1/8
Geschillenkamer
Beslissing 71/2024 van 6 mei 2024
Dossiernummer : DOS-2023-04299
Betreft : het nalaten het professioneel mailaccount van een voormalige werknemer af te
sluiten
De Geschillenkamer van de Gegevensbeschermingsautoriteit, samengesteld uit de heer
Hielke HIJMANS, alleenzetelend voorzitter;
Gelet op Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016
betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van
Richtlijn 95/46/EG (algemene verordening gegevensbescherming), hierna “AVG”;
Gelet op de wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit,
hierna “WOG”;
Gelet op het reglement van interne orde, zoals goedgekeurd door de Kamer van
Volksvertegenwoordigers op 20 december 2018 en gepubliceerd in het Belgisch Staatsblad op
15 januari 2019;
Gelet op de stukken van het dossier;
Heeft de volgende beslissing genomen inzake:
De klager: X, hierna “de klaagster”
De verweerder: Y, hierna “de verweerder”
Beslissing 71/2024 — 2/8
I. Feiten en procedure
1. Het voorwerp van de klacht betreft het nalaten van de verweerder om het professionele
mailaccount van de klaagster af te sluiten.
2. De klaagster, voormalige tewerkgesteld en gedelegeerd bestuurster bij de verweerder,
werd in augustus 2022 ontslagen, waarna zij een opzegtermijn van zes weken diende te
presteren. In de loop van deze zes weken ontstond onenigheid over de vraag of de klaagster
nog toegang kreeg tot haar professionele mailbox. Zij maakte hier immers nog gebruik van,
aangezien zij haar werkzaamheden voortzette voor de duur van de opzegtermijn. De
klaagster haar toegang tot haar mailbox werd op 12 september 2022 afgesloten. Er zou
volgens de klaagster een toegang tot de mailbox aan de in line manager zijn gegeven. Hem
werd verzocht om geen gebruik te maken van de toegang.
3. Op 15 september 2022 zou de klaagster een informatieverzoek hebben ingediend omtrent
de niet-toegelaten kennisname van het professionele mailaccount. Het verzoek is al volgt
verwoord: “Verder vraag ik u mij met aandrang te willen bevestigen dat niemand toegang
heeft genomen tot mijn mailbox, aan de hand van de respectievelijke IT logs, […].” Zij verzoekt
hierbij bovendien om uiterlijk 21 september 2022 een bevestiging te krijgen dat de
professionele mailbox correct werd afgesloten.
4. Op 25 januari 2023 zou de verweerder hebben gereageerd. In deze reactie werd een
overzicht verstrekt van de logs met betrekking tot de betwiste mailbox. De verweerder
beweert dat deze logs aantonen dat er geen toegang is geweest tot het professionele e-
mailaccount van de klaagster. Desalniettemin merkt de klaagster op dat het doorgestuurde
document naar haar mening onjuist of onvolledig lijkt te zijn.
5. Bovendien stelt de klaagster vast dat haar professionele mailaccount nog bestond op 3
januari 2023, ruim na haar vertrek bij de verweerder.
6. Op 25 oktober 2023 dient de klaagster een klacht in bij de Gegevensbeschermingsautoriteit
tegen de verweerder. Enerzijds verwijt zij de verweerder om haar professionele mailbox niet
conform het gegevensbeschermingsrecht te hebben afgesloten, en anderzijds beschuldigt
zij de verweerder van het manipuleren van de logs die zij heeft doorgegeven. Bovendien
heeft verweerder niet tijdig gereageerd op het verzoek tot inzage van de klaagster, dat reeds
dateerde van 21 september 2022 en waar pas op 25 januari 2023 een volledig antwoord op
kwam.
Beslissing 71/2024 — 3/8
7. Op 8 november 2023 wordt de klacht door de Eerstelijnsdienst ontvankelijk verklaard op
grond van de artikelen 58 en 60 van de WOG1 en wordt de klacht op grond van artikel 62, § 1
van de WOG overgemaakt aan de Geschillenkamer 2.
II. Motivering
8. De Geschillenkamer wijst er allereerst op dat er richtlijnen bestaan om het professionele
mailaccount van voormalige werknemers in goede orde te beheren en af te sluiten. 3 Daarbij
moet gezegd worden dat het verder verwerken van een zakelijke mailbox in principe
rechtmatig is, zolang enkele condities worden gerespecteerd. 4 Zo kan de mailbox, met het
oog op het gerechtvaardigd belang van verweerder in overeenstemming met de
voorwaarden van artikel 6.1.f) van de AVG, gedurende een bepaalde periode na het ontslag
van de klager nog actief blijven in zoverre dit beperkt blijft tot de automatische verzending
van standaardcommunicatie omtrent het vertrek van een medewerker, met het oog op het
waarborgen van de goede werking van de onderneming en voor de continuïteit van haar
diensten. Dit kan vanzelfsprekend enkel mits de overige bepalingen van de AVG eveneens
worden gerespecteerd, inzonderheid artikel 13.1.c) AVG, waaruit volgt dat voordat begonnen
wordt met de verwerkingsactiviteiten moet bepaald worden welke rechtsgrondslag van
toepassing is, en in verband met welk specifiek doel 5, met de verplichting voor de
verwerkingsverantwoordelijke om de betrokkene hiervan in kennis te stellen.
9. De verwerkingsverantwoordelijke heeft principieel een maand waarna deze het e-mailadres
en de mailbox van de betrokkene dient te verwijderen, tenzij er onderling tussen
verwerkingsverantwoordelijke en voormalige werknemer andere afspraken zijn gemaakt in
dit verband.6
1
Overeenkomstig artikel 61 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat de klacht ontvankelijk is
verklaard.
2
Overeenkomstig artikel 95, § 2 van de WOG deelt de Geschillenkamer bij dezen aan de partijen mee dat het dossier naar
aanleiding van deze klacht aan haar is overgedragen.
3
Cf. beslissingen 64/2020 en 133/2021 van de Geschillenkamer.
4
Cf. beslissing 46/2020 van de Geschillenkamer, para. 29 en beslissing 133/2021 van de Geschillenkamer, para. 56 e.v.
5
Zie in dat verband de Richtsnoeren 05/2020 inzake toestemming overeenkomstig Verordening 2016/679 (randnrs. 121-123);
https://edpb.europa.eu/sites/default/files/files/file1/edpb guidelines 202005 consent nl.pdf
6
In zijn aanbeveling CM/Rec (2015)5 over de verwerking van persoonsgegevens in het kader van de arbeidsverhouding stelt
het Comité van Ministers van de Raad van Europa in principe 14.5 het volgende: wanneer een werknemer zijn of haar baan
verlaat, moet de werkgever technische en organisatorische maatregelen nemen om ervoor te zorgen dat de e-mail van de
werknemer automatisch wordt gedeactiveerd. Indien de inhoud van de e-mail moet worden opgevraagd voor het goed
functioneren van de organisatie, dient de werkgever passende maatregelen te nemen om de inhoud van de e-mail op te halen
voor het vertrek van de werknemer en, indien mogelijk, in diens aanwezigheid. In de toelichting bij de aanbeveling staat verder
(punt 122) dat in deze situaties waarin de werknemer de organisatie verlaat, de werkgever het account van de voormalige
werknemer dient te deactiveren, zodat er geen toegang meer is tot de communicaties van de voormalige werknemer na zijn
vertrek. Indien de werkgever de inhoud van de account van de werknemer wil recupereren, dient de werkgever de nodige
stappen te ondernemen voor het vertrek van de werknemer, bij voorkeur in zijn aanwezigheid. Deze sectorale aanbeveling die
en vervollediging is van het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van
persoonsgegevens (STE 108), illustreert op welke manier de beginselen inzake doelbinding, minimale gegevensverwerkingen
proportionele bewaring, die zowel worden bevestigd in dit Verdrag als in de AVG, moeten worden toegepast.
Beslissing 71/2024 — 4/8
Afhankelijk van de context en met name de mate van de verantwoordelijkheid die de
betrokkene uitoefende, kan een langere periode worden toegestaan, idealiter niet langer
dan drie maanden. De verlenging moet gebeuren met instemming van de betrokken persoon
of ten minste nadat deze van de verlenging op de hoogte is gesteld. Bovendien moet er zo
snel mogelijk een alternatieve oplossing worden gezocht en ingevoerd zonder dat de
uiterste termijn voor deze verlenging hoeft te worden afgewacht.
10. In casu, moet worden vastgesteld dat de klaagster sinds maandag 12 september 2022 geen
toegang meer had tot haar professionele mailbox. Uit het mailverkeer tussen de klaagster
en verweerder bleek deze afsluiting van haar toegang wel degelijk gemeld aan klaagster, al
ging deze niet akkoord met de afsluiting van de toegang.
11. Uit de stukken van de klaagster kan de Geschillenkamer echter prima facie vaststellen dat
de modaliteiten van deze overgangsperiode niet transparant werden vastgelegd en
uitgevoerd. Zo is niet duidelijk hoe lang de mailbox nog is blijven bestaan na het vertrek van
de klaagster en wie hier toegang tot krijgt. Zoals eerder gesteld, dient de betrokkene op zijn
minst op de hoogte te worden gebracht van een verlengde overgangsperiode. In casu, lijkt
dit prima facie niet het geval te zijn.
12. De Geschillenkamer moet onderzoeken of de mailbox binnen een redelijke termijn is
gesloten, namelijk binnen één maand, of binnen drie maanden als de betrokkene een
prominente rol binnen de organisatie had. Gezien de belangrijke positie van de klaagster
binnen het bedrijf – namelijk als CEO, Senior Director Marketing en gedelegeerd bestuurder
– kan de Geschillenkamer niet anders dan stellen dat een overgangsperiode van langer dan
een maand gerechtvaardigd lijkt. De exacte timing van de definitieve afsluiting van de
mailbox is echter onduidelijk voor de Geschillenkamer. Dit lijkt langer dan de aanbevolen drie
maanden te zijn, aangezien er nog steeds een automatische reactie wordt verzonden op
mails gericht aan dit e-mailadres in januari 2023.
13. Uit de stukken gevoegd bij de klacht (in het bijzonder bijlage 7) kan worden afgeleid dat de
mailbox nog actief was en automatische reacties verzond op 3 januari 2023, terwijl de
samenwerking al eindigde in september 2022. De klaagster heeft geen informatie
ontvangen over deze verlengde overgangsperiode. Hierdoor is de oorspronkelijke reeds
verlengde termijn van drie maanden overschreden.
14. Bovendien is er twijfel gerezen over mogelijke toegang van anderen tot de mailbox van de
klaagster, zoals blijkt uit haar e-mailcorrespondentie en een aangetekend schrijven waarin
de klaagster haar bezorgdheid uit.
15. Ten slotte wenst de Geschillenkamer ook de mogelijk laattijdige reactie van de verweerder
op het verzoek tot inzage te bespreken. In de correspondentie tussen de klaagster en de
verweerder wordt tevens gesuggereerd dat er mogelijk sprake is van een schending van
Beslissing 71/2024 — 5/8
artikel 12.3 van de AVG, aangezien de verweerder niet tijdig heeft gereageerd op het
inzageverzoek. Bijlage 14 bevat een e-mail van de raadsman van de verweerder d.d. 25
januari 2023 met een bijlage getiteld “IT log data supporting that there were no other
succesful logins to X account after 9 September 2022”. Indien dit daadwerkelijk de eerste
reactie is op het verzoek van de klaagster, dat reeds in september 2022 voor het eerst werd
ingediend, dan is de verweerder prima facie te laat om te voldoen aan de vereisten van artikel
12.3 van de AVG.
16. In dit verband vermoedt de Geschillenkamer dat de verweerder geen technische en
organisatorische maatregelen heeft genomen om de naleving van de AVG te waarborgen.
Dit benadrukt het gebrek aan transparante afspraken, wat mogelijk in strijd is met
artikelen 5.1.a), 13.1.c) en 25 van de AVG. Er is een vermoedelijke schending van artikel
6.1 j° artikel 5.1.a) van de AVG aangezien de mailbox zonder rechtsgrond werd
opengehouden. Tot slot is er een vermoede schending van artikel 12.3 van de AVG
vanwege de laattijdige reactie in hoofde van de verweerder.
17. De Geschillenkamer is van oordeel dat op grond van bovenstaande analyse dient te worden
geconcludeerd dat door de verweerder een vermoedelijke inbreuk op de bepalingen van de
AVG werd gepleegd, dewelke rechtvaardigt dat in casu wordt overgegaan tot het nemen van
een beslissing op grond van artikel 95, § 1, 4° van de WOG, meer bepaald te waarschuwen
voor het ontbreken van een degelijk beleid omtrent het afsluiten van een zakelijke mailbox
van een voormalige werknemer.
18. Hierbij stelt de Geschillenkamer vast dat de verweerder het mailaccount sindsdien wel
degelijk heeft afgesloten. De Geschillenkamer acht het dan ook niet noodzakelijk om enige
andere corrigerende maatregelen op te leggen.
19. Ook de juistheid van de door verweerder doorgestuurde logs wordt betwist. Volgens de
klaagster kunnen deze foutief of zelfs gemanipuleerd zijn, terwijl de verweerder dit ontkent.
Echter, aangezien de onjuistheid van de logs niet wordt ondersteund door concreet
bewijsmateriaal en de Geschillenkamer niet voldoende informatie heeft om prima facie aan
te nemen dat hier sprake is van een overtreding, onthoudt zij zich van een uitspraak over
deze kwestie.
20. Onderhavige beslissing is een prima facie beslissing genomen door de Geschillenkamer
overeenkomstig artikel 95 van de WOG op grond van de door de klager ingediende klacht,
in het kader van de “procedure voorafgaand aan de beslissing ten gronde” 7 en geen
beslissing ten gronde van de Geschillenkamer in de zin van artikel 100 van de WOG.
7
Afdeling 3, Onderafdeling 2 van de WOG (artikelen 94 t.e.m. 97).
Beslissing 71/2024 — 6/8
De Geschillenkamer heeft aldus beslist om op grond van artikel 58.2.a) AVG en
artikel 95, § 1, 4° van de WOG, de verweerder te waarschuwen voor het laattijdig afsluiten
van de mailbox.
21. Onderhavige beslissing heeft tot doel de verweerder in kennis te stellen van het feit dat deze
mogelijk een inbreuk op de bepalingen van de AVG heeft gepleegd en deze in de
mogelijkheid te stellen zich alsnog te conformeren met voornoemde bepalingen.
22. Indien de verweerder niet akkoord gaat met de inhoud van onderhavige prima facie
beslissing en van mening is dat zij feitelijke en/of juridische argumenten kan aanvoeren die
tot een nieuwe beslissing zouden kunnen leiden, kan zij een verzoek tot heroverweging
indienen bij de Geschillenkamer volgens de procedure vastgesteld in de artikelen 98 juncto
99 van de WOG, bekend als een “behandeling ten gronde”. Dit verzoek moet worden
gestuurd naar het e-mailadres [email protected] binnen een termijn van 30
dagen na kennisgeving van dit prima facie besluit. Indien van toepassing, wordt de uitvoering
van dit besluit opgeschort gedurende de bovengenoemde periode.
23. In geval van een voortzetting van de behandeling van de zaak ten gronde, zal de
Geschillenkamer de partijen op grond van de artikelen 98, 2° en 3° juncto artikel 99 van de
WOG uitnodigen hun verweermiddelen in te dienen alsook alle stukken die zij nuttig achten
bij het dossier te voegen. De onderhavige beslissing wordt desgevallend definitief
opgeschort.
24. Tot slot wijst de Geschillenkamer er volledigheidshalve op dat een behandeling ten gronde
van de zaak kan leiden tot het opleggen van de maatregelen vermeld in artikel 100 van de
WOG8.
8
Artikel 100. § 1. De Geschillenkamer heeft de bevoegdheid om:
1° een klacht te seponeren;
2° de buitenvervolgingstelling te bevelen;
3° de opschorting van de uitspraak te bevelen;
4° een schikking voor te stellen;
5° waarschuwingen en berispingen te formuleren;
6° te bevelen dat wordt voldaan aan de verzoeken van de betrokkene om zijn rechten uit te oefenen;
7° te bevelen dat de betrokkene in kennis wordt gesteld van het veiligheidsprobleem;
8° te bevelen dat de verwerking tijdelijk of definitief wordt bevroren, beperkt of verboden;
9° te bevelen dat de verwerking in overeenstemming wordt gebracht;
10° de rechtzetting, de beperking of de verwijdering van gegevens en de kennisgeving ervan aan de ontvangers van de
gegevens te bevelen;
11° de intrekking van de erkenning van certificatie-instellingen te bevelen;
12° dwangsommen op te leggen;
13° administratieve geldboeten op te leggen;
14° de opschorting van grensoverschrijdende gegevensstromen naar een andere Staat of een internationale instelling te
bevelen;
15° het dossier over te dragen aan het parket van de procureur des Konings te Brussel, die het in kennis stelt van het
gevolg dat aan het dossier wordt gegeven;
16° geval per geval te beslissen om haar beslissingen bekend te maken op de website van de
Gegevensbeschermingsautoriteit.
Beslissing 71/2024 — 8/8
overeenkomstig artikel 1034quinquies van het Ger.W.10, of via het e-Deposit informatiesysteem
van het Ministerie van Justitie (artikel 32ter van het Ger.W.).
(get). Hielke HIJMANS
Voorzitter van de Geschillenkamer
10
Het verzoekschrift met zijn bijlage wordt, in zoveel exemplaren als er betrokken partijen zijn, bij aangetekende brief gezonden
aan de griffier van het gerecht of ter griffie neergelegd.