Het komt vaker voor dat de werkgevers de e-mailadressen van de vertrekkende werknemers voor een tijdje behouden teneinde geen belangrijke professionele berichten te verliezen, gelet op de functies van de vertrokken werknemer en het gebrek aan overdracht van lopende dossiers. Doch heeft de gegevensbeschermingsautoriteit (GBA) zich reeds in 2020 uitgesproken over de vraag of een werkgever zich toegang mag verschaffen tot het professioneel e-mailadres op naam van een werknemer waarvan de tewerkstelling reeds beëindigd is.
Bij iedere verwerking van persoonsgegevens is er een verwerkingsverantwoordelijke die wordt aangesteld. Als verwerkingsverantwoordelijke is men onder andere verplicht om de gegevensbeschermingsbeginselen van GDPR in acht te nemen en moet deze persoon ook kunnen aantonen dat deze beginselen worden nageleefd (verantwoordingsplicht).
E-mailadressen zijn persoonsgegevens in de zin van de GDPR omdat het gaat om gegevens met betrekking tot een geïdentificeerde of identificeerbare natuurlijke personen. In de e-mailadressen staan namelijk altijd de voornaam of achternaam of beide vermeld.
De GBA heeft beslist dat door het niet afsluiten van de e-mailadressen de verwerkingsverantwoordelijke niet heeft voldaan aan de principes van doelbinding, rechtmatigheid, minimale gegevensverwerking en opslagbeperking.
Om te voldoen aan de principes doelbeginsel, beginsel van minimalisering en beperking van de bewaartermijn, moet de verwerkingsverantwoordelijke de e-mail-accounts van de vertrekkende werknemer blokkeren en dit ten laatste op het moment van hun feitelijk vertrek.
De blokkering moet gebeuren nadat de vertrekkende werknemer daarvan vooraf verwittigd is. Bovendien is men verplicht om in een automatisch bericht te voorzien waarin de geadresseerde erop wordt gewezen dat de persoon die hij probeerde te contacteren (namelijk de vertrekkende werknemer) de onderneming heeft verlaten.
Na een redelijke termijn moet de mailbox verwijderd worden. Dit geldt ook voor het automatisch bericht. Een langere termijn voor het automatisch bericht kan voorzien worden maar mag idealiter niet langer zijn dan drie maanden. Indien men zich beroept op deze verlenging, moet dit tevens gemotiveerd worden en gebeurt beter in onderling akkoord met de vertrekkende werknemer. Indien men de vertrekkende werknemer niet vraagt of deze akkoord is met de verlenging, moet deze minstens op de hoogte gebracht worden van de verlenging.
Men kan zich voor het actief houden van de mailbox voor een beperkte tijd baseren op het gerechtvaardigd belang van de onderneming, namelijk het verzekeren van de continuïteit van de prestaties en het goed functioneren van de onderneming.
Om te vermijden dat de onderneming zich nog toegang dient te verschaffen tot de mailbox van de vertrekkende werknemer na dat deze vertrokken is, dienen e-mails uit de e-mail-account van de vertrekkende werknemer te worden gerecupereerd voor het vertrek van deze werknemer en in zijn aanwezigheid.
Uiteraard moet de vertrekkende werknemer op de hoogte gebracht worden van deze procedure voordat hij de onderneming verlaat.
Wanneer men niet voldoet aan deze verplichting, kan de GBA beslissen tot het opleggen van een administratieve boete. In zijn beslissing in 2020 heeft de GBA bijvoorbeeld een geldboete opgelegd van 15.000,00 euro aan een onderneming die e-mailadressen gelinkt aan vertrokken werknemers slechts na 2,5 jaar heeft afgesloten.
Indien u verdere vragen zou hebben over dit onderwerp, mag u ons steeds contacteren.
Bron: beslissing ten gronde 64/2020 van 29 september 2020 Geschillenkamer “betreft: klacht voor het niet afsluiten van de e-mail na beëindiging van de functies