5. De praktijk

5.1. Inleiding

In dit hoofdstuk zullen de gevonden regels worden vergeleken met regels zoals deze in voorstellen voor Internet-policies voorkomen. Vervolgens wordt een blik geworpen op de jurisprudentie.

5.2. FNV

De FNV heeft een voorbeeld-protocol opgesteld dat als basisstuk voor de discussie van een Ondernemingsraad met de werkgever kan dienen. (1) Bij de invoeringsregels gaat de FNV er vanuit dat het initiatief bij de Ondernemingsraad ligt.

Het protocol van de FNV beteedt veel aandacht aan de privacy en de rechten van de werknemer. E-mail en overig Internet-gebruik voor niet-zakelijke activiteiten is toegestaan, zolang het niet storend is voor de dagelijkse werkzaamheden. De belangen van de werkgever komen eigenlijk niet aan bod. Van een reële afweging is geen sprake. Dat hoeft ook niet: een Ondernemingsraad brengt dit stuk in als vertegenwoordigend orgaan van het personeel.

De enige controle die het protocol toestaat, is een gerichte controle bij incidenten. Er moet dan sprake zijn van een reële verdenking tegen een of meer werknemers. In een dergelijk geval acht de FNV ook heimelijke observatie geoorloofd.

Doordat de FNV geheel voorbij gaat aan bedrijfsbelangen en het recht van de werkgever om regels te stellen, is deze policy praktisch van weinig nut. Zo ontbreekt de eis, dat de werkgever een duidelijk doel moet hebben voor registratie en controle. Ook ontbreekt de proportionaliteitseis. Bovendien ontbreekt een suggestie over de bewaartermijn van de controlegegevens.

De FNV bewijst zijn leden geen goede dienst met deze policy. Door de rechten van de werkgever te ontkennen, berooft zij de leden van het inzicht waar de grens getrokken moet worden.

5.3. Werkgeversorganisaties

De werkgeversorganisaties hebben twee documenten ontwikkeld; een algemeen privacy-document en een voorbeeld-policy. Voor alle registraties en controles bevelen de werkgeversorganisatie aan: (2)

• Helder en redelijk doel: Bij het vaststellen van het doel moet het belang van de werkgever tegen de privacy van de werknemer worden afgewogen. Daarbij moet ook het kostenaspect een rol spelen.
• Open vizier: iedere reden waarom informatie over het personeel wordt bijgehouden, moet bekend zijn bij het personeel.
• Zorgvuldig gebruik: de gegevens mogen niet buiten het doel waarvoor ze verzameld worden gebruikt worden.
• Kwaliteitscontrole: van tijd tot tijd moet de werkgever de gegevens controleren. Ook de werknemer heeft inzage- en correctierecht.

Volgens de werkgeversorganisaties berust het op een misverstand dat werkgevers een dringende reden zouden moeten hebben om het Internet en e-mail gebruik te controleren. De verwijzing daarbij naar het briefgeheim vinden zij "nogal overtrokken".

Bij het opstellen van een voorbeeld-policy gaan VNO-NCW uit van een restrictief beleid. (3) Internet-gebruik voor privé-doeleinden is niet toegestaan. Mocht de werkgever dit toch toe willen staan, dan suggereert de gebruiksaanwijzing enkele wijzigingen. In dat geval mag de werkgever controle uitoefenen bij een vermoeden van ongeoorloofd handelen.

De voorbeeld-policy geeft expliciet aan, dat het Internet-gebruik wordt vastgelegd:

Het gebruik van internet en e-mail wordt vastgelegd. Deze registratie geschiedt om de continuïteit van de technische infrastructuur te waarborgen, verstoring van bedrijfsprocessen en andere (financiële) schade tegen te gaan en om toezicht te houden op de naleving van de gedrags-en gebruiksregels door de gebruiker.

In de regels over controle blijkt dat de werkgever controle op drie manieren moet kunnen uitoefenen:

• statistische, anonieme controle om te bepalen in hoeverre de regels overtreden worden,
• steekproeven en
• uitgebreide controles bij incidenten.

Deze policy is duidelijk opgesteld vanuit het perspectief van de werkgever. Alhoewel in principe geen privé-gebruik wordt toegestaan, wordt wel aangegeven welke aanpassingen nodig zijn als de werkgever wel privé-gebruik toe wil staan.

Uit de policy blijkt duidelijk welke grenzen er getrokken worden. Zo wordt het downloaden van software verboden, wordt het versturen van vertrouwelijke of bedijfskritische gegevens verboden en wordt de toegang tot bepaalde Internet-sites geblokkeerd. Ook geeft de policy aan welke sancties er genomen kunnen worden. Dit bevordert de rechtszekerheid.

Het doel van controles wordt ook duidelijk aangegeven. Daarnaast wordt ook aangegeven hoe de controles worden uitgevoerd. Hierdoor is het mogelijk om een oordeel over de proportionaliteit te vormen. Surf-gedrag en e-mail wordt anoniem bekeken. Als blijkt dat er (grote) overtredingen zijn of wanneer er klachten komen, worden de gegevens van de betrokken werknemer bekeken. Dit betekent dat er in principe geen persoonlijke controle plaatsvindt. Dit zal over het algemeen geen grote inbreuk op de privacy van de werknemer betekenen.

Het enige wat in de policy ontbreekt, is de bewaartermijn van de loggegevens.

Ook de wijze waarop er met deze policy omgegaan moet worden, is consistent met de regels. Uitgebreid wordt ingegaan op het traject met de Ondernemingsraad (gebruiksaanwijzing onder 3b). Ook de noodzaak van publicatie komt aan bod (gebruiksaanwijzing onder 1). Er wordt op gewezen dat registratie van het Internet-gebruik aangemeld moet worden bij de Registratiekamer (gebruiksaanwijzing onder 3c). Het technisch afschermen van ongewenst gebruik wordt als vanzelfsprekend aangenomen (gedragscode 2.2). Ook de mogelijkheid om bij incidenten een gericht, verdergaand onderzoek uit te voeren, wordt in de gedragscode vermeld (onder 4.3). Door deze bevoegdheid in de gedragscode op te nemen, wordt bovendien bijgedragen aan de rechtszekerheid.

Wat ontbreekt, is een referentie naar de loyaliteit van de werkgever bij het uitvoeren. Maar dit is, vanuit het oogpunt van de opstellers van de policy, logisch. Erger is de aanname dat een werkgever geen dringende reden nodig zou hebben om e-mails te controleren. Natuurlijk kan het voor komen dat het bedrijfsbelang een dergelijke controle nodig maakt, maar de stelling dat verwijzing naar het briefgeheim overtrokken is, is onjuist.

5.4. Jurisprudentie

De Nederlandse rechter is, wanneer het om Internet gaat, nog zoekende naar consistentie. De onzekerheid van de rechter is het grootst in Wierdens/Kunst: (4)

Dat het ongeoorloofd internetten niet als dringende reden in het bestek van deze procedure kan worden aangenomen ligt vooral aan de onkunde van de kantonrechter èn Wierdens Houthandel inzake informatietechnologie.

Maar over de eventule schending van de privacy van de werknemer is de rechter van oordeel:

Dat Wierdens Houthandel mogelijkerwijs de privacy van Kunst heeft geschonden, mag Kunst niet aan haar tegenwerpen. In het kader van het onderzoek naar misbruik van het internet bij Wierdens Houthandel, valt niet te ontkomen aan een onderzoek naar het persoonlijk gebruik dat van het internet is gemaakt.

Of, en in hoeverre de privacy van Wierdens is geschonden, komt echter niet aan bod. Kunst mag het privacyargument niet gebruiken.

Soms grijpt de rechter terug op een vergelijking met de bekende technieken, zoals de rechtbank in Utrecht doet. (5) De conclusie is dan tegengesteld:

Anders dan NPI is de rechtbank van oordeel, dat analoog aan artikel 13 van onze Grondwet, het briefgeheim zich ook uitstrekt tot de met een persoonlijke brief vergelijkbare moderne communicatievormen zoals in casu de betreffende E-mails. Daaraan doet niet af, dat Pijpers voor de verzending van zijn privé-correspondentie gebruik heeft gemaakt van de E-mail-aansluiting van NPI [...] Voorts kan niet worden geoordeeld dat Pijpers, door gebruik te maken van de E-mail aansluiting van NPI, het vertrouwelijke karakter van de E-mails heeft prijsgegeven.

De Kantonrechter in Haarlem oordeelde, dat de inhoud van de privé-e-mail niet meegewogen mag worden, maar de attachments wel. (6) De reden is, dat de attachments gewelddadige en pornografische afbeeldingen bevatten. Het gemaakte onderscheid tussen inhoud van de mail en de inhoud van de meegestuurde afbeeldingen komt nogal kunstmatig over.

Het beperkte aantal uitspraken maakt het niet mogelijk om een vaste lijn in de jurisprudentie te vinden als het gaat om het gebruik van Internet. De privacy van werknemers bij het gebruik van andere communicatiemiddelen is hiervoor uitgebreid aan bod gekomen. Daarbij is geconcludeerd, dat de rechter bij de beoordeling van de onrechtmatigheid van de controles minder strenge normen hanteert dan op grond van de wet en de publicaties van de Registratiekamer verwacht zou mogen worden.

Eindnoten

(1) Voorbeeldprotocol: privacy bij het internet- en email-gebruik, FNV Bondgenoten, 1999.

(2) Privacy in bedrijf, Een uitleg van de nieuwe Wet Bescherming Persoonsgegevens, AWVN, FME-CWM, VNO-NCW, augustus 2000.

(3) Surfen op de werkplek. Een modelgedragscode voor internet en e-mailgebruik, FME-CWM, VNO-NCW, maart 2001.

(4) Kr Almelo, 30 september 1999, PRG 1999, 5365.

(5) Rb Utrecht 16 september 1998, NJ-kort 1998, 83.

(6) Kr Haarlem 16 juni 2000, Computerrecht 2001/1, p. 37.