Een lezer vroeg me:
Hoe moet ik als werkgever bij een klein bedrijf omgaan met een mailbox van een overleden medewerker? Er is zo te zien niets geregeld bij overlijden. Bestaan er voorbeeldprotocollen voor werkgevers over dit onderwerp?Nee, dergelijke protocollen zijn er niet of nauwelijks. Gewoonlijk gebruik je de “uit dienst” protocollen omdat het op hetzelfde neerkomt. Je moet erbij vanwege werkredenen, en je houdt als goed werkgever rekening met de persoonlijke levenssfeer van de ex-werknemer. Of in dit geval met de legitieme gevoelens van de nabestaanden en de achtergebleven collega’s.
De AVG geldt natuurlijk niet bij overledenen. Maar privacy en persoonlijke levenssfeer is meer dan de AVG. En goed werkgeverschap is een aparte norm los van die twee: je moet eerlijk, netjes en redelijk handelen in alles dat je doet als werkgever. Mensen verwachten dat je zorgvuldig omgaat met zo’n mailbox of set bestanden, dus dat moet je dan doen.
Een aanvullend punt is dat nabestaanden soms vragen om kopieën van privéberichten uit die mailbox (of chatlogs, of bestanden). Algemeen is er geen plicht om privemails aan ex-werknemers te geven, ook niet aan nabestaanden. Deze mails zijn geen zaken die eigendom werknemer zijn.
We hebben een precedent uit 2021 waarbij Microsoft nabestaanden toegang moest geven tot de mailbox van een overledene. Maar dat ging om een privéaccount waar de erfgenamen juridisch ‘eigenaar’ (eigenlijk opvolgende contractspartij) van waren geworden.
Dat is onvergelijkbaar met de situatie van een overleden werknemer: het mailboxaccount wordt niet krachtens een dienstverleningscontract aan de werknemer beschikbaar gesteld maar is een gereedschap waar de werknemer mee moest werken.
Je kunt ook hier hooguit weer met goed werkgeverschap oordelen dat je mails eventueel in kopie meegeeft, maar dat is dan hetzelfde soort argument als dat je een bepaald schilderij uit de kantoorruimte meegeeft omdat de overledene daar zo aan gehecht was. Het kan, het is prima en netjes, maar het is géén juridisch recht.
Arnoud
Recent heeft mijn bedrijf de complete exchange omgeving van UWV ‘opgeschoond’ Daar vond de software 14.000 ‘zwevende mailboxen’. email-accounts van mensen die niet meer bij UWV werkten (andere baan, overleden, etc.) In die email-accounts bleek 10,98% AVG-gevoelige bestanden te bevatten. Mijn inziens kan je niet zomaar een uitdienst protocol hanteren. Of misschien ook wel, als dit protocol voorziet in wat er met de e-mailberichten gaat gebeuren. UWV is een grote organisatie en 14.000 mailboxen waar niks meer mee gebeurt is ook veel. Toch vraag ik me af of en hoeveel organisaties zicht hebben op privacy-gevoelige informatie die in mailboxen zit van werknemers. AVG geldt mijn inziens dus wel degelijk bij mailboxen die niet meer worden gebruikt. Of iemand nu uit dienst is of overleden, dat doet er niet toe!
Wat een aantallen. Is het verloop daar zo hoog dat al die mensen uit dienst zijn gegaan en de bewaartermijn nog niet verstreken was of schonen ze niet op tijd? Los van de ~10% bestanden met gevoelige gegevens, bevat elke mail (en vermoedelijk veel agenda-items en contactpersonen) natuurlijk persoonsgegevens. Ik stel een vraag, maar ik verwacht uiteraard geen antwoord gezien de mogelijke gevoeligheid ervan 🙂
Er werken daar wel iets van 25.000 mensen en ongetwijfeld ook veel externe uitzendkrachten en consultants die er maar kort werken.
Misschien is dit wel zijn eigen blogpost waard… maar waarom geldt de AVG eigenlijk niet voor overledenen? Ik begrijp dat het makkelijker is om dooie geen privacy te geven en dat bepaalde rechten vervallen, maar ergens vindt ik het ook verkeerd.
In andere gevallen wordt er namelijk veel waarde gehecht aan de onschendbaarheid van de overledene. Veel rechten rond zelfbeschikking zetting zich voort na overlijden. Je wordt geacht om, waar redelijk, de overlijdensrituelen van criminelen of vijandige soldaten te respecteren en op te volgen. Waarom van alle rechten die overledenen hebben, is de AVG er niet één?
“De AVG geldt natuurlijk niet bij overledenen.”
Is dat zo? Ik zie toch bij Genealogiesites, dat recente overlijdens afgeschermd zijn. Lijkt me niet de bedoeling, dat je op de overlijdensdag alles op straat kunt gooien, wat je van iemand weet.
Dat gaat om het beschermen van de privacy van nabestaanden, wiens gegevens vaak gekoppeld zijn aan die overledenen.