Thuiswerken met bedrijfsgevoelige informatie

Het komt steeds vaker voor dat werknemers thuis werken. Het is praktisch omdat het tijdrovend woon-werk verkeer bespaart. In een omgeving die in toenemende mate digitaliseert is thuiswerken ook logisch. Je hoeft niet meer bij de stalen dossierkast in de buurt te zitten om er een document uit op te vissen. Alle benodigde informatie is vindbaar via de computer, tablet of smartphone. Werkgevers vinden het in de regel geen groot probleem om thuiswerken toe te staan. De vraag is echter of zij zich realiseren dat er dagelijks gevaren op de loer liggen. Gevoelige informatie komt eenvoudig in de verkeerde handen. In dit artikel worden de juridische consequenties hiervan beschouwd en praktische tips gegeven om verlies van data te voorkomen.

Een reëel gevaar

Het verliezen van gevoelige informatie is zeker geen denkbeeldig probleem. Neem bijvoorbeeld voormalig Officier van Justitie Joost Tonino. Die zette in 2004 zijn oude computer bij het grof vuil omdat hij last had van een computervirus. Op deze PC was onder meer informatie te vinden over justitiële onderzoeken waarbij Tonino als Officier van Justitie betrokken was. Hoogst gevoelige informatie die lopende onderzoeken in gevaar kon brengen. Een taxichauffeur pikte de computer van de stoep op en leverde deze prompt af bij misdaadverslaggever Peter R. de Vries. Er zijn meer sprekende voorbeelden te vinden bij de Nederlandse Staat. Een medewerker van de Algemene Inlichtingen en Veiligheidsdienst (“AIVD”) raakte in 2005 diskettes kwijt die – wederom – bij Peter R. de Vries belandden. Naast het feit dat het opmerkelijk is dat de AIVD anno 2005 kennelijk nog met diskettes werkt(!) valt op dat het zeker niet bij één incident bleef. Bij Defensie en de rechterlijke macht ging het in het verleden herhaaldelijk mis. Medewerkers van Defensie raakten verschillende keren USB sticks kwijt met daarop gevoelige informatie. Dat wil zeggen, informatie die in de verkeerde handen levensgevaarlijk is voor bijvoorbeeld militairen in het buitenland. Opvallend is dat uit vragen van Kamerleden aan de toenmalige Minister van Defensie bleek dat de informatie op de USB sticks bovendien niet versleuteld was. Dan nog een voorbeeld van niet digitale aard. Politierechter mr. B. fietste in 2009 met vijf dossier onder haar snelbinder naar huis. Eenmaal thuis merkte ze dat de vijf (ongetwijfeld vuistdikke) dossiers van de fiets waren gegleden. En, hoe kan het ook anders, de dossiers werden op enig moment door de vinder afgeleverd bij Peter R. de Vries. Pas toen gaf de rechter openheid van zaken en bekende ze de dossier te zijn kwijtgeraakt. De lijst van incidenten gaat maar door. Ook in het Nederlandse bedrijfsleven gaat het vaak mis. TNS NIPO becijferde in 2012 in opdracht van Nationale Nederlanden dat in de afgelopen vijf jaar gevoelige informatie van 10.000 bedrijven bij onbevoegden terecht is gekomen. De geschatte schade die de bedrijven hierdoor samen hebben geleden: 115 miljoen Euro. Overigens werd in dit onderzoek wel het “verduisteren” van informatie door werknemers zelf meegewogen.

De juridische gevolgen

In geval van moedwillig lekken of stelen van bedrijfsgevoelige informatie kan er sprake zijn van een dringende reden die een ontslag op staande voet rechtvaardigt. Dat is een uiterste sanctie die voor de werknemer vergaande gevolgen heeft: hij verlies van de ene op de andere dag zijn baan en inkomen. In geval dat per ongeluk informatie wordt verloren zal het in de regel niet z’n vaart lopen. Het juridische uitgangspunt is dat de werknemer niet aansprakelijk is voor problemen die nu eenmaal horen bij het uitvoeren van zijn werk. Staat de werkgever gebruik van digitale apparaten en meenemen van informatie toe, dan kan er dus ook wel eens wat mis gaan. Net zoals een schoonmaker per ongeluk een duur schilderij van de muur kan stoten of een kostbare muurschildering kan beschadigen. In dat geval is het uitgangspunt dat de werkgever aansprakelijk is voor de schade. De aansprakelijkheid kan wel verschuiven als er sprake is van “opzet” of “bewuste roekeloosheid”. Of zich opzet of bewuste roekeloosheid voordoet hangt sterk af van de concrete feiten van de zaak. Maar voor zover bekend zijn ook in de extreme voorbeelden die hierboven werden gegeven geen arbeidsrechtelijke sancties genomen.

Wat moet er dan wel gebeuren?

Het feit dat het probleem in principe op het bord van de werkgever komt te liggen, onderstreept voor de werkgever vooral dat het belangrijk is te voorkomen dat het misgaat. Ook de werknemer is daar bij gebaat. Die zal evenmin willen dat zijn werk op straat komt te liggen. Of dat door zijn fout gevoelige informatie is gelekt. De werkgever is bovendien verplicht om maatregelen te nemen. Hij dient op grond van artikel 7:658 BW – kort gezegd – de aan de werknemer geboden voorzieningen zodanig in te richten dat daarmee veilig kan worden gewerkt. In dat kader kan ten eerste gedacht worden aan deugdelijk beveiligde digitale dragers. Encryptie (versleuteling) van de data zelf voorop, naast toegang met gecompliceerde wachtwoorden die regelmatig moeten worden gewijzigd. En bijvoorbeeld ook een verplicht codeslot op de smartphone. Het is een onaanvaardbaar risico met een smartphone op zak rond te lopen wanneer deze openlijk toegankelijk is voor iedereen die het apparaat toevallig vindt. Wel bestaat er tegenwoordig goede mogelijkheden om verloren toestellen op te sporen via GPS en op afstand te wissen of uit te schakelen. Dat principe geldt ook voor laptops en zelfs gewone dekstop computers. Verder is het gebruik van een dubbele beveiliging bij inloggen een goed idee. Dit houdt in dat voor het inloggen een code vereist is, die wordt toegestuurd op een geregistreerd mobiel nummer van de werknemer. Die moet de code én zijn combinatie van inloggegevens gebruiken om toegang te krijgen tot de bedrijfssystemen.

En wie gaat het doen?

Het is dus een taak van de IT afdeling om dit probleem te tackelen. Maar die afdeling verwijst vaak weer naar het management. Het management neemt op zijn beurt als vanzelf aan dat dit tot het takenpakket van de IT afdeling behoort. De praktijk wijst uit dat de beveiliging van IT vaak een ondergeschoven kindje is. Het is naar mijn mening primair de taak van het management om erop toe te zien dat de beveiliging optimaal is. Concrete opdrachten moeten vanuit het management komen, Een concrete tip naast het instellen van beveiliging is het opstellen van een reglement voor het gebruiken van (gevoelige) bedrijfsinformatie op afstand, zij het digitaal of ouderwets analoog. Ook de werknemers kunnen wat opvoeding gebruiken.

mr. Jurian van Groenendaal is advocaat bij Boekx Advocaten Media & Intellectuele Eigendom te Amsterdam vangroenendaal@boekx.com (www.boekx.com).

Dit artikel is eerder verschenen in het magazine PC Rendement