Meer over gekende principes inzake beheer en bewaren van de mailbox bij exit (Lydian)

Auteur: Isabel Plets (Lydian) 

GBA 83/2026 van 22 april 2026

• Een alias op een mailbox (een soort doorstuuradres) laat nog steeds toe dat inkomende e-mails kunnen worden bekeken. Een alias met het oog op continuïteit van de dienstverlening bij exit van een werknemer is een inbreuk op principe dataminimalisatie.  Het is niet noodzakelijk de volledige inhoud van de professionele e-mailaccount aan de ex-werkgever ter kennis te brengen. Ontvangen e-mailberichten kunnen immers privé-informatie bevatten die geen invloed hebben op de continuïteit van de dienstverlening.
• Niet activeren van een automatisch antwoord bij exit is een inbreuk op het principe van dataminimalisatie.
• Er bestaat geen enkele verplichting voor werkgevers om ontslagnemende medewerkers proactief aan te bieden hun privé-e-mails uit de professionele mailbox op te halen, dat is enkel een aanbeveling van de GBA. De werknemer kan daarvoor een verzoek indienen.

GBA 86/2026 van 23 april 2026  

• Herhaling van gekende principes, wel met de vermelding dat de mailbox definitief moet worden verwijderd, zowel uit operationele systemen als uit back-upomgevingen.
• Een clausule in het privacybeleid/annex arbeidsovereenkomst die stelt dat de werkgever (accountancykantoor) 3 jaar de mailbox bijhoudt na exit van de werknemer om wettelijke verjaringstermijnen en fiscale controletermijnen na te leven, volstaat niet om een gerechtvaardigd belang aan te tonen voor de verwerking na exit (tijdens de tewerkstelling evident wel rechtsgrond – uitvoering van de arbeidsovereenkomst)
• Het is niet toegestaan de mailbox na exit te doorzoeken op bedrijfsnoodzakelijke informatie: de informatie moet vóór het vertrek van de werknemer, bij voorkeur in diens aanwezigheid, worden gerecupereerd.
• Tip GBA (vermeldt het twee keer in de beslissing): zo snel mogelijk bedrijfsnoodzakelijke informatie uit persoonlijke mailbox halen en bewaren op bedrijfseigen structuren en duidelijke afspraken met de werknemer maken vóór vertrek. Openhouden van het e-mailadres of bewaren van de mailbox dient niet als vervanging voor een deugdelijk dossier- of archiveringssysteem.
• De werkgever is verantwoordelijk om passende TOMs technische te treffen die waarborgen dat persoonsgegevens van de werknemer na diens uitdiensttreding niet onrechtmatig worden verwerkt. Deze verantwoordelijkheid kan niet worden afgewenteld op betrokkene door hem contractueel te verplichten eigen persoonsgegevens uit de mailbox te verwijderen, dan wel de mailbox uitsluitend voor professionele activiteiten te gebruiken.
• Sancties: bevel tot stopzetten van de verwerking, plus berisping, plus een administratieve geldboete gelijk aan 8.500 EUR (!) (eerdere gelijkaardige cases: vaak berisping).

Ligt zwaar op de maag van de GBA: het beleid van de werkgever dat bepaalt dat de mailbox voor maximaal 3 jaar na exit kan worden bewaard met oog op gerechtvaardigd belang.

Dixit Geschillenkamer geeft dit blijk van “minachting” voor bepalingen GDPR.