Zo wordt de mogelijkheid voor de werkgever erkend om controle uit te voeren op de persoonlijke elektronische on-linecommunicatiegegevens (niet op hun inhoud) voor één of meerdere gerechtvaardigde doelen.
We zullen één voor één de elementen belichten waarmee een werkgever rekening moet houden wanneer hij controle wil uitoefenen op de elektronische tools die hij ter beschikking stelt van zijn werknemers.
De controle moet een gerechtvaardigd doel nastreven
Controle is enkel toegestaan voor een gerechtvaardigd doel. De CAO nr. 81 somt een aantal doeleinden op die als gerechtvaardigd kunnen worden beschouwd:
- Het voorkomen van ongeoorloofde of lasterlijke feiten, feiten die strijdig zijn met de goede zeden of de waardigheid van een andere persoon kunnen schaden (bijvoorbeeld: computerpiraterij, consulteren van websites met pornografische of pedofiele inhoud enz.)
- De bescherming van de economische, handels- en financiële belangen van de onderneming die vertrouwelijk zijn alsook het tegengaan van ermee in strijd zijnde praktijken (zoals bijvoorbeeld: denigrerende publiciteit, schending van zakengeheimen, enz.)
- De veiligheid en/of de goede technische werking van de IT-netwerksystemen van de onderneming, met inbegrip van de controle op de kosten die ermee gepaard gaan alsook de fysieke bescherming van de installaties van de onderneming (bijvoorbeeld: het informaticasysteem van het bedrijf besmetten met een virus)
- Het te goeder trouw naleven van de in de onderneming geldende beginselen en regels voor het gebruik van on-linetechnologieën
De werkgever moet de doelstelling(en) van de controle duidelijk en expliciet omschrijven.
De controle moet evenredig zijn met het nagestreefde doel
Als de controle een inmenging in het privéleven van de werknemer tot gevolg heeft, moet deze inmenging tot een minimum beperkt worden. Enkel de gegevens noodzakelijk voor de controle mogen worden verzameld.
In het specifieke kader van de CAO nr. 81 betekent dit dat er in principe alleen globale gegevens mogen worden verzameld en dat individualisering van deze gegevens (d.w.z. dat ze worden toegeschreven aan een identificeerbare persoon) in principe niet is toegestaan.
In bepaalde gevallen staat de CAO echter toe dat een werkgever die een onregelmatigheid vaststelt rechtstreeks, uitgaande van de globale gegevens waarover hij beschikt, nagaat welke werknemer aan de oorsprong ligt van die onregelmatigheid. We zullen dit aspect bespreken onder de titel “Regels voor de individualisering”.
De controle moet transparant zijn
Opdat de controle als transparant beschouwd kan worden, moeten de werknemers voldoende ingelicht zijn over alle aspecten van de controle.
Collectieve informatie
De werkgever moet in de eerste plaats overgaan tot het geven van een collectieve informatie aan de werknemers via de ondernemingsraad (OR) of, bij ontstentenis, het comité voor preventie en bescherming op het werk (CPBW) of, bij ontstentenis, de vakbondsafvaardiging of, bij ontstentenis, rechtstreeks aan de werknemers.
De collectieve informatie moet worden gegeven voordat een controlesysteem wordt geïnstalleerd. De collectieve informatie moet betrekking hebben op:
- Het controlebeleid en de voorrechten van de werkgever en het toezichthoudend personeel
- De nagestreefde doelstelling(en)
- Het feit of persoonsgegevens al dan niet worden bewaard, de plaats en de duur van bewaring
- De al dan niet permanente aard van de controle
Individuele informatie
Vanaf de installatie van de elektronische on-linecommunicatiegegevens moet de werkgever individuele informatie geven.
Cao nr. 81 stelt dat deze individuele informatie moet betrekking hebben op:
- Het gebruik van de instrumenten die de werknemer voor de uitvoering van zijn werk ter beschikking worden gesteld, inclusief de beperkingen van het gebruik in het kader van de functie
- De rechten en plichten van de werknemers en de eventuele verbodsbepalingen inzake het gebruik van de elektronische on-linecommunicatiemiddelen van de onderneming
- De in het arbeidsreglement bepaalde straffen wanneer de regels niet in acht worden genomen
De CAO legt geen specifieke informatiedrager op voor de individuele informatie. De werkgever kan deze informatie dus verstrekken:
- In het kader van algemene instructies
- Door vermelding in het arbeidsreglement
- Door vermelding in de individuele arbeidsovereenkomst
- Of door instructies bij elk gebruik van de instrumenten
Rekening houdend met de GDPR moet de individuele informatie ook betrekking hebben op:
- De wettelijke rechtsgrond van het verwerken van deze gegevens
- Wie onderworpen is aan de controle
- In welke mate er controle is en de voorrechten van de werkgever en het toezichthoudend personeel
- Welke gegevens verwerkt worden
- De aard van misbruiken die aanleiding kunnen geven tot controle
- De duur van de controles en de al dan niet permanente aard van de controle
- De doeleinden van de controle
- Het feit of de persoonsgegevens worden bewaard, de plaats en de duur van de bewaring
- En of de gegevens buiten de Europese Unie gestuurd worden
Regels voor de individualisering
Zoals we hebben gezien, mag de controle van de werkgever normaal gezien alleen globaal en niet geïndividualiseerd gebeuren[1].
In bepaalde gevallen mag de werkgever de controle echter individualiseren.
De regels die hiertoe zijn vastgesteld in de CAO nr. 81 gelden niet voor het onderwerp en de inhoud van de elektronische on-linecommunicatiegegevens waarvan het beroepsmatige karakter door de werknemer niet in twijfel wordt getrokken. Ze zijn uitsluitend van toepassing op de individualisering van de gegevens van elektronische privécommunicatie.
De CAO maakt een onderscheid tussen twee types van individualisering: directe individualisering en indirecte individualisering (met een voorafgaande voorlichtingsfase).
De individualisering van de elektronische on-linecommunicatiegegevens moet ook de finaliteit-, proportionaliteit- en transparantieprincipes naleven.
In het kader van de hierna vermelde categorieën van doelstellingen mag de werkgever overgaan tot een directe individualisering zodra hij een onregelmatigheid vaststelt:
- Het voorkomen van ongeoorloofde of lasterlijke feiten, feiten die strijdig zijn met de goede zeden of de waardigheid van een andere persoon kunnen schaden
- De bescherming van de economische, handels- en financiële belangen van de onderneming die vertrouwelijk zijn alsook het tegengaan van ermee in strijd zijnde praktijken
- De veiligheid en/of de goede technische werking van de IT-netwerksystemen van de onderneming, met inbegrip van de controle op de kosten die ermee gepaard gaan alsook de fysieke bescherming van de installaties van de onderneming
Indien de controle echter het te goeder trouw naleven van de in de onderneming geldende beginselen en regels voor het gebruik van on-linetechnologieën tot doel heeft (4de doelstellingscategorie) moet de individualisering indirect verlopen, d.w.z. dat er een voorafgaande voorlichtingsfase aan moet voorafgaan.
Deze voorlichting heeft tot doel de werknemer in te lichten over het bestaan van de onregelmatigheid en hem te laten weten dat de elektronische communicatiegegevens geïndividualiseerd zullen worden wanneer opnieuw een dergelijke onregelmatigheid wordt vastgesteld.
Bovendien moet de werkgever de werknemer ook uitnodigen voor een gesprek om hem de kans te geven zijn bezwaren over de voorgenomen beslissing of evaluatie uiteen te zetten en het gebruik van de hem ter beschikking gestelde elektronische communicatiemiddelen te rechtvaardigen.
[1] Zie hierboven: “De controle moet een gerechtvaardigd doel nastreven”.