De mailbox van wie vertrokken is: de verwerking die niemand documenteert

Het is de moeite waard de verleiding te weerstaan dit als een Belgische zaak op te bergen. Van alle verwerkingen die een organisatie uitvoert, is de mailbox van wie vertrokken is waarschijnlijk de meest universele en bijna altijd degene die in het register ontbreekt. Niemand beslist ze: ze gebeurt. Op de dag van vertrek blijft het account open omdat «er misschien iets belangrijks binnenkomt», een maand later denkt niemand er nog aan het te sluiten, en een jaar later bestaat er een houder met de correspondentie van iemand die er niet meer is, gelezen door collega's die zij daartoe nooit heeft gemachtigd.

Het argument dat ter verdediging van de praktijk wordt gehoord is altijd hetzelfde: gerechtvaardigd belang bij de continuïteit van de activiteit. Het argument is niet belachelijk, het is alleen veel korter dan het gebruik dat ervan wordt gemaakt. In de dagen onmiddellijk na het vertrek bestaat er werkelijk een belang om geen order of termijn te verliezen. Dat belang is uitgeput zodra de correspondenten tijd hebben gehad om van adres te veranderen, en die tijd wordt in weken gemeten. Daarna blijft niet de continuïteit over, maar het gemak van niets te hebben gereorganiseerd, en gemak is geen rechtsgrond.

• De mailbox moet uiterlijk op de dag waarop de relatie eindigt worden gedeactiveerd. Niet «zo snel mogelijk»: die dag.
• In de plaats daarvan een automatisch antwoord met een alternatief adres, zonder uit te leggen waar de persoon heen is en zonder haar privécontactgegevens te verstrekken.
• Na een redelijke termijn — in beginsel één maand, met gedocumenteerde redenen verlengbaar tot maximaal drie — worden zowel de mailbox als het automatisch antwoord gewist.
• De inhoud wordt niet gelezen. Is een document werkelijk nodig, dan moet het worden gevonden met een gerichte, gedocumenteerde zoekopdracht, en de betrokkene wordt vooraf geïnformeerd.
• De persoon moet dit alles vóór het vertrek weten en niet achteraf ontdekken: dat is de informatieplicht, geen hoffelijkheid.

Voor de functionaris voor gegevensbescherming zijn er vier dingen om op te schrijven, en geen ervan vraagt een project: de regel in het verwerkingsregister, met doel, rechtsgrond en afzonderlijke termijnen voor deactivering en voor wissing; de alinea in de personeelsinformatie die beschrijft wat met de mailbox gebeurt na het vertrek; de offboardingprocedure die aan één met naam genoemde persoon de taak van sluiten toewijst, met een datum; en het verslag van elke toegang tot de inhoud, als er toegang is geweest. Zonder het vierde punt kan de organisatie niet aantonen dat niemand iets heeft gelezen, en de bewijslast is de hare.

Een detail over het automatisch antwoord, want dat is het onderdeel dat het vaakst slecht wordt geschreven. «Onze collega werkt niet langer bij ons, u kunt hem bereiken op dit nieuwe adres» deelt aan iedere schrijver een gegeven mee over het loopbaanpad van iemand die niet om die openbaarmaking heeft gevraagd. De juiste tekst zegt twee dingen en houdt dan op: dat dit adres niet langer in gebruik is, en naar welk adres te schrijven. Niet de reden, niet de bestemming, niet de goede wensen.

Wat vandaag concreet te doen. Wie in een organisatie de naleving beheert, kan in een half uur nagaan hoeveel mailboxen van vertrokken personen nog actief zijn, sinds wanneer, en of er één naar een collega wordt doorgestuurd. Is het getal niet nul, dan is geen effectbeoordeling nodig: wat nodig is, is een lijst met een datum naast elke regel. De Belgische beslissing heeft geen nieuw beginsel gevestigd — de lijn van de autoriteit is dezelfde ten minste sinds 2020, toen een vennootschap 15.000 euro kreeg voor adressen die bij het vertrek van medewerkers niet waren gesloten. Wat is veranderd, is de prijs.