Door Wouter Dammers | ICTrecht | 20 juli 2023 | 7 min. leestijd
Mobile Device Management, afgekort “MDM”, is in het hedendaagse digitale landschap een belangrijke tool voor bedrijven geworden. Zeker in een tijd waarin hybride werken veelal de standaard is geworden. MDM-applicaties stellen organisaties in staat om de beveiliging en het beheer van (de data op) mobiele apparaten te waarborgen.[1] Via MDM kunnen organisaties onder meer op afstand de toegang tot een apparaat beperken of blokkeren, de locatie van het apparaat volgen, data wissen (‘remote wipe’), apps installeren, updaten of verwijderen, app-gebruik en website-bezoeken managen en controleren of systeeminstellingen wijzigen of blokkeren. Uiteraard hangen de capaciteiten en werking af van het type MDM-applicatie, het gebruik ervan en het beleid van de betreffende organisatie.
Hoewel MDM-applicaties veel voordelen bieden, brengen ze ook specifieke juridische uitdagingen en potentiële risico’s met zich mee, zowel als het gaat om bedrijfsapparaten als ten aanzien van Bring-Your-Own-Device (“BYOD”)-scenario’s. BYOD omvat het gebruik van persoonlijke apparaten voor werkdoeleinden. In deze blog bespreken we de juridische implicaties omtrent MDM-applicaties op zowel bedrijfs- als privé-apparaten, met speciale aandacht voor de bescherming van persoonsgegevens van werknemers.
Wet- en regelgeving rond MDM
Er is diverse wet- en regelgeving van toepassing op het gebruik van MDM-applicaties. Dit is hoofdzakelijk in de domeinen van privacy, data-beveiliging en werknemersrechten.[2]
Zo moeten bedrijven er in het kader van de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie, in hun hoedanigheid van verwerkingsverantwoordelijke, voor zorgen dat persoonsgegevens van werknemers die via MDM-applicaties (kunnen) worden verwerkt, adequaat worden beschermd. Dit vereist zowel technische als organisatorische maatregelen om datalekken te voorkomen en om ervoor te zorgen dat alleen de noodzakelijke hoeveelheid data wordt verzameld en op juiste en legitieme wijze verwerkt. De AVG legt de verwerkingsverantwoordelijke daarbij een nadrukkelijke verantwoordingsplicht op: de verwerkingsverantwoordelijke moet aantonen dat de verwerking van persoonsgegevens in overeenstemming is met de AVG.[3]
Onder de AVG hebben individuen onder meer het recht om hun gegevens in te zien, te corrigeren en in bepaalde gevallen te laten wissen.[4] Bedrijven moeten rekening houden met deze rechten en passende mechanismen instellen.
Bedrijfsapparaten
Bij bedrijfsapparaten, die door het bedrijf worden verstrekt en beheerd via MDM, blijft het bedrijf in kwestie in de meeste gevallen eigenaar van het apparaat. Het bedrijf heeft het recht om beleid te implementeren rond het gebruik van deze apparaten en om toegang te hebben tot de data daarop, maar moet daarbij – vanzelfsprekend – nog steeds voldoen aan de relevante wetgeving inzake data-beveiliging en privacy, waaronder de AVG.
Werkgevers moeten hun werknemers onder andere informeren over welke gegevens via de applicatie worden verzameld, hoe deze worden opgeslagen, gebruikt en gedeeld, en met welk doel. Dit zorgt voor transparantie en geeft medewerkers de mogelijkheid om geïnformeerde beslissingen te nemen over het gebruik van hun bedrijfsapparaten.
De verzamelde informatie moet relevant zijn voor het beoogde doel. Het moet daarbij gaan om een legitiem doel. Bijvoorbeeld ter voorkoming van diefstal of het beveiligen van het netwerk. Werkgevers moeten de nodige stappen ondernemen om te waarborgen dat MDM-applicaties niet gebruikt worden om werknemers onnodig te bespioneren of op andere wijze hun privacy te schenden (dan zou ‘Malevolent Device Monitoring’ wellicht passender zijn).
Het is ook belangrijk dat bedrijven nadenken over hoe ze omgaan met de scheiding tussen werk- en privégebruik. Vooral als werknemers hun apparaten ook voor persoonlijk gebruik mogen gebruiken.
Bring Your Own Device
Hoewel BYOD een kosteneffectieve en praktische oplossing kan zijn, wordt het juridisch een stuk lastiger. Zoals gezegd geven MDM-applicaties werkgevers de vereiste controle om bedrijfs- en/of persoonsgegevens te beschermen. Dit kan bij BYOD echter ook betekenen dat werkgevers toegang krijgen tot een breed scala aan persoonlijke informatie op het privé-apparaat van de werknemer (zeker als de applicatie vergaande rechten heeft). Denk aan persoonlijke e-mails, berichten, foto’s, video’s en (privacygevoelige) gegevens van andere persoonlijke apps; waaronder je Tinder-gesprekken, impromptu driedubbele-onderkin-foto’s of een mailwisseling met je huisarts over je galstenen. Dat dit niet heel erg privacy- en AVG-friendly is, is natuurlijk een understatement.
Het is daarom essentieel dat werkgevers een helder BYOD-beleid voeren. Zo’n beleid moet de rechten en verantwoordelijkheden van werknemers duidelijk beschrijven. Daarnaast moet het transparantie garanderen over welke gegevens worden verzameld en hoe en welke beveiligingsmaatregelen worden genomen om persoonlijke informatie te beschermen. Ook moeten werknemers geïnformeerde en expliciete toestemming hebben gegeven voor de installatie en het gebruik van de applicatie.
De toestemming die voorafgaand aan installatie wordt verleend en het beleid van organisaties ten aanzien van het gebruik van zo’n applicatie, zijn echter lang niet altijd voldoende om te bepalen hoe intrusief een MDM-applicatie werkelijk is.[3] Ofwel, de praktijk kan afwijken van de theorie. MDM-applicaties werken namelijk grotendeels op de achtergrond. De ‘onzichtbare’ aard van de werking van MDM brengt met zich mee dat veranderingen kunnen worden doorgevoerd zonder directe kennis of toestemming van de gebruiker. Bovendien heeft de gebruiker in de praktijk vaak evenmin duidelijk inzicht in hoe en welke persoonsgegevens precies worden verwerkt, op welke momenten dit gebeurt en wie daar bij betrokken is.
Of je uiteindelijk als werkgever nou goede of (niet per se) kwade intenties hebt: het gebruik van MDM-applicaties zal zonder de juiste voorzorgs- en beheersmaatregelen al gauw leiden tot onrechtmatige situaties.
Manieren om privacy-problemen te beperken
Hierbij een aantal (aanvullende) manieren om privacy-problemen i.v.m. MDM zoveel mogelijk te beperken:
- aparte apparaten: de eenvoudigste en meest effectieve oplossing is het gebruik van aparte apparaten voor werk en persoonlijke doeleinden;
- containerisatie: dit is een techniek waarbij werk en privé op hetzelfde apparaat gescheiden worden in verschillende ‘containers’; elke container functioneert als een afzonderlijke entiteit met eigen data, applicaties en autorisaties;
- minimale toegangsrechten: dat wil zeggen, de minimale toegangsrechten die nodig zijn voor de MDM om te functioneren;
- regelmatige audits: het is belangrijk dat organisaties regelmatig hun MDM-praktijken controleren om ervoor te zorgen dat ze voldoen aan de geldende wet- en regelgeving en de privacy van werknemers respecteren.
Afsluiting
MDM is een krachtig hulpmiddel om de beveiliging van bedrijfsgegevens te waarborgen, maar implementatie en gebruik ervan moet op verantwoorde en juridisch correcte wijze. Zodat zowel de belangen van de organisatie als de rechten en belangen van de werknemers worden beschermd.
Ben je werkgever? Bij LAWFOX begrijpen we dat de implementatie en het beheer van MDM-applicaties een belangrijke rol spelen als het gaat om beveiliging en gegevensbescherming van jouw organisatie. Onze gespecialiseerde advocaten hebben diepgaande kennis van MDM-gerelateerde wet- en regelgeving en staan klaar je te adviseren. Ook kunnen wij helpen met het opstellen of beoordelen van gebruiksvoorwaarden, privacybeleid of overeenkomsten met MDM-serviceproviders.
Ben je werknemer? Onze toegewijde advocaten helpen je graag jouw (privacy-)belangen te beschermen. Of het nu gaat om het adviseren over je privacyrechten en ict rechten, of het vertegenwoordigen van je belangen in juridische procedures. We zijn er om je te ondersteunen.
Neem vrijblijvend contact met ons op.
Voetnoten:
[1] Voorbeelden van een aantal bekende, veel gebruikte MDM-applicaties zijn VMware AirWatch, Microsoft Intune, IBM MaaS360, Jamf en Google Mobile Management.
[2] In het kader van MDM-applicaties en bescherming van persoons-/persoonlijke gegevens zijn dat onder meer:
- de Algemene Verordening Gegevensbescherming, (EU) 2016/679;
- de Uitvoeringswet Algemene Verordening gegevensbescherming (UAVG), Stb. 2018, 144. Dit is de Nederlandse implementatie van de AVG en geeft specifieke regels voor de toepassing van de AVG in Nederland. De Autoriteit Persoonsgegevens is de Nederlandse toezichthoudende autoriteit voor gegevensbescherming;
- grondrechten/de Grondwet; art. 10 van de Grondwet beschermt het recht op privacy;
- bepalingen uit het Burgerlijk Wetboek (je kan denken aan art. 7:611 BW: ‘goed werkgever- en werknemerschap’, wanprestatie of mogelijk onrechtmatige daad);
- bepalingen uit het Wetboek van Strafrecht (denk bijvoorbeeld aan computervredebreuk of schending van privacy; dit laatste is in bepaalde gevallen strafbaar).
[3] Zie artikel 5 lid 2 van de AVG.
[4] Zie de artikelen 15, 16 respectievelijk 17 van de AVG.
[3] D. Hayes, F. Cappa en N.A. Le-Khac, ‘An effective approach to mobile device management: Security and privacy issues associated with mobile application’, Digital Business, Volume 1, Issue 1, september 2020, p. 1-8. Beschikbaar via https://www.sciencedirect.com/science/article/pii/S2666954420300016.
