Controleren en respecteren: monitoren als werkgever versus het privacyrecht van de werknemer

Op 5 juli 2022 deed het Gerechtshof Arnhem-Leeuwarden uitspraak (ECLI:NL:GHARL:2022:6203) in een arbeidsgeschil met een privacyrechtelijke tint. Werkgever, de ING, kreeg een melding dat werknemer betrokken zou zijn bij onder meer fraude en witwassen. ING besloot daarop om over te gaan tot een intern onderzoek en monitoring van e-mailgebruik. Uit het onderzoek van de zakelijke e-mails kwam onder meer naar voren dat werknemer langdurig diverse niet gemelde nevenactiviteiten verrichtte, ook onder werktijd, en dat hij meerdere keren zonder een zakelijke reden, via de ING-raadpleegsystemen de gegevens van ING-klanten had geraadpleegd.

Naar aanleiding van de onderzoeksresultaten verzocht ING de kantonrechter om ontbinding van de arbeidsovereenkomst. De kantonrechter wees dit verzoek af omdat onduidelijk was of ING bij de monitoring van het e-mailgebruik had voldaan aan de voorwaarden die daaraan worden gesteld (zie hierna). In hoger beroep beoordeelde het Hof dit (alsnog) aan de hand van de AVG en in het bijzonder aan de hand van de uitspraak van het Europees Hof voor de Rechten van de Mens (EHRM) van 5 september 2017 in de zaak Bărbulescu.

Bărbulescu-factoren

Het EHRM overwoog in de zaak Bărbulescu dat de vraag of de werkgever toegang heeft tot de e-mailbox van de werknemer moet worden beoordeeld aan de hand van een aantal factoren. Allereerst geldt het kenbaarheidsvereiste: voordat de werkgever mag overgaan tot monitoring, dient hij de werknemer over die mogelijkheid te informeren. Relevant is wat de werknemer redelijkerwijs kan verwachten inzake monitoring. Verder moet de werkgever een legitieme reden hebben die de toegepaste wijze van de monitoring kan rechtvaardigen. Daarbij moet rekening worden gehouden met de eisen van proportionaliteit en subsidiariteit. Ook relevant is of de werknemer adequate waarborgen zijn geboden bij de monitoring. Al deze factoren moeten in onderlinge samenhang bezien worden: relevante factoren mogen niet afzonderlijk worden beoordeeld en het gewicht dat wordt toegekend aan de verschillende mee te wegen factoren is afhankelijk van de omstandigheden van het geval.

Oordeel Hof

Het Hof stelde vast dat werknemer vooraf niet was geïnformeerd over (de aard van) de mogelijke monitoring van correspondentie en andere communicatie door de werkgever. De werknemer kon derhalve niet weten of wanneer hij gemonitord zou worden en wat die monitoring zou inhouden. Met een beroep op haar geheimhoudingsplicht had de ING geen informatie verstrekt over de aard van de signalen die tot monitoring van het e-mailgebruik hadden geleid. Het Hof kon dan ook niet vaststellen of ING wel een legitieme grond had ter rechtvaardiging van de monitoring en of de monitoring aan de vereisten van proportionaliteit heeft voldaan. Het Hof stelde de ING daarom in de gelegenheid tot het bewijs van haar stellingen, in het bijzonder dat er voldoende reden was voor onderzoek van de e-mails en dat er dus sprake was van een ‘redelijke verdenking’.

Belang voor de praktijk

Uit de uitspraak van het Hof blijkt (weer) dat de werkgever niet ‘zomaar’ het e-mailgebruik van werknemers mag controleren. Ook niet als het gaat om de zakelijke mailbox. De werkgever heeft daarvoor een legitieme reden nodig. In deze kwestie wil het Hof kennelijk ook toetsen of er wel een legitieme reden was om over te gaan tot controle, nu de werkgever wordt opgedragen om te bewijzen dat er sprake was van een redelijke verdenking. Als werkgever moet u er dus rekening mee houden dat ook (achteraf) inzichtelijk moet worden gemaakt waarom (en hoe) controle heeft plaatsgevonden. In deze kwestie was een verwijzing naar een signaal van een anonieme bron volgens het Hof onvoldoende.

Daarnaast moet de mogelijkheid tot controle van de zakelijke mailbox voorafgaand aan de controle kenbaar worden gemaakt aan de werknemer. Daarbij is niet vereist dat de werkgever concreet stelt wanneer controle worden uitgevoerd (dan zou een controle mogelijk geen effect sorteren), maar wel dàt gecontroleerd kan worden en op welke wijze dat dan geschiedt. Dat kan bijvoorbeeld door een en ander in een personeelshandboek of de bedrijfspolicy op te nemen. De inhoud van het beleid dient van tevoren wel te worden goedgekeurd door de ondernemingsraad, zij hebben een instemmingsrecht omtrent het controleren van werknemers en de verwerking van hun persoonsgegevens.

Indien ten onrechte controle plaatsvindt, kan dit verstrekkende gevolgen hebben. De Autoriteit Persoonsgegevens kan een boete opleggen. Bij een ontbindingsverzoek kan een (hogere) billijke vergoeding aan een werknemer worden toegewezen indien blijkt dat de werkgever de privacy van een werknemer heeft geschonden. Indien wordt geoordeeld dat het bewijs door een privacyschending onrechtmatig is verkregen, kán dat bewijs zelfs terzijde worden gelegd.

Voor deze risico’s geldt dat voorkomen beter is dan genezen. Wilt u de mogelijkheid hebben om uw werknemers te monitoren en wilt u eerst weten waar u rekening mee moet houden om in uw recht te staan? Onze advocaten staan u graag te woord voor vragen en nadere informatie hierover.