Wat mag ik (niet) doen met de mailbox van mijn (ex-)werknemers?

Deze blogpost is beschikbaar in Nederlands, Engels en Frans. 

Een professionele mailbox bevat een hoop nuttige, maar ook gevoelige informatie, zoals lopende dossiers, persoonsgegevens en bedrijfsgeheimen. De moeilijkheid ligt in het feit dat mailboxbeheer een sterke gegevensbeschermingscomponent kent (rechtmatigheid, doelbinding, minimalisatie, bewaarbeperking) én een operationele: continuïteit van de bedrijfsvoering verzekeren zonder de privacy van de werknemer te verregaand in te perken. 

Een doordacht beleid dat afspraken vastlegt rond het gebruik van en controle op de mailbox van uw werknemers, alsook een ruimer IT-beleid is dus niet alleen een kwestie van IT-hygiëne, maar ook van rechtmatigheid en proportionaliteit onder de Algemene Verordening Gegevensbescherming (AVG). De Belgische Gegevensbeschermingsautoriteit (GBA) tekende de voorbije jaren duidelijke krijtlijnen uit hieromtrent, en versterkte haar kader in een recente beslissing van 21 augustus 2025 (GBA, beslissing 134/2025). Zo bevestigt beslissing 134/2025 dat een gepersonaliseerde mailbox na het einde van de samenwerking slechts gedurende een beperkte periode actief mag blijven, én dan uitsluitend om een automatisch antwoord te laten functioneren dat contacten naar het nieuwe correspondentiekanaal verwijst – een langer of ruimer gebruik doorbreekt doelbinding en dataminimalisatie. 

We verduidelijken die krijtlijnen hieronder en vestigen de aandacht op enkele do’s en don’ts voor een pragmatisch mailboxbeheer binnen uw onderneming. 

Offboarding 

Een conform offboardingbeleid begint op de laatste werkdag van de werknemer. Enerzijds is het aan te raden dat de medewerker vóór vertrek diens mailbox opschoont zodat geen privéberichten achterblijven, bij voorkeur in aanwezigheid van een vertrouwenspersoon. Wij raden ook aan om de werknemer een document te laten ondertekenen waarin hij/zij verklaart zijn mailbox te hebben ontdaan van privéberichten. Vervolgens moet IT onmiddellijk na vertrek de toegang tot de mailbox blokkeren. Het is dan uiteraard niet meer toegestaan om te blijven antwoorden vanuit de mailbox van de ex-werknemer, aangezien dit wijst op een blijvend gebruik van de mailbox. In haar beslissing 133/2021 kwalificeerde de GBA het verder gebruiken van het gepersonaliseerde e-mailadres na beëindiging van de samenwerking, zonder passende basis en transparantie naar de ex-werknemer, als onrechtmatig, gesteund op de principes van doelbinding en dataminimalisatie. Het dient benadrukt te worden dat noch actief gebruik van het e-mailadres na uitdiensttreding van de betrokkene, noch meelezen, noch mails doorsturen of beantwoorden vanuit die ex-mailbox als rechtmatig beschouwd worden. Laat de leidinggevende of het generieke teamadres (bv. departement@bedrijf.be) antwoorden, niet de persoonlijke mailbox van de ex-werknemer. 

Anderzijds begint u best met het instellen van een automatisch bericht waarin wordt meegedeeld dat de betrokkene de functie niet langer uitoefent en wie voortaan te contacteren. De GBA preciseert dat dit bericht uiterlijk op de dag van het effectieve vertrek actief moet zijn en gedurende een redelijke, beperkte periode zichtbaar mag blijven. U kunt ervoor kiezen om ofwel de werknemer zelf een bericht te laten instellen (aan de hand van instructies in het IT-beleid) of om IT een bericht te laten instellen bij het blokkeren van de toegang tot de mailbox. De GBA bevestigt dat één maand het uitgangspunt is afhankelijk van de context (GBA, beslissing 133/2021, beslissing 97/2024 en 134/2025); enkel bij sleutel- of solofuncties (bv. directielid, managementfunctie) kan een langere periode worden aanvaard, idealiter niet langer dan drie maanden, en met voorafgaande informatie of instemming van de betrokkene. Het rechtmatig kader voor die korte overgang is doorgaans het gerechtvaardigd belang van de onderneming (art. 6(1)(f) AVG), weliswaar strikt beperkt tot het laten functioneren van het automatische antwoord ten behoeve van de continuïteit van de bedrijfsvoering. 

De voormelde redelijke termijn van het automatisch bericht is concreet afgebakend in GBA beslissing 97/2024: een verlenging tot vijf maanden werd, zelfs in uitzonderlijke omstandigheden, als excessief beoordeeld. Aldus blijft het uitgangspunt één maand, met een begrensde uitloop tot maximaal drie maanden gelet op een hogere functie binnen de onderneming, zoals bevestigd in de recente beslissing 134/2025 van de GBA. De mailbox actief houden voorbij de redelijke periode, ook wanneer er een automatisch antwoord actief is, blijft een inbreuk op doelbinding en dataminimalisatie. 

Kortom, een helder intern offboardingbeleid voorkomt frictie en klachten. Beperk dus de aanwezigheid van privéberichten in de mailbox vóór vertrek door de werknemer de mogelijkheid te geven om diens mailbox op te kuisen, en stel ten laatste op de laatste werkdag een automatisch out-of-officebericht in. De mailbox blijft vervolgens uitsluitend met automatisch antwoord actief voor de beperkte, redelijke periode van respectievelijk één maand of, indien relevant, maximaal drie maanden. Daarna worden mailbox én e-mailadres definitief verwijderd. Wij raden aan om, omwille van redenen van continuïteit of bewijs, een kopie van de professionele e-mails te bewaren, overeenkomstig het retentiebeleid dat binnen het bedrijf gehanteerd wordt. 

Bij inzageverzoeken door de ex-medewerker geldt nuance: het recht op inzage komt voort uit de AVG – en heeft dus betrekking op persoonsgegevens – en strekt zich niet automatisch uit tot volledige e-mails of hele mailboxen (GBA, beslissing 134/2025, para. 58.). Hoewel dergelijk verzoek tijd- en kostenrovend kan zijn, kan dit niet gebruikt worden als argument dat het verzoek tot inzage kennelijk ongegrond en buitensporig is (GBA, beslissing 134/2025, paras. 76 e.v.). Een simpele, algemene weigering houdt zelden stand en zal een inbreuk vormen op het recht op inzage zoals beschermd in de AVG. Daarom blijven selectie, anonimisering van persoonsgegevens van derden die mogelijks in de e-mails vermeld worden en een deugdelijke motivering binnen de wettelijke termijnen essentieel. 

Langdurige afwezigheid 

Bij ziekte, ouderschapsverlof of enige andere langdurige afwezigheid blijft de arbeidsrelatie bestaan, hoewel de werknemer langdurig afwezig is. De doelstelling is dan het kanaliseren van communicatie zonder onnodige inhoudstoegang. Ook hier biedt een tijdig automatisch bericht met een functioneel alternatief contact de juiste balans tussen continuïteit van bedrijfsvoering en het principe van minimale gegevensverwerking. Het routinematig openen of opvolgen van de mailbox is niet te verzoenen met de redelijke verwachtingen van de werknemer en vraagt, als het al nodig is, een duidelijke rechtsgrond en procedure en dient beperkt te blijven tot een redelijke periode. Die lijn werd in beslissing 133/2021 scherp benadrukt door de GBA. 

In de praktijk kan de IT-dienst, bij een onverwachte afwezigheid en op vraag van of met toestemming van de leidinggevende, het out-of-officebericht instellen in naam van de afwezige werknemer, mits de werknemer zo snel mogelijk wordt geïnformeerd. Zo wordt de continuïteit gegarandeerd zonder structurele inhoudstoegang en blijven doelbinding en dataminimalisatie gewaarborgd. 

Monitoring van internetgebruik en e-mail 

Een onderscheid is noodzakelijk tussen algemene technische controles (beschikbaarheid, veiligheid, filtering) en individuele controle op de inhoud van het internetgebruik/ e-mails. Zowel de rechtspraak van de GBA als CAO nr. 81 laten ruimte voor occasionele en globale controle om de beschikbaarheid en de veiligheid te garanderen. Die controles moeten niettemin de AVG-principes respecteren, namelijk finaliteit, proportionaliteit en transparantie. Rekening houdend met het finaliteitsbeginsel kunnen dergelijke controles enkel voor een gerechtvaardigd doel plaatsvinden, bijv. voorkomen van fraude, beschermen van commerciële belangen, veiligheid garanderen, etc. Het respecteren van proportionaliteit houdt concreet in dat de controle in verhouding moet staan met het belang dat de werkgever wil beschermen - een continue monitoring van de productiviteit van de werknemers zou bijvoorbeeld een schending zijn van het proportionaliteitsprincipe. Ten slotte is transparantie naar de werknemers toe essentieel. Zij moeten informatie krijgen over het feit dat controles worden uitgevoerd, om welke redenen en het soort controles dat kan plaatsvinden. De GBA stelt dat het arbeidsreglement de meest aangewezen informatiebron is omdat het tot stand komt met sociaal overleg en afdwingbaar is. Uit ervaring kunnen wij echter stellen dat een aanpassing van het arbeidsreglement in sommige ondernemingen geen evidente opdracht is, hiermee rekening houdend, kan de informatie ook opgenomen worden in een IT-beleid of door middel van een clausule in de arbeidsovereenkomst. 

Individuele controles zijn slechts mogelijk wanneer er een afwijking door de werknemer wordt vastgesteld in drie doelcategorieën: (1) preventie van illegale/lasterlijke feiten of aantasting van de waardigheid, (2) bescherming van economische/commerciële/financiële bedrijfsbelangen met vertrouwelijkheidsaspect, en (3) veiligheid of goede technische werking van de netwerksystemen (en fysieke beveiliging). Gaat het louter om de naleving van interne gebruiksregels, dan is alleen indirecte individualisering toegestaan, na een voorafgaande informatiefase. In alle gevallen blijven finaliteit, proportionaliteit en transparantie de toetssteen. Wanneer er een concrete noodzaak bestaat om toegang te krijgen tot de mailbox van een werknemer (bijvoorbeeld bij vermoeden van fraude), moet een gedocumenteerd intern beleid nageleefd te worden. Idealiter gebeurt dit door een gemotiveerd toegangsverzoek in te dienen bij IT binnen een strikt afgebakende scope, voor een beperkte periode en met transparantie waar mogelijk. Dit sluit aan bij de rechtspraak die het routineus of onbeperkt gebruiken van mailboxen onverenigbaar acht met de basisbeginselen van de AVG, zoals transparantie, proportionaliteit, rechtmatigheid, de redelijke verwachtingen van de betrokkene(n), beschermen van rechten van derden en bedrijfsgeheimen. 

Mailboxbeheer en beleid in de praktijk: gedocumenteerd, transparant en proportioneel 

Kortom, kies altijd de minst ingrijpende maatregel, documenteer de rechtsgrond en respecteer rechten van derden. Maak een duidelijke afweging tussen gegevensbescherming en de redelijke verwachtingen van de (ex-)werknemer enerzijds, en het garanderen van de continuïteit van de bedrijfsvoering anderzijds, met deze blog en de beslissingen van de GBA als leidraad. Wie bovenstaande do’s en don’ts consequent toepast, combineert AVG-conformiteit met bedrijfscontinuïteit. Dergelijk beleid blijft dan beheersbaar, voorspelbaar en verdedigbaar. 

Transparantie naar de werknemers toe blijft de toetssteen. U dient het gehanteerde beleid dan ook ter kennis te brengen aan de werknemers, idealiter door middel van het arbeidsreglement of een IT-beleid. 

Hebt u graag begeleiding bij het opstellen of actualiseren van uw beleid in uw arbeidsreglement of uw IT-beleid (incl. mailbox-policy), neem dan zeker contact met ons op.