Aanwerving en uit­dienst­tre­ding van werknemers, medewerkers en stagiairs

De GBA erkent dat er een gerechtvaardigd belang kan zijn voor ondernemingen om persoonsgegevens van hun medewerkers die vaak in contact komen met klanten of het publiek te publiceren op hun website. Gelet op het principe van dataminimalisatie bestaat dit gerechtvaardigd belang wellicht enkel voor de contactgegevens en niet voor de foto’s van de medewerker, waarvoor dan toestemming moet worden gevraagd.

Van zodra een medewerker vertrekt, moeten die zijn persoonsgegevens zo snel mogelijk verwijderd worden. Het doel om websitebezoekers te informeren over wie bij het kantoor werkt en in welke hoedanigheid is in dat geval niet langer aan de orde. Bijgevolg moeten de persoonsgegevens worden gewist zodra deze gegevens niet langer noodzakelijk zijn voor deze doeleinden (artikel 5, lid 1, onder b) en e) GDPR).

De GBA stelt dat deze gegevens door de verwerkingsverantwoordelijke op eigen initiatief moeten worden gewist of geanonimiseerd, zonder dat de betrokkene om het wissen moet vragen. Wanneer een medewerker/werknemer uitdienst treedt, dan moet de werkgever zich inspannen om de volgende informatie zo snel mogelijk van zijn website te verwijderen: de identiteit, functie en foto('s) van de betrokkene. Volgens de GBA wordt deze informatie idealiter ten laatste één maand na het vertrek van een medewerker van de website verwijderd, al kan deze termijn verschillen naargelang de omstandigheden. Dit geldt ook voor groepsfoto’s.

Na het vertrek van een medewerker of werknemer kan u gedurende een beperkte periode de mailbox van die medewerker of werknemer actief houden op basis van het gerechtvaardigd belang van het advocatenkantoor, met name het verzekeren van de continuïteit van de prestaties en het goed functioneren van het kantoor.

De GBA oordeelde dat een mailbox nog gedurende een maand automatische antwoorden mag verzenden om correspondenten te informeren dat de medewerker of werknemer op dat e-mailadres niet langer kan worden bereikt. De GBA wijst erop dat – rekening houdende met de context en de graad van verantwoordelijkheid van de ex-werknemer – een langere termijn voor het automatisch bericht voorzien kan worden, maar idealiter niet langer dan 3 maanden.

Die verlenging van de termijn moet worden gemotiveerd en gebeurt best in onderling akkoord met de ex-werknemer. Minstens moet de ex-werknemer van de verlenging worden verwittigd.

De beslissing waarin de GBA de termijn van 1 tot 3 maanden vooropstelt, betreft de mailbox van een voormalig bestuurder van de betrokken onderneming. Het lijkt daarom aangewezen voorzichtig te zijn met een termijn van langer dan 3 maanden. Van de bestuurder van een vennootschap mag immers – net als van advocaten – verwacht worden dat hij betrokken is in dossiers waarin niet wekelijks wordt gecommuniceerd. Dat lijkt dan ook niet meteen een argument te zijn om de mailbox van een medewerker langer dan 3 maanden actief te houden.

Rekening houdende met de professionele beroepsuitoefening van een advocaat zou wel kunnen worden geargumenteerd dat – aangezien een advocaat bijstand moet kunnen verlenen aan cliënten in hun juridische zaken – cliënten daarom niet zonder meer het bericht kunnen krijgen dat het e-mailadres niet langer bestaat, maar dat zij weten bij wie zij wel terecht kunnen met oog op het waarborgen van hun rechten van verdediging. Een eventuele verlenging van de termijn moet in elk geval worden gemotiveerd.

De GBA oordeelde dat de tweetrapswerkwijze, waarbij het e-mailadres eerst wordt geblokkeerd en later wordt afgesloten, de voorkeur geniet boven het automatisch doorsturen van e-mails naar een ander e-mailadres van het bedrijf.

In het geval van een automatische overdracht, a fortiori zonder informatie aan de afzender van het bericht, is er geen controle over de inkomende e-mails. Bovendien zou in dit geval potentieel gevoelige privé-informatie kunnen worden bekendgemaakt zonder dat de betrokken medewerker of werknemer en de correspondent daarvan op de hoogte zijn.