziția mai amplă.

Ce ar trebui să verifici ca angajat?

• Citiți politica IT și de monitorizare acum, înainte să apară o problemă.
• Păstrează conversațiile private pe propriul telefon, în afara dispozitivelor și rețelelor companiei.
• Verifică dacă chat-urile de serviciu create în cloud-ul personal sau în aplicațiile de serviciu se sincronizează mai mult decât este intenționat.
• Dacă vi se cere să deblocați un telefon, întrebați pe ce bază, ce va fi verificat și de către cine și confirmați răspunsul în scris.
• Înainte de a instala software de gestionare pe propriul telefon, întreabă-l ce poate vedea și ce se întâmplă când pleci.
• Dacă mesajele dumneavoastră au fost citite, trimiteți o cerere de acces în temeiul articolului 15 din RGPD și păstrați toată corespondența.

Ce ar trebui să verifici ca angajator?

• Aveți o politică scrisă care să precizeze ce este monitorizat, de ce, de către cine și cât timp sunt păstrate datele.
• Obțineți și înregistrați acordul comitetului de întreprindere în temeiul articolului 27 alineatul (1) literele (k) și (l) din WOR înainte de introducerea monitorizării.
• Efectuați o DPIA în temeiul articolului 35 din RGPD în cazul în care monitorizarea este sistematică sau la scară largă.
• Când apare un incident, epuizați mai întâi sursele obiective și definiți în scris domeniul de aplicare al oricărei căutări de mesaje.
• Ascultați angajatul înainte de a trage concluzii și ștergeți materialul odată ce scopul său a fost îndeplinit.
• Nu considerați proprietatea asupra unui dispozitiv drept permisiunea de a citi tot ce se află pe el. Ghidul nostru pentru Legea olandeză privind confidențialitatea datelor acoperă obligațiile adiacente.

Ce putem face pentru dumneavoastră cu monitorizarea locului de muncă?

Avocații noștri specializați în dreptul muncii îi sfătuiesc pe angajați și angajatori cu privire la citirea mesajelor la locul de muncă:

• Evaluăm dacă accesul angajatorului dumneavoastră la mesajele dumneavoastră a fost legal în conformitate cu GDPR și articolul 8 din CEDO.
• Redactăm cererea dumneavoastră de acces în temeiul articolului 15 din RGPD și urmăm respectarea termenului limită de o lună.
• Redactăm sau revizuim o politică de monitorizare și IT și pregătim cererea de aprobare către comitetul de întreprindere.
• Am inițiat o investigație internă detaliată și documentată, care respectă necesitatea și proporționalitatea.
• În cazul în care monitorizarea a dus la respingere, gestionăm împreună cazul de respingere și reclamația privind confidențialitatea.
• Depunem o plângere la AP sau inițiem acțiuni pentru obținerea unui ordin de oprire și despăgubiri.

Rezumat

• Un angajator poate citi mesajele WhatsApp doar cu un interes legitim, atunci când este necesar și proporțional și după ce a anunțat acest lucru într-o politică.
• Consimțământul unui angajat nu este aproape niciodată o bază validă pentru monitorizare.
• Aranjamentele de monitorizare necesită acordul consiliului de întreprindere în temeiul articolului 27 alineatul (1) literele (k) și (l) din WOR; fără acesta, acestea pot fi nule.
• Nu trebuie niciodată să deblochezi telefonul privat; pe un telefon de companie, este permisă doar o verificare definită și limitată.
• Mesajele obținute ilegal pot fi folosite în continuare în instanță, dar încălcarea poate duce la daune sau poate fi atacată împotriva angajatorului.

Întrebări frecvente