R e g i s t r a t i e k a m e r. ..'s-gravenhage, 27 december Ons kenmerk 99.O Onderwerp Monitoring computernetwerk

Transcriptie

1 R e g i s t r a t i e k a m e r..'s-gravenhage, 27 december Onderwerp Monitoring computernetwerk Naar aanleiding van uw brief van 23 november 1999 waarin u reageert op vragen die de Registratiekamer u heeft gesteld in het kader van haar onderzoek naar de monitoren van het computersysteem van B, bericht de Registratiekamer u als volgt. Ten aanzien van de feiten Voor de behandeling van deze zaak gaat de Registratiekamer uit van de feiten zoals die door u in uw brief zijn weergegeven. Deze feiten zijn de volgende: 1. Binnen B zijn (in het Engels) richtlijnen vastgesteld (7 november 1997) die bepalen dat het netwerkverkeer vooral zakelijk dient te zijn. Uitdrukkelijk is bepaald dat het verboden is om over het netwerk berichten te versturen die als illegal of harrassing kunnen worden bestempeld. Daaronder wordt begrepen: online gokken, kettingbrieven, pornografisch materiaal en discriminerende of seksueel intimiderende opmerkingen, welke lijst niet uitputtend bedoeld is. 2. B behoudt zich uitdrukkelijk het recht voor alle mailberichten en het internetgebruik te onderzoeken zonder de betrokken medewerker daarvan op de hoogte te stellen. Overtreding van dit beleid kan leiden tot disciplinaire maatregelen, waaronder ontslag. 3. Op dit beleid was ten tijde van de totstandkoming ervan het instemmingsrecht van de ondernemingsraad zoals dat momenteel is vastgelegd in artikel 27, lid 1, onder k en l, van de Wet op de ondernemingsraden (WOR) niet van toepassing. 4. Het beleid is voor iedere medewerker van B te allen tijde toegankelijk middels een verwijzing vanuit het openingsscherm. Prins Clauslaan 20 Uw brief Postbus Bijlagen 2509 AJ 's-gravenhage Contactpersoon Tel Doorkiesnummer Fax

2 Blad 2 5. B heeft het onderzoek naar vermeend misbruik van het computersysteem - en aldus een overtreding van de intern geldende regels betreffende dat gebruik - ingesteld naar aanleiding van een klacht van een medewerker van een zustermaatschappij in Frankrijk die een bericht had ontvangen waarvan het aanhangsel ('attachment') pornografisch materiaal bevatte in de vorm van plaatjes en een filmpje en dat foutief (mede) aan hem was geadresseerd. 6. B heeft het onderzoek naar het misbruik van het netwerk beperkt tot de mailboxen van de groep medewerkers die als afzender of ontvanger van de gevonden verboden berichten konden worden gekwalificeerd. 7. Van deze medewerkers zijn op een zekere peildatum alle berichten met een attachment geopend om vast te stellen of de extensie van het meegezonden bestand een plaatje, filmpje of programma aanduidde. Berichten zonder attachment zijn niet geopend, tenzij uit de titel bleek dat het om pornografisch materiaal ging. Oordeel Registratiekamer Naar het oordeel van de Registratiekamer maken berichten onderdeel uit van een persoonsregistratie als bedoeld in artikel 1 Wet persoonsregistraties (WPR). Volgens artikel 1 WPR is een persoonsregistratie een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd of met het oog op een doeltreffende raadpleging van die gegevens systematisch is aangelegd. Bij de vraag of er in dit geval sprake is van een persoonsregistratie gaat het met name om het element 'samenhangende verzameling'. Dit houdt in dat een verzameling op grond van één of meer kenmerken een onderlinge samenhang moet vertonen. Dat kan blijken uit een gemeenschappelijke bestemming of uit het feit dat de verzameling in de praktijk als een geheel wordt beschouwd. De samenhang kan zitten in een vooraf aangebrachte structuur van de verzameling of in een raadpleegmethodiek die samenhang brengt in ogenschijnlijk willekeurige gegevens. Bij dat laatste gaat het om de vraag of het systeem de mogelijkheid zou bieden om persoonsgerichte informatie uit de verwerkte berichten op te roepen en bijeen te brengen. De vereiste samenhang ligt dan niet besloten in de inhoud van de berichten, maar wel in de gebruikte programmatuur (vergelijk Nota n.a.v. Eindverslag, Kamerstukken II, , nr. 9). Elektronische postberichten plegen volgens een standaardopmaak te worden geadresseerd en bevatten vrijwel steeds gegevens zoals datum en tijdstip van

3 Blad 3 verzending, naam en/of adres van de afzender, naam en/of adres(sen) van de geadresseerde(n) en een aanduiding van het onderwerp. Andere gegevens kunnen daaraan nog worden toegevoegd. Met behulp van deze gegevens wordt aan de verzameling(en) van opgeslagen berichten een of meer gemeenschappelijke bestemmingen gegeven (alle berichten verzonden door X, alle berichten bestemd voor Y, etcetera). De bestanden van bewaarde berichten kunnen daarnaast eenvoudig op deze gegevens worden doorzocht, ook om persoonsgerichte informatie bijeen te brengen. De Registratiekamer is dan ook van opvatting, dat met de huidige functionaliteit van systemen voor elektronische post een zodanige structuur is aan te brengen in (de) verzameling(en) van elektronische berichten dat de vereiste samenhang kan worden aangenomen. Artikel 6, eerste lid, WPR bepaalt dat gegevens mogen worden gebruikt voor doeleinden die verenigbaar zijn met het doel waarvoor de persoonsregistratie is aangelegd. B geeft in haar en Internet Policy aan dat het netwerk is bedoeld voor gebruik met vooral zakelijke doeleinden (predominantly business-related matters). Privé-gebruik is niet verboden, maar dient tot een minimum beperkt te blijven en is aan voorwaarden gebonden, zoals toestemming van de directe chef en overeenstemming met de geest van B's integriteitsbeleid. Daarmee wordt (impliciet) het doel van de persoonsregistratie die door de berichten tezamen gevormd wordt, aangegeven. Het tegengaan van misbruik van het netwerk vormt naar het oordeel van de Registratiekamer een gebruik dat verenigbaar is met het doel, zoals dat (impliciet) geformuleerd is. Wel plaatst de Registratiekamer kanttekeningen bij de voorwaarden waaronder privégebruik kan plaatsvinden; met name bij de door de directe chef te geven toestemming. Afhankelijk van de momenten en de wijze waarop deze toestemming in de praktijk moet worden verkregen, miskent deze voorwaarde dat de werknemer ook in de arbeidssituatie een zekere mate van privacy toekomt, hetgeen door de rechter ook als zodanig wordt erkend. Onder dit recht op privacy mag naar het oordeel van de Registratiekamer ook een beperkt gebruik van communicatiemiddelen zonder voorafgaande toestemming van de directe chef worden gerekend.

4 Blad 4 De Registratiekamer heeft in haar beoordeling van de boven weergegeven feiten mede de toekomstige Wet bescherming persoonsgegevens (WBP) betrokken die op 23 november 1999 door de Tweede Kamer is aanvaard. Op grond van de WBP dient de verantwoordelijke (de werkgever) voor de verwerking van persoonsgegevens een gerechtvaardigd belang te hebben, dat het belang van de betrokkene (de werknemer) op bescherming van zijn persoonlijke levenssfeer overstijgt. Controle op misbruik van het computernetwerk kan zo'n belang zijn. Gelet op de beperkte omvang van het door B verrichte onderzoek en de wijze waarop dat heeft plaatsgevonden acht de Registratiekamer dit onderzoek behoorlijk en zorgvuldig. Wel plaatst de Registratiekamer een kanttekening bij de bevoegdheid die B zich in het algemeen toekent om al het netwerkverkeer te controleren zonder de werknemer daarvan op de hoogte te stellen. Deze is naar het oordeel van de Registratiekamer in zijn algemeenheid te ruim geformuleerd om de hiermee gepaard gaande inbreuk op de bescherming van de persoonlijke levenssfeer te rechtvaardigen. Een nadere omschrijving van de gevallen waarin van dit recht gebruik wordt gemaakt en de werkwijze die hierbij wordt gevolgd wordt dan ook aanbevolen. In de wijze waarvan B in concreto van deze bevoegdheid gebruik maakt, ziet de Registratiekamer geen aanleiding om in het onderhavige geval te kunnen spreken van onzorgvuldigheid of onbehoorlijkheid. De Registratiekamer wijst u erop dat de toekomstige WBP strengere eisen stelt aan het vereiste van kenbaarheid van beleid (transparantie) voor de werknemers dan de huidige WPR. Ook is de WOR op dit punt aangescherpt door de ondernemingsraad het recht van instemming te geven voor de verwerking van persoonsgegevens en het gebruik van personeelsvolgsystemen. Het beschikbaar stellen van het beleid via het openingsscherm van het Intranet kan een geschikt middel zijn om het beleid onder de aandacht te brengen. Niettemin moet naar het oordeel van de Registratiekamer aan het beleid ook verder binnen de organisatie aandacht worden gegeven. Wijzigingen dienen in ieder geval met de ondernemingsraad te worden overlegd.

5 Blad 5 Tenslotte wijst de Registratiekamer u op de verplichting van artikel 24 WPR om de persoonsregistratie bij haar aan te melden. De Registratiekamer heeft besloten het onderzoek te beëindigen. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, Voorzitter Registratiekamer