Een werknemer gebruikt zijn persoonlijke telefoon om een zakelijke e-mail te beantwoorden vanuit de parkeerplaats, nog voordat hij zich aanmeldt. ‘s Avonds ontvangt hij een sms van zijn manager via een berichtenapp die op hetzelfde apparaat is geïnstalleerd. Wanneer de werkgever besluit om de zakelijke gegevens die op dit apparaat worden verzonden te “beveiligen”, komen we in een gebied waar arbeidsrecht en bescherming van persoonlijke gegevens elkaar overlappen.
Wet 25 en BYOD-apparaten: het echte blinde punt van interne beleidslijnen
De meeste bedrijfsbeleid over het gebruik van persoonlijke telefoons beperkt zich tot het kaderen van het gebruik: wanneer het kan worden geraadpleegd, in welke gebieden, tijdens welke uren. Het probleem begint wanneer de werkgever verder wil gaan, dat wil zeggen toegang krijgen tot, gegevens ophalen of verwijderen van een apparaat dat niet van hem is.
Met Wet 25 legt Quebec organisaties strikte governance-verplichtingen op zodra zij persoonlijke gegevens verwerken. Een persoonlijke telefoon die voor werk wordt gebruikt, bevat bijna altijd een mengeling van gegevens: familiefoto’s, privégesprekken, maar ook zakelijke e-mails, klantcontacten, interne documenten. Als de werkgever software voor mobiel apparaatbeheer (MDM) installeert om zijn gegevens te beschermen, heeft hij technische toegang tot de gehele inhoud van het apparaat.
Als we het hebben over het gebruik van persoonlijke telefoons voor werk in Quebec, is de vraag niet langer of de werknemer op Instagram kan scrollen tijdens zijn pauze. De vraag is: wie controleert wat op een apparaat dat toebehoort aan de werknemer, en op welke juridische basis.
Aanvullende lectuur : De perfecte bereiding van rundertong in een snelkookpan: tips en eenvoudig recept
Verplichtingen van de Quebecse werkgever met betrekking tot persoonlijke gegevens op BYOD-telefoons
Wet 25 heeft verschillende vereisten versterkt die rechtstreeks van invloed zijn op BYOD-praktijken. Concreet moet de organisatie ervoor zorgen dat ze een nauwkeurig kader respecteert voordat ze een werknemer vraagt zijn telefoon voor werk te gebruiken.
- Een geïnformeerde en specifieke toestemming van de werknemer verkrijgen voordat persoonlijke gegevens via zijn apparaat worden verzameld, inclusief locatie- of gebruiksmetadata
- Documenteren welke beveiligingsmaatregelen zijn toegepast op de zakelijke gegevens die op het persoonlijke apparaat worden verzonden, en de opslag beperken tot wat strikt noodzakelijk is
- Een procedure voor het verwijderen van zakelijke gegevens aan het einde van de arbeidsovereenkomst voorzien die geen invloed heeft op de persoonlijke gegevens van de werknemer
- Een persoon aanwijzen die verantwoordelijk is voor de bescherming van persoonlijke gegevens binnen de organisatie, een verplichting die van toepassing is sinds de eerste fasen van de inwerkingtreding van Wet 25
De sancties die door Wet 25 zijn voorzien in geval van niet-naleving kunnen zeer hoog zijn. Een beleid dat simpelweg zegt “de werknemer stemt in met het gebruik van zijn telefoon” zonder deze elementen te specificeren, is niet voldoende.
Op afstand wissen en privacy van de werknemer
Het meest conflictueuze scenario doet zich voor bij een vertrek. De werkgever activeert het op afstand wissen via de MDM om zijn gegevens te beschermen. Resultaat: de foto’s, berichten en persoonlijke apps van de werknemer verdwijnen ook. Dit soort ingreep, zonder vooraf gedocumenteerde toestemming, stelt de werkgever bloot aan klachten over schending van de privacy.
De Quebecse regelgeving over anonimisatie, die in 2024-2025 van kracht wordt, voegt een laag van complexiteit toe. Organisaties moeten de opslag en hergebruik van gegevens van mobiele apparaten structureren ver voorbij wat de klassieke HR-beleidslijnen dekken.
Rechten van de werknemer: kan men weigeren zijn persoonlijke telefoon op het werk in Quebec te gebruiken
Volgens het Quebecse recht heeft de werkgever een leidinggevende bevoegdheid die hem in staat stelt het werk te organiseren en regels vast te stellen. Deze bevoegdheid heeft echter duidelijke grenzen als het gaat om het opleggen van het gebruik van een goed dat toebehoort aan de werknemer.
Geen enkele Quebecse wet verplicht een werknemer om zijn eigen telefoon te verstrekken voor het uitvoeren van zijn professionele taken. Als de werkgever het gebruik van een mobiel apparaat vereist, is het aan hem om het te verstrekken of, bij gebrek daaraan, de werknemer financieel te compenseren. De reacties variëren op dit punt afhankelijk van de sectoren, maar het principe blijft hetzelfde: de verplichting om de werktools te verstrekken ligt bij de werkgever.
Een werknemer die weigert zijn persoonlijke apparaat aan te sluiten op een MDM-systeem of een professionele applicatie te installeren, oefent een legitiem recht uit. De werkgever kan deze weigering niet bestraffen zonder zich bloot te stellen aan een rechtszaak, vooral als er geen schriftelijke overeenkomst was die deze verplichting bij de indiensttreding voorzag.
Toezicht en bewijs: de grenzen van de bevoegdheid van de werkgever
Het recht op privacy verdwijnt niet bij de deur van het kantoor. Een werkgever die toegang krijgt tot persoonlijke e-mails, browsegeschiedenis of privéberichten die op de telefoon van een werknemer zijn opgeslagen, loopt het risico op betwistingen voor de rechtbank. Bewijs dat is verkregen door niet-conform toezicht kan als onontvankelijk worden beschouwd.
De sterkste beleidslijnen scheiden duidelijk de professionele ruimte van de persoonlijke ruimte op het apparaat, bijvoorbeeld via een beveiligde container die de bedrijfsgegevens isoleert. Deze technische benadering beperkt de risico’s voor beide partijen.
Een BYOD-beleid opstellen dat voldoet aan Wet 25: de niet-onderhandelbare elementen
Een beleid voor persoonlijke telefoons op het werk dat standhoudt in 2025 in Quebec, is niet slechts een paragraaf in het handboek van de werknemer. Het moet zowel de bescherming van persoonlijke gegevens als de productiviteit dekken.
- Precies definiëren welke zakelijke gegevens op het persoonlijke apparaat mogen worden verzonden en welke zijn uitgesloten (gezondheidsgegevens, sociale zekerheidsnummers, enz.)
- De toegangsrechten van de werkgever specificeren: wat hij kan zien, wat hij niet kan zien, en onder welke omstandigheden
- De procedure voor het wissen aan het einde van de arbeidsovereenkomst kaderen met een protocol dat de persoonlijke gegevens van de werknemer beschermt
- Financiële compensatie of een materieel alternatief voorzien voor werknemers die BYOD weigeren
Het document moet door de werknemer worden ondertekend, regelmatig worden bijgewerkt en te allen tijde toegankelijk zijn. Een beleid dat in 2019 is opgesteld, vóór de inwerkingtreding van Wet 25, is waarschijnlijk op verschillende punten verouderd.
De grens tussen leidinggevende bevoegdheid en schending van de privacy ligt vaak in de technische details. Een werkgever die zijn gegevens wil beveiligen zonder de rechten van zijn werknemers te schenden, moet zijn BYOD-beleid beschouwen als een nalevingsproject, niet als een simpele toevoeging aan het interne reglement.