Роботодавець читає ваші повідомлення WhatsApp: що дозволяє нідерландське законодавство

Ваш роботодавець не може просто читати ваші повідомлення у WhatsApp, ні на особистому, ні на службовому телефоні. Їх читання законне лише як виняток: якщо є конкретна, серйозна підозра, не менш нав'язливий спосіб її розслідування та політика, яка заздалегідь повідомляє співробітникам, що може бути перевірено; для структурного моніторингу також потрібна згода робочої ради відповідно до статті 27(1)(l) Закону про робочі ради (Wet op de ondernemingsraden, WOR).

Повідомлення є персональними даними, тому GDPR застосовується повністю. Нижче ми пояснюємо правову базу, різницю між приватними та діловими повідомленнями, роль робочої ради та що ви можете зробити, якщо межу перетнуто.

Які правила захищають ваші повідомлення на роботі?

Одночасно застосовуються три рівні права: право на приватне життя, законодавство про захист даних та трудове законодавство. Кожен з них обмежує те, що роботодавець може робити з вашими повідомленнями.

Стаття 8 Європейської конвенції з прав людини (ЄКПЛ) захищає приватне життя та листування, також на роботі, а стаття 10 Конституції Нідерландів (Grondwet) робить те саме. Європейський суд з прав людини вимагає від роботодавців заздалегідь інформувати персонал про характер та обсяг моніторингу, а суди повинні зважувати причини роботодавця проти втручання та наявність менш нав'язливих засобів.

Зміст повідомлення, відправник та одержувач, а також час його надсилання – це все персональні дані. Їх читання є обробкою згідно з GDPR, з його принципами обмеження мети, мінімізації даних та обмеження зберігання. Наш огляд загального захисту даних визначає ці принципи, а контроль за ними здійснює Нідерландський орган із захисту даних (Autoriteit Persoonsgegevens, AP).

У трудовому законодавстві право роботодавця давати вказівки поширюється на те, як виконується робота, а не на ваше особисте життя. Роботодавець, який йде далі та зламує обліковий запис або пристрій без дозволу, може скоїти порушення комп’ютерної власності (computervredebreuk) згідно зі статтею 138ab Кримінального кодексу Нідерландів (Sr), що карається позбавленням волі на строк до двох років.

На яких законних підставах роботодавець може читати повідомлення?

Кожна операція обробки потребує законної підстави згідно зі статтею 6 GDPR. У трудових відносинах такою підставою майже ніколи не є згода, тому роботодавець повинен покладатися на законний інтерес.

Згода має бути надана добровільно, і оскільки ви залежите від свого роботодавця, відмова рідко обходиться без наслідків. Тому AP та європейські органи захисту даних вважають згоду недійсною майже для всіх видів моніторингу на робочому місці; пункт у вашому контракті чи ІТ-політиці цього не змінює.

Законним інтересом може бути захист майна компанії та конфіденційної інформації, розслідування конкретної підозри у шахрайстві, виконання встановленого законом обов'язку або забезпечення безпеки мережі. Цікавість, загальна недовіра, перевірка продуктивності або бажання дізнатися, що співробітники говорять про керівництво, не є такими. Роботодавець повинен задокументувати свою оцінку до початку моніторингу. План дій визначає умови, які він застосовує до моніторингу працівників.

Необхідність, пропорційність та субсидіарність

Навіть за наявності законного інтересу, читання повідомлень має бути необхідним, пропорційним та найменш нав'язливим варіантом. Якщо опитування причетних осіб, перевірка системних журналів або вивчення транзакцій дадуть відповідь на питання, читання повідомлень є незаконним, проте це може призвести до компрометуючого результату.

Обґрунтована підозра, що працівник продає базу даних клієнтів, виправдовує набагато більше, ніж просто запитання про вимоги щодо відшкодування витрат. На практиці роботодавець повинен заздалегідь звузити пошук: обмежений діапазон дат, імена учасників, визначені пошукові терміни та правило, що очевидно, що приватний контент не читається. Якщо моніторинг є систематичним та масштабним, перед його початком вимагається оцінка впливу на захист даних (DPIA) згідно зі статтею 35 GDPR.

Прозорість: політика понад усе

Моніторинг, про який ніколи не оголошували, майже завжди є незаконним. Роботодавцю потрібна письмова, доступна політика, яка визначає, чи дозволено приватне використання корпоративних пристроїв, що реєструється та як довго, коли може перевірятися контент, хто вирішує це питання та хто проводить перевірку.

Політика, яка лише залишає за собою право «контролювати все в будь-який час», навряд чи витримає. Вона сигналізує суду, що роботодавець ніколи не враховував питання пропорційності.

Чи має рада працівників погодитися?

Так, для самої домовленості про моніторинг. Згідно зі статтею 27(1)(k) та (l) Закону про робочі процеси (WOR), роботодавцю потрібна згода робочої ради (ondernemingsraad) на будь-яку домовленість про обробку персональних даних працівників та на будь-яку систему, яка призначена або придатна для моніторингу відвідуваності, поведінки чи ефективності.

Робоча рада є обов'язковою на підприємстві, на якому зазвичай працює щонайменше 50 осіб (стаття 2 Закону про зайнятість підприємств). Якщо рада відмовляє у наданні згоди, роботодавець може звернутися до районного суду (kantonrechter) за дозволом, який надається лише у випадку, якщо відмова є необґрунтованою або рішення вимагається вагомими діловими причинами (стаття 27(4) Закону про зайнятість підприємств).

Пропуск цього кроку має серйозні наслідки. Згідно зі статтею 27(5) Закону про виконання рішень (WOR), рішення, прийняте без згоди, є недійсним, якщо рада працівників письмово посилається на недійсність протягом одного місяця після того, як її було повідомлено про рішення або вона дізналася про те, що його застосовують.

Чи має значення, чий це телефон?

Менше, ніж думають роботодавці. Важливим є характер спілкування та те, чого ви могли б обґрунтовано очікувати, хоча право власності впливає на те, до чого роботодавець може практично отримати доступ.

Приватний телефон

Роботодавець не має права доступу до вашого приватного телефону. Він не може вимагати від вас передачі чи розблокування телефону чи встановлення програмного забезпечення без вашої згоди, а відмова є здійсненням права, а не перешкоджанням розслідуванню. Доступ до матеріалів на приватному пристрої можливий лише на підставі повноважень щодо кримінального розслідування або за рішенням суду.

Телефон компанії

Якщо приватне використання дозволено, прямо чи на практиці, ви маєте розумні очікування щодо конфіденційності в приватних розмовах на цьому телефоні. Повідомлення WhatsApp шифруються від початку до кінця, тому роботодавець не може прочитати їх у мережі компанії чи Wi-Fi, але на керованому телефоні ІТ-відділ може бачити встановлені програми, резервні копії або, маючи телефон у руках, історію чатів. Юридично роботодавець може переглядати лише те, що йому потрібно для визначеної та законної мети.

Принесіть свій пристрій та WhatsApp Web

Якщо ви використовуєте власний телефон для роботи, доступ роботодавця має бути обмежений окремим керованим робочим середовищем, таким як корпоративна пошта та робочі додатки. Перш ніж встановлювати програмне забезпечення для керування мобільними пристроями, запитайте письмово, що воно може бачити, чи впливає віддалене стирання на особисті дані та що відбувається, коли ви йдете. На робочому комп’ютері WhatsApp Web може бути видимим через моніторинг екрана або інші ІТ-інструменти.

Чи діловий чат розглядається інакше?

Так. Повідомлення в корпоративній групі WhatsApp про клієнта або в інструменті чату на робочому місці є діловим спілкуванням у системах, що контролюються роботодавцем, і в деяких секторах його необхідно зберігати з регуляторних міркувань.

Ті самі принципи GDPR все ще застосовуються: визначена мета, не більше даних, ніж потрібно, прозорість щодо того, що реєструється, і правило для приватних питань, які відображаються в робочих каналах. Колеги, які обговорюють подарунок на день народження в робочій групі, не відмовилися від свого приватного життя, але утримання приватних розмов поза робочими каналами зміцнює вашу позицію.

Коли роботодавець може переглядати повідомлення?

Лише після конкретної підозри у серйозному правопорушенні, розслідування, яке починається з найменш нав'язливого кроку, та вузького, задокументованого обшуку. Приховане спостереження, без попереднього повідомлення, можливе лише у виняткових випадках, протягом обмеженого часу, і вас повинні повідомити після цього.

Приклад для ілюстрації: роботодавець підозрює, що працівник передає клієнтські файли конкуренту. Законне розслідування спочатку перевіряє, які файли були завантажені, коли та з якого облікового запису. Тільки якщо це не дає відповіді на питання, роботодавець може визначити обмежений період та канал на власному обладнанні, доручити невеликій групі провести пошук та записати свої міркування, а потім вислухати працівника. Встановлення програмного забезпечення для моніторингу на телефонах цілого відділу та читання місяців розмов не проходить жодної перевірки, навіть якщо знаходять докази.

Коли колега передає повідомлення

Зазвичай роботодавець взагалі не шукає: колега пересилає скріншот. Роботодавець отримав інформацію, а не отримав до неї доступ, але з цього моменту він обробляє персональні дані та все ще повинен мати законний інтерес і обмежувати їх використання тим, чого вимагає цей інтерес.

Одержувач, як правило, може вільно передавати повідомлення, тому аргумент про те, що роботодавець отримав його незаконно, рідко є успішним. Ви можете заперечити контекст: чотири повідомлення з довгого обміну дають часткову картину. Роботодавець, який реагує на скріншот, не запитуючи повну розмову та не вислухавши вас, не провів належного розслідування.

Ситуації, які часто йдуть не так

• Відсутність на роботі через хворобу: перевірка повідомлень або соціальних мереж, щоб визначити, чи справді ви хворі, означає обробку даних про здоров’я, чого роботодавець не може робити; питання щодо хвороби мають ставити лікарю компанії.
• Підозріла побічна діяльність: читання повідомлень майже ніколи не є найменш нав'язливим способом дізнатися, чим хтось займається у вільний час.
• Ескалація конфлікту або реорганізація: пошук боєприпасів у комунікаціях розглядатиметься судом як формування справи, а не розслідування інциденту.

Чи можуть незаконно отримані повідомлення бути використані проти вас?

Часто так. У цивільних судочинствах Нідерландів, включаючи трудові справи, докази, отримані з порушенням правил конфіденційності, виключаються лише за виняткових обставин, оскільки зазвичай переважає інтерес у встановленні істини.

Порушення все ще має значення. Воно може бути підставою для окремого позову про відшкодування збитків, впливає на те, як суд сприймає роботодавця, а у справі про звільнення може зараховуватися як серйозно винна поведінка (ernstig verwijtbaar handelen) з боку роботодавця, що може призвести до справедливої ​​компенсації (billijke vergoeding). Наша стаття про звільнення за дорученням на основі повідомлень WhatsApp пояснює, як це відбувається.

Що ви можете зробити, якщо ваш роботодавець прочитав ваші повідомлення?

Не видаляйте нічого, а спочатку з'ясуйте, що саме сталося. Видалення повідомлень після виникнення суперечки виглядає як приховування інформації і може бути використане проти вас.

Письмово запитайте у свого роботодавця, на якій підставі було отримано доступ до повідомлень, до чого було отримано доступ, ким, коли та з якою метою. Подайте запит на доступ відповідно до статті 15 GDPR; роботодавець повинен відповісти протягом одного місяця, який може бути продовжений на два місяці для складних запитів (стаття 12(3) GDPR).

Тоді оберіть свій шлях. Внутрішня скарга роботодавцю або співробітнику із захисту даних є найшвидшим варіантом. Робоча рада є правильним органом, якщо проблема полягає в самій системі моніторингу. Скарга до AP є безкоштовною, але AP самостійно вирішує, чи проводити розслідування, і не присуджує компенсацію. Щоб отримати компенсацію або наказ про припинення, ви звертаєтесь до цивільного суду; стаття 82 GDPR надає право на компенсацію, але голландські суди присуджують утримані суми за нематеріальну шкоду та вимагають від вас обґрунтування ваших збитків. Наш огляд прав працівників у Нідерландах викладає ширшу ситуацію.

Що вам слід перевірити як працівнику?

• Ознайомтеся з політикою ІТ та моніторингу зараз, перш ніж виникне проблема.
• Тримайте приватні розмови на власному телефоні, поза пристроями та мережами компанії.
• Перевірте, чи робочі чати резервно копіюються у вашу особисту хмару або чи синхронізуються робочі програми частіше, ніж передбачалося.
• Якщо вас попросять розблокувати телефон, запитайте, на якій підставі, що буде перевірятися і ким, і підтвердіть відповідь письмово.
• Перш ніж встановлювати програмне забезпечення для керування на свій телефон, запитайте, що він бачить і що відбувається, коли ви підете.
• Якщо ваші повідомлення були прочитані, надішліть запит на доступ відповідно до статті 15 GDPR та збережіть всю кореспонденцію.

Що вам слід перевірити як роботодавцю?

• Майте письмову політику, в якій зазначено, що відстежується, чому, ким і як довго зберігаються дані.
• Отримайте та зареєструйте згоду робочої ради відповідно до статті 27(1)(k) та (l) WOR перед запровадженням моніторингу.
• Провести ВПЗ відповідно до статті 35 GDPR, якщо моніторинг є систематичним або масштабним.
• Коли виникає інцидент, спочатку вичерпайте об'єктивні джерела та письмово визначте обсяг будь-якого пошуку повідомлень.
• Вислухайте співробітника, перш ніж робити висновки, та видаліть матеріал, як тільки його мета буде виконана.
• Не сприймайте володіння пристроєм як дозвіл читати все, що на ньому є. Наш посібник з Закон Нідерландів про конфіденційність даних охоплює супутні зобов'язання.

Що ми можемо для вас зробити з моніторингом робочого місця?

Наші юристи з трудового права консультують працівників та роботодавців щодо читання повідомлень на роботі:

• Ми оцінюємо, чи був доступ вашого роботодавця до ваших повідомлень законним відповідно до GDPR та статті 8 ЄКПЛ.
• Ми готуємо ваш запит на доступ відповідно до статті 15 GDPR та контролюємо дотримання одномісячного терміну.
• Ми розробляємо або переглядаємо політику моніторингу та ІТ, а також готуємо запит на згоду до робочої ради.
• Ми провели масштабне, задокументоване внутрішнє розслідування, яке поважає необхідність та пропорційність.
• Якщо моніторинг призвів до звільнення, ми розглядаємо справу про звільнення та скаргу щодо конфіденційності разом.
• Ми подаємо скаргу до AP або порушуємо провадження щодо наказу про зупинення та компенсацію.

Резюме

• Роботодавець може читати повідомлення WhatsApp лише з законним інтересом, коли це необхідно та пропорційно, а також після оголошення про це в політиці.
• Згода працівника майже ніколи не є дійсною підставою для моніторингу.
• Для укладення договорів про моніторинг потрібна згода робочої ради згідно зі статтею 27(1)(k) та (l) WOR; без неї вони можуть бути недійсними.
• Вам ніколи не доведеться розблоковувати свій особистий телефон; на службовому телефоні дозволена лише певна, обмежена перевірка.
• Незаконно отримані повідомлення все ще можуть бути використані в суді, але порушення може призвести до збитків або бути зарахованими роботодавцю.

Часті питання