Mag een werkgever verloren of gestolen BYOD-apparaten op afstand wissen?

Een lezer vroeg me:

Steeds meer bedrijven hebben regels over Bring your own device (BYOD). Een opvallende regel daarbij is het op afstand mogen schoonvegen van verloren of gestolen mobiele apparaten. Begrijpelijk voor het bedrijf, maar mag een bedrijf dit eigenlijk wel doen bij privéapparaten?

Een werkgever mag in principe eenzijdig regels stellen over hoe het werk moet worden uitgevoerd, en wat hij van de werknemer verwacht op de werkvloer en in de omgang met collega’s (art. 7:660 BW). Zo mag de werkgever eisen dat je een stropdas draagt of dat alleen de PR-mensen mogen praten met de pers.

ICT-reglementen zijn meestal op deze instructiebevoegdheid gebaseerd, en dat is dus legaal (ook zonder dat je ervoor getekend hebt) mits men maar binnen de grenzen van de wet blijft. Daarbij is de redelijkheid een belangrijke grond. Meer algemeen zijn er nog de privacy en de godsdienstvrijheid, denk aan een verbod op hoofddoekjes of een eis dat je aan het lichaam wordt gefouilleerd na elke werkdag.

De vraag is dus: is het rédelijk dat de werkgever zegt “we wissen je BYOD apparaat als deze gestolen wordt”? Natuurlijk, hij heeft een belang om bedrijfsdata te beschermen maar niet elke maatregel die dat belang dient, is toegestaan. Zeker niet als er óók belangen van de werknemer in het geding zijn.

Er moet dan ook een afweging komen tussen de belangen van de werkgever en die van de werknemer. Bij een gestolen apparaat lijkt de case evident: de telefoon is weg dus hoe maakt een remote wipe het dan erger? Maar wat nu als het toestel alleen maar kwijt is, en later teruggevonden wordt? Of als IT besluit vanwege een potentiële databreach álle BYOD apparaten te wipen (onder het motto: je weet maar nooit waar het heen gelekt is)?

Aansprakelijkheid van de werkgever is niet uit te sluiten bij fouten in zulke situaties, dus je moet daar écht goed over nadenken. Ik zou zeggen dat het eigenlijk alleen kan met toestemming van de werknemer of bij héle zware bedrijfsgeheimen die bij onthulling zulke grote schade opleveren dat de werknemer het verlies van zijn vakantiefoto’s en privéadministratie maar voor lief moet nemen. Maar misschien kan het wel alleen als de werkgever vervolgens het herstellen van die privégegevens vergoedt.

En het blijft me verbazen dat werkgevers als het om ICT gaan zúlke botte maatregelen invoeren onder het motto van “security”. In het kader van “breng je eigen aktetas” is er toch ook nooit de regel gesteld dat het bedrijf er een afstandbedienbaar explosief in mag aanbrengen voor het geval deze gestolen wordt?

Arnoud

32 reacties

  1. Verplicht de werkgever de werknemer om zijn eigen apparatuur te gebruiken of is dat een eigen keus van de werknemer? Verplicht de werkgever de werknemer dezelfde apparatuur te gebruiken voor werk en privé, of vind de werknemer het te onhandig/duur om 2 apparaten te gebruiken?

    Meestal is het een keus van de werknemer. En als iemand er voor kiest data maar op 1 locatie op te slaan is die data blijkbaar niet echt belangrijk.

  2. De werknemer wil de mail op zijn telefoon want dat scheelt laptop sjouwen, de werkgever vindt dat prima want dat is veel goedkoper. De werkgever zit wel met zijn aansprakelijkheid op het gebied van o.a. privacy. Alleen al het (corporate) adresboek is een goudmijn. Het gaat in dit geval om de afspraak tussen werkgever en werknemer. Daar zal in moeten staan wat de rechten en plichten zijn van zowel werkgever als werknemer. Dan is het handig om een beheeromgeving te hebben waarin gebruikers zelf zaken kunnen regelen, zoals localiseren, op afstand op slot zetten, of compleet wissen wanneer het ding echt niet meer terugkomt. Wanneer een werknemer dit nalaat moet je als werkgever de laatste twee zaken ook wel zelf kunnen, vind ik.

  3. Dat is het nadeel van heel de BYOD hype. Simpel houden: voor je werk gebruik je door je werkgever te leveren materialen. Voor prive je eigen spul. Niet mixen, ook geen prive rommel op werk-materiaal.. Dat voorkomt veel gedoe en geneuzel.

    Wil je wel zo nodig je eigen spullen meenemen, accepteer dan dat het wissen door de werkgever een gevolg kan zijn bij verlies of diefstal. Zitten juridisch vast wel allerlei haken en ogen aan maar dan moet de wetgeving aan worden gepast.. En trouwens, hoezo zou die werknemer geen back-up hebben van de eigen belangrijke data die op het eigen apparaat staat.. Dan kan er dus nooit veel belangrijks verloren gaan, immers, wie iets belangrijks opslaat zorgt altijd voor een back-up.. Toch 🙂

    Dat van geen explosieven in aktetas heb ik ook nog nooit begrepen 🙂

  4. Ik zie het probleem niet helemaal. Ook bij verlies is het toch de werknemer die naar de werkgever gaat met de melding dat het apparaat weg is? Als je dat doet weet je wat de consequentie is, namelijk dat het apparaat gewist wordt. Als je verwacht dat een van je kinderen het apparaat ergens onder een bank heeft verstopt, wacht je nog even met het melden dat het weg is.

    Kortom je meldt het pas als je verwacht dat het apparaat definitief weg is.

  5. Gegevensopslag op end-user devices is zo 2012.

    Zonder gekheid, ik vind BYOD prima acceptabel, als (en alleen als) gegevens van enige importantie in (web/cloud)applicaties zijn opgeslagen. Bij de organisatie waar ik werk is het bijna zover. Alleen de afdeling Finance gebruikt nog een fat client applicatie met (semi-)lokale databases en Excel sheets. Maar die mensen hebben ook nog papier op hun bureau, en ordners, en ik zag laatst zelfs een rekenmachine op een bureau liggen.

    1. Grappig. Ik heb ook altijd een rekenmachine naast mijn computer liggen en die gebruik ik ook regelmatig! 🙂 Een tweede rekenmachine ligt op mijn werkplek, naast mijn PC daar. 🙂

      Zelf gebruik ik Google Apps en diverse cloud-diensten voor de opslag van mijn prive-data. Op mijn werk is dan alleen een specifieke subfolder die gedeeld wordt en thuis alles. Dat werkt best prettig en maakt mijn hardware immuun tegen het op afstand wissen van een device. Als bedrijven dit ook doen dan zou het op afstand wissen van een device geen schade mogen veroorzaken, behalve dan wat tijdverlies als je het apparaat terugvindt en weer moet synchroniseren met de cloud. Nu is het misschien nog bezwaarlijk omdat lang niet iedereen een cloud-backup gebruikt. (Of niet genoeg ruimte in de cloud heeft) maar over 5 of 10 jaar is dat misschien wel de normaalste zaak van de wereld en is het een standaard-procedure om devices op afstand te wissen tot je hem terugvindt. Daarna gewoon weer synchroniseren en er is niets aan de hand…

  6. Mijn Macbook gaat dus iedere avond als ik thuis kom even aan de externe disk en maakt dan automatisch een backup van alles wat er sinds de vorige avond veranderd is (ja, een keer 180 GB data onherstelbaar verdwenen is genoeg) . Zou mijn werkgever ooit het onzalige idee mogen krijgen -waarom dan ook- dat ze mijn HD op afstand wissen, is er geen enkel probleem. Ook als mijn book gestolen wordt, nieuw book neerzetten, backup opspelen en verder met het werk. Hooguit een dag data-verlies te verdragen, daarmee kan ik leven.

  7. ” “we wissen je BYOD apparaat als deze gestolen wordt” “.

    Deze apparaat? Dit, dus. Of het.

    Maar hier moet ik zelf ook altijd bij nadenken.

    “In het kader van “breng je eigen aktetas” is er toch ook nooit de regel gesteld dat het bedrijf er een afstandbedienbaar explosief in mag aanbrengen voor het geval deze gestolen wordt?”

    Deze aktetas. Die klopt dus wel. Waarvan akte. 🙂

    1. Het is ‘het apparaat’ dus inderdaad ‘dit’ gebruiken. Maar ‘BYOD apparaat’ is een pleonasme, omdat de ‘D’ staat voor ‘device’ dat je vertaalt naar ‘apparaat’. Je zou dus ‘het BYOD’ moeten gebruiken. 🙂 En nee, niet ‘de BYOD’ omdat je ‘device’ vertaalt naar ‘apparaat’ en de betekenis ervan goed bekend is. Het is dan ook ‘het device’ en dus het ‘bring-your-own device’.

    2. De prescriptieve regel is mij bekend, maar ik zou in dit geval “… BYOD apparaat als dit…” afkeuren (intuitief, als moedertaalspreker). “Als het” zou nog kunnen, maar ik vind “als deze” eigenlijk perfect in deze zin. Het zal met de modaliteit te maken hebben.

  8. Aansprakelijkheid van de werkgever is niet uit te sluiten bij fouten in zulke situaties
    Maar desondanks is de schade lastig vast te stellen als het dan toch gebeurt. Voorbeeld: Werknemer werkt al 7 jaar bij bedrijf X waarbij hij de laatste drie jaar zijn eigen mobiele telefoon gebruikt onder het BYOD beleid. Regel hierbij is dat de systeembeheerder deze op afstand moet kunnen wissen indien deze gestolen wordt. Op zich geen probleem. Maar werknemer besluit ontslag te nemen en voor een andere werkgever te gaan werken. Manager boos, want werknemer heeft allerlei belangrijke klantgegevens in zijn mobiel staan dus op de laatste werkdag stuurt de manager een bericht naar de systeembeheerder om te vertellen dat de telefoon is gestolen en dat deze gewist moet worden. Werknemer komt thuis en merkt dat zijn telefoon gewist is. Alle contactgegevens, emails en andere data is weg, inclusief de informatie van zijn nieuwe werkgever. Oeps! Wat nu? Werkgever is aansprakelijk, dat staat wel vast. En de betreffende manager krijgt vast een berisping wegens deze valse actie, maar zijn managers zijn er stiekem wel blij mee. Vraag is alleen hoeveel dit geintje hen uiteindelijk gaat kosten en of de kosten ervan opwegen tegen het voordeel ervan, namelijk dat de werknemer zijn contacten niet met een andere werkgever kan delen. Heel vervelend als de rechter de werknemer in het gelijk stelt, maar tevens vaststelt dat er financieel geen schade is, want werknemer heeft toch back-ups? Toch? Ja? Nee! Oeps!

    1. Tip voor Wim: Maak even backups op de dag voordat je je ontslag aankondigt. Als een werkgever dan spastisch al je privileges intrekt en je gaat zitten pesten, dan heeft dat weinig effect meer. Daarom heb ik ook nooit zo begrepen dat mensen die hun ontslag aankondigen meteen toegang tot allerlei data wordt ontzegd. Deze hebben ze dan toch de dag ervoor al gekopieerd als ze er kwade bedoelingen bij hebben?

      1. Die blokkeerreactie zie ik vooral gebeuren als mensen ontslag aangezegd krijgen, met name bij staandevoetjes. Dat kan uit de lucht komen vallen en dan kan het meerwaarde hebben om direct alles af te sluiten en schade te beperken. Ik ken een bedrijf waarbij ze in het voortraject dan alvast uit voorzorg een paar maanden alles extra loggen en backuppen waar die medewerker aan werkt, om zo zeker te weten dat ze kunnen terugdraaien als die man gekke dingen doet.

        Uit Amerika komen daar allerlei indianenverhalen bij, zoals dat je niets hoort tot je volgende werkdag wanneer je pas niet werkt en de receptie een doos met je spullen heeft waarna een speknek van beveiliging je naar de auto wandelt. Of dat je een sms krijgt en je spullen thuisbezorgd.

      2. Niet iedereen vertrekt met kwade bedoelingen, maar de managers zelf kunnen nog wel kwade bedoelingen hebben! Ze wissen het apparaat dan misschien niet alleen om bedrijfsgegevens veilig te stellen maar ook om de ex-werknemer even een schop na te geven. Want niet alleen worden de klantgegevens ermee gewist, maar ook je adressenlijst, het telefoonnummer van Tante Beppie, de verjaardags-kalender en de 10 foto’s die je met je telefoon bij vertrek nog hebt gemaakt.

        Back-ups heb ik sowieso veilig in de cloud. (Ten minste, alles wat de NSA mag weten!)

    2. Ik ben trouwens wel benieuwd hoe deze ex-werknemer dit wil gaan bewijzen, mocht zoiets ooit tot een zaak komen. De telefoons waarmee ik remote wipes getest heb worden allemaal teruggebracht naar fabrieksstandaard instellingen, en laat geen trace achter van een eerder partnership. Op de mailserver wordt het partnership ook opgeruimd. Mogelijk dat met Forensisch geheugen onderzoek op de telefoon nog wat bewezen kan worden, maar deze onderzoeken zijn zo duur (duizenden euro’s) dat ik niet verwacht dat een ex-medewerker het risico wil dragen en deze kosten te maken en mogelijk de rechtzaak om deze terug te vorden te verliezen (als er al wat teruggevonden wordt, want als het goed is, wordt alles encrypted opgeslagen anders zijn de policies in de eerste plaats al niet correct gezet.).

      1. Sowieso moet er schade zijn dat in een bedrag in euro’s uitgedrukt kan worden. En die schade ontstaat alleen als je door de wipe gegevens bent kwijtgeraakt waar je geen backup van hebt. En natuurlijk de tijd die je verloren bent om alles weer te herstellen. Zeg, acht uurtjes werk voor je standaard uurloon en dan is het nog een klein bedrag gezien de moeite die je moet ondernemen. Proceskosten? Mogelijk dat je werkgever meteen een schikkings-voorstel doet van 250 euro. Als je daarna niet gaat onderhandelen maar een rechter inschakelt kan het eindigen in dat je je eigen proceskosten moet dragen maar wel een vergoeding krijgt. Leuk, vergoeding van 500 euro tegen 2.000 euro proceskosten…

        Maar qua bewijs hoeft het niet al te lastig te zijn. Het wipe-commando moet immers verstuurd worden via je internet-provider van je telefoon. Die hebben wel een log. Daarnaast hoeft een bedrijf zich niet eens druk te maken over het feit dat ze betrapt worden. Ze erkennen het gewoon als een “foutje” omdat het standaard is voor bedrijfs-hardware en dit keer hebben ze het per ongeluk op een BYOD gedaan. Tik op de vingers, klaar!

        1. Communicatie tussen bijv. Exchange en mobiele devices met een partnership is encrypted (als je het goed is). Daarnaast is het zo dat een provider een bewaarplicht heeft en geen log plicht. De meeste providers loggen dus zo min mogelijk verwacht ik, om kosten te besparen op deze bewaarplicht.

          Als een Internet provider een log heeft van ontsleutelde encrypted data dan zit er iets niet goed bij deze provider, en zou ik er als zakelijke klant snel weg zijn. 😉

          1. Het enige dat een provider hoeft bij te houden is dat IP adres A met IP adres B heeft gecommuniceerd. Wat die data precies is, is minder relevant. Als dan uit het log blijkt dat het bedrijf een bericht naar de telefoon heeft verstuurd en daarna is de telefoon gewiped, dan is dat voldoende voor een Civiele rechtbank. Daarnaast hoeft het niet lang bewaard te worden want de werknemer merkt waarschijnlijk al vrij snel de wipe van zijn telefoon. Dat betekent dat binnen enkele uren na de wipe al een vraag bij de provider kan liggen over waar dat wipe-commando vandaan kwam.

            1. Probleem in deze is dat deze communicatie van A naar B encrypted is, en dat het tussen de mailserver is, en de telefoon welke elkaar continu “spreken” tijdens het partnership. Daar je de inhoud van de communicatie niet weet vanwege de encryptie zou het ook een mailtje, afspraak, taak, contact persoon wijziging, policy update of andere zaken in die strekking kunnen zijn. Dat de telefoon zich 10 minuten daarna spontaan volledig gereset heeft zou ook een software fout kunnen zijn, of het resetten van een toestel door de gebruiker zelf (om zijn baas nog een hak te zetten via een eventuele procedure). Het is niet waarschijnlijk dat het bijv. een software fout is, maar uit te sluiten is het niet.

              1. Je weet de communicatie wel van het laatste bericht! Immers, na de wipe staat alles terug in de fabrieks-instellingen en is het Internet op het apparaat gewoon plat. Ten minste, tot deze opnieuw geactiveerd wordt. It’s elementary, my dear Watson. 😉 Of zou de telefoon 10 minuten wachten voor de wipe? In dat geval kijk je naar de laatste 10 minuten wie er allemaal berichten hebben verstuurd… Zijn meestal niet zoveel opties naast Twitter, Google, Facebook en de andere grote bedrijven…

    1. De beheerders van de mail-server kunnen policies instellen waar een smartphone moet voldoen, bij voorbeeld het moeten invoeren van een pincode om het device te unlocken. Als jij je smartphone met die mail-server connect wordt er gecontrolleerd of er aan die policies voldaan is, zo niet, geen toegang. Die remote-wipe is 1 van de policies. Jij geeft je werkgever dus toestemming om het device te wissen. Of niet, maar dan kan je geen werk-mail lezen op je smartphone.

  9. Bij ons nog op te stellen BYOD beleid, komt er ook inderdaad een regel over wipe in te staan. Door de voorwaarden in het BYOD beleid te accepteren, mag de betreffende medewerker zijn zakelijke mail op zijn prive telefoon ontvangen. Maar dan is de medewerker ook akkoord dat in geval van verlies of diefstal de telefoon wordt gewiped. Zodat de zakelijke gegevens in ieder geval zijn verwijderd.

    Persoonlijk, als mijn telefoon zou zijn gestolen en hij wordt gewiped,dan ben ik blij. Want de dief kan dan niks met mijn prive gegevens.

    1. Ik ben er nog niet uit of die toestemming wel rechtsgeldig is. Aangezien BYOD optioneel is (toch?) is verdedigbaar van wel: je hoeft niet ja te zeggen en dat zal geen enkele invloed op je werk of je beoordeling hebben.

      Nadeel is wel dat je niet goed kunt overzien wat de impact van de schade is als de wipe wordt uitgevoerd. En als werkgever ben je aansprakelijk voor schade, die kun je óók met zulke toestemming niet zomaar 100% bij de werknemer leggen. Zeker niet als de wipe onterecht wordt uitgevoerd (de verkeerde telefoon gewist of verkeerd doorgekregen dat de telefoon gestolen was).

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.