In een beslissing van 7 oktober 2025 herhaalde de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA) haar strenge richtlijnen rond het afsluiten van de professionele mailbox en het daaraan gekoppelde e-mailaccount bij de uitdiensttreding van een medewerker. De GBA oordeelde dat dezelfde principes van toepassing zijn op het verdere gebruik van het gsm-nummer dat tijdens de tewerkstelling ter beschikking wordt gesteld.
Feiten
De beslissing kwam tot stand naar aanleiding van een klacht die een voormalig gedelegeerd bestuurder had neergelegd bij de Gegevensbeschermingsautoriteit (GBA). De onderneming had namelijk het professionele e-mailaccount en gsm-nummer van de bestuurder na de beëindiging van diens tewerkstelling niet afgesloten.
Enkele maanden na zijn uitdiensttreding had de bestuurder de onderneming verzocht om het e-mailaccount en het gsm-nummer af te sluiten en persoonlijke berichten te verwijderen. De onderneming antwoordde dat de mailbox spoedig zou worden afgesloten, maar dat het gsm-nummer aan hen toebehoorde.
Er werd vastgesteld dat het e-mailadres van de klager nog vijf maanden na de uitdiensttreding actief was en dat het gsm-nummer zelfs acht maanden na de uitdiensttreding nog in gebruik was door de onderneming.
Beslissing
De GBA herhaalde in haar beslissing dat de beginselen van doelbinding, rechtmatigheid, minimale gegevensverwerking en opslagbeperking niet worden nageleefd indien een onderneming, na het vertrek van een medewerker, nog toegang heeft tot diens mailbox en indien het professionele mailadres van de ex-medewerker blijft bestaan en actief gebruikt wordt. Een dergelijke verwerking berust op geen enkele rechtsgrond.
Mailbox
Volgens vaste rechtspraak van de GBA moet een onderneming uiterlijk op de dag van het feitelijk vertrek van de medewerker diens mailbox deactiveren en voorzien van een automatisch bericht. Dit automatisch bericht moet alle correspondenten informeren dat de ex-medewerker de onderneming heeft verlaten. Daarnaast moet het bericht de contactgegevens verstrekken van de persoon (of het algemene e-mailadres) die in zijn plaats moet worden gecontacteerd. De ex-medewerker moet worden geïnformeerd over deze deactivering.
Na een redelijke termijn (in principe één maand) moet de mailbox en het automatisch bericht verwijderd worden. Deze termijn kan worden verlengd tot maximaal 3 maanden, rekening houdend met de context en de mate van verantwoordelijkheid die de ex-medewerker uitoefende. Deze verlenging moet worden gemotiveerd en dient te gebeuren met instemming van de ex-medewerker, of minstens nadat deze van de verlenging op de hoogte werd gesteld.
Gsm-nummer
De GBA bevestigde dat de bovenvermelde richtlijnen ook van toepassing zijn op het verder gebruik van het gsm-nummer dat tijdens de tewerkstelling ter beschikking werd gesteld. De onderneming stelde dat het gsm-nummer aan hen toebehoorde, aangezien de onderneming het abonnement had afgesloten, en er dus geen inbreuk kan zijn op de privacy van de ex-medewerker. Volgens de GBA is het gsm-nummer, alsook de communicatie die via dat nummer verloopt, inherent verbonden met de klager. De verwerking van deze informatie door de onderneming moet als een verwerking van persoonsgegevens van de klager worden beschouwd.
Onrechtmatige verwerking
De GBA stelde een inbreuk vast van de beginselen van doelbinding, rechtmatigheid, minimale gegevensverwerking en opslagbeperking.
Het doelbindingsbeginsel vereist dat persoonsgegevens enkel verwerkt mogen worden voor gerechtvaardigde doeleinden. Daarnaast bepaalt het beginsel van rechtmatigheid dat elke verwerking van persoonsgegevens moet berusten op een wettelijke grondslag, zoals bijvoorbeeld de uitvoering van een overeenkomst. Tijdens de tewerkstelling is het beheer en gebruik van de mailbox en het gsm-nummer noodzakelijk voor de uitvoering van de overeenkomst tussen de onderneming en de medewerker (namelijk het mogelijk maken van professionele communicatie). Deze rechtsgrond valt echter weg op het ogenblik van de uitdiensttreding.
Het beperkt actief houden van de mailbox en het gsm-nummer na de uitdiensttreding moet dan ook berusten op een nieuwe rechtsgrond. In principe aanvaardt de GBA hierbij dat de onderneming zich kan baseren op zijn gerechtvaardigd belang, met name het verzekeren van de continuïteit van de prestaties en het goed functioneren van de onderneming.
De GBA oordeelde dat er geen rechtsgrond was die kon rechtvaardigen dat het e-mailadres nog actief was. Evenmin was er een geldige rechtsgrond voor het verder gebruik van het gsm-nummer en de verwerking van de aan dit nummer verbonden berichten. Volgens de GBA was de indicatieve periode van één maand na de uitdiensttreding ruimschoots overtreden.
Tot slot had de onderneming ook nagelaten om een passend gevolg te geven aan het verzoek van de klager tot gegevenswissing. Het bewaren van communicatiegegevens, ongeacht of deze van professionele dan wel privé-gerelateerde aard zijn, voor een onbepaalde tijd na de uitdiensttreding, vormde volgens de GBA een inbreuk op het rechtmatigheidsbeginsel. Hierbij hield de GBA rekening met het feit dat de klager meer dan 10 jaar werkzaam was binnen de onderneming. De onderneming had bovendien toegestaan dat de bestuurder de gsm ook voor persoonlijke contacten mocht gebruiken. Doordat ook deze persoonlijke communicatie werd bewaard na de uitdiensttreding, zonder enig doel en zonder beperking in de tijd, versterkte dit de inbreuk.
Sanctie
Op het ogenblik van de beslissing bevond de onderneming zich in vereffening en werden er geen operationele activiteiten meer uitgevoerd. De GBA vond het daarom passend om de sanctie te beperken tot een berisping en geen geldboete op te leggen.
Aandachtspunt
In haar beslissing van 7 oktober 2025 herhaalde de GBA haar richtlijnen rond de deactivatie van e-mailaccounts na de uitdiensttreding van een medewerker – ongeacht of het gaat om een werknemer of een zelfstandige. Dezelfde principes zijn van toepassing op het gsm-nummer dat tijdens de tewerkstelling ter beschikking werd gesteld.
Gelet op deze richtlijnen is het aanbevolen om te zorgen voor een duidelijk en transparant beleid rond de deactivatie van e-mailaccounts en gsm-nummers bij uitdiensttreding. Stel tijdig automatische berichten in, informeer de betrokken medewerker, en verwijder accounts en communicatiegegevens binnen een redelijke termijn.
Het Claeys & Engels Data Protection team staat klaar om te helpen bij verdere vragen over dit onderwerp.
