Een medewerker vertrekt. De laptop wordt ingeleverd, de badge gedeactiveerd en het account geblokkeerd. Maar de mailbox? Die blijft in veel ondernemingen gewoon bestaan. Maanden later lezen managers nog mee in historische mails, beantwoorden collega’s verder berichten in naam van de ex-medewerker en wordt de inbox behandeld alsof die integraal eigendom van het bedrijf zou zijn.

Veel organisaties stellen zich daarbij nauwelijks de vraag of dat juridisch eigenlijk wel mag. De reflex is meestal dezelfde: het gaat toch om een werkmailbox? De Gegevensbeschermingsautoriteit denkt daar duidelijk anders over. En precies daarom groeit mailboxbeheer bij offboarding stilaan uit van een praktisch IT-detail tot een volwaardig GDPR-risico.

“Dit gesprek kan worden opgenomen voor kwaliteits- en opleidingsdoeleinden.” Bijna iedereen hoort die zin regelmatig. Bij banken, energieleveranciers, telecomoperatoren en zowat elke klantendienst van België klinkt ze ondertussen zo vanzelfsprekend dat niemand er nog vragen bij stelt. Tot de Gegevensbeschermingsautoriteit dat plots wél begon te doen.

In een recente beslissing fileert de GBA de juridische fundamenten achter opgenomen telefoongesprekken. En daarbij viseert ze niet alleen privacyregels of GDPR-documentatie, maar vooral een veel fundamentelere vraag die ondernemingen zichzelf vaak niet eens stellen: mag u dat gesprek eigenlijk wel opnemen? Voor veel organisaties zou het antwoord juridisch veel minder evident kunnen zijn dan jarenlang werd aangenomen.