1
Regeling gebruik computer- en netwerkfaciliteiten werknemers en bezoekers TU Delft
Het College van Bestuur van de Technische Universiteit Delft
Overwegende, dat werkgever en werknemer zich ten opzichte van elkaar dienen te gedragen als een goed werkgever en een goed werknemer;
Overwegende, dat het gebruik van de computer-, print- en netwerkvoorzieningen voor
werknemers en bezoekers onontbeerlijk is voor een goede functievervulling, maar dat aan het gebruik van deze voorzieningen risico’s zijn verbonden, die nopen tot het geven van voorschriften en het nemen van maatregelen;
Overwegende, dat het derhalve wenselijk is dat nadere regels worden vastgesteld met betrekking tot het gebruik van voornoemde voorzieningen voor werknemers en bezoekers van de
Technische Universiteit Delft;
Gelet op art. 27 lid 1 sub k en l van de Wet op de ondernemingsraden, art. 2.1 van de CAO Nederlandse Universiteiten (Deel 1: Openbare Universiteiten) en de Wet bescherming persoonsgegevens;
Gehoord de werknemersorganisaties in het Lokaal Overleg (overlegvergadering van 13 oktober 2003, nr. LO408-05a en b);
Met instemming van de Ondernemingsraad (53
eoverlegvergadering van 29 oktober 2003, nr.
03.OR/381, bekrachtigd in vergadering OR-commissie P&O van 19 november 2003);
BESLUIT
Vast te stellen de navolgende regeling:
Artikel 1. Definities
1.1 WHW de Wet op het hoger onderwijs en wetenschappelijk onderzoek (Stb. 1992, 593);
1.2 TU Delft de uit hoofde van art. 1.8 lid 2 van de WHW rechtspersoonlijkheid bezittende instelling Technische Universiteit Delft;
1.3 College van Bestuur het College van Bestuur van de TU Delft als bedoeld in art. 9.2 van de WHW;
1.4 Beheerder een ingevolge art. 34 van het Bestuurs- en Beheersreglement TU Delft door het College van Bestuur aangewezen functionaris;
1.5 ICT-faciliteiten de computer-, print- en netwerkvoorzieningen van de TU Delft en alle daarbij behorende apparatuur, met inbegrip van de verbinding met andere netwerken;
1.6 Werknemer degene die een aanstelling heeft bij de TU Delft;
1.7 Student degene die bij de TU Delft is ingeschreven voor een door de TU Delft aangeboden opleiding en uit dien hoofde gebruik maakt van de onderwijs- of examenvoorzieningen van de TU Delft;
1.8 Bezoeker degene die geen werknemer of student is;
1.9 Gebruiker de werknemer of bezoeker die gebruik maakt van ICT-faciliteiten;
2
1.10 Toegangscode de combinatie van een gebruikers- of loginnaam en bijbehorendauthenticatiemiddel;
1.11 E-mailadres de door de TU Delft aan de gebruiker toegekende unieke code ter aanduiding van zijn e-mailbox;
1.12 E-mailbox de digitale ruimte, die exclusief ter beschikking staat van de gebruiker voor ontvangst, opslag en verzending van elektronische post.
Artikel 2. Reikwijdte
De bepalingen van deze regeling zijn van toepassing op de werknemer of bezoeker die gebruik maakt van de ICT-faciliteiten van de TU Delft.
Artikel 3. Gebruik
3.1 De ICT-faciliteiten worden gebruikt voor doeleinden welke voortvloeien uit hoofde van de functievervulling of onderzoek aan de TU Delft, met dien verstande dat incidenteel en kortstondig gebruik van de ICT-faciliteiten voor privé-doeleinden is toegestaan, mits dit gebruik niet storend is voor de dagelijkse werkzaamheden en bovendien voldaan is aan het bepaalde in deze regeling.
3.2 Het is de gebruiker niet toegestaan in onevenredige mate beslag te leggen op de ICT-faciliteiten of de stabiliteit daarvan te verstoren.
3.3 Het is de gebruiker niet toegestaan licentierechten of intellectuele c.q industriële eigendomsrechten te schenden.
3.4 De beheerder kan namens het College van Bestuur instructies en aanwijzingen geven voor het gebruik van de onder diens beheer vallende ICT-faciliteiten.
3.5 De inrichting van ICT-faciliteiten geschiedt in overleg met en na goedkeuring door of vanwege de beheerder.
3.6 De gebruiker is gehouden de door of vanwege de het College van Bestuur of de beheerder gegeven regels, instructies en aanwijzingen ter zake van het gebruik van ICT-faciliteiten terstond en
nauwgezet op te volgen en na te leven.
3.7 De gebruiker meldt een overtreding van deze regeling of een tekortkoming in de beveiliging bij de beheerder of bij een door of vanwege de beheerder daartoe aangestelde functionaris.
Artikel 4. Internet
Het is de gebruiker niet toegestaan:
- sites te bezoeken die pornografisch, seksueel getint, racistisch, discriminerend, beledigend,
opruiend of ander aanstootgevend materiaal bevatten en dat materiaal te bekijken of te downloaden;
- zich zonder toestemming toegang te verschaffen tot niet openbare bronnen;
- informatie zonder toestemming van de rechthebbende te veranderen of te vernietigen.
Artikel 5. E-mailbox of e-mailadres
5.1 Het gebruik van de ter beschikking gestelde e-mailbox of e-mailadres is strikt persoonlijk en niet overdraagbaar, tenzij dit gebruik berust op de uitdrukkelijke toestemming van de rechthebbende of kring van rechthebbenden.
5.2 Het is de gebruiker niet toegestaan:
- een niet aan hem ter beschikking gesteld e-mailadres als afzender te gebruiken;
- een e-mailbericht op enigerlei wijze te vervalsen;
- een niet aan hem gericht e-mailbericht te lezen, kopiëren of wijzigen;
- e-mailberichten anoniem of onder een valse dan wel fictieve naam te versturen;
- om door middel van e-mail pornografische, seksueel getinte, racistische, discriminerende, beledigende, opruiende of andere aanstootgevende berichten te verzenden of door te sturen;
- kettingmailberichten te verzenden of door te sturen;
- om door middel van e-mail iemand lastig te vallen of schade te berokkenen door deze hinderlijk te belagen.
Artikel 6. Toegangscode
6.1 De gebruiker van een afgeschermde ICT-faciliteit dient in het bezit te zijn van een door of vanwege de beheerder verstrekte persoonlijke en niet overdraagbare toegangscode.
6.2 De gebruiker verplicht zich ten aanzien van zijn toegangscode tot strikte geheimhouding, behoudens de in het volgende lid genoemde toestemming.
6.3 Het is de gebruiker niet toegestaan de toegangscode van een ander te gebruiken, behoudens uitdrukkelijke toestemming van die ander.
3
Artikel 7. Controle7.1 Indien hiervoor een zwaarwegend en gerechtvaardigd belang aanwezig is, kan de beheerder of een door hem aangewezen functionaris een nader onderzoek instellen naar het gebruik van de ICT- faciliteiten door een gebruiker. De aard en omvang van het onderzoek dienen in een redelijke verhouding te staan tot het doel van het onderzoek.
7.2 Het in het vorige artikellid genoemde onderzoek staat ten dienste van een of meer van de volgende doelen:
- voorkomen van negatieve publiciteit;
- tegengaan van de in de artikelen 4 en 5 genoemde activiteiten;
- controle op bedrijfsgeheimen;
- systeem- en netwerkbeveiliging;
- kosten- en capaciteitsbeheersing;
- begeleiding/individuele beoordeling. 7.3 Het in het eerste artikellid genoemde onderzoek wordt in beginsel beperkt tot verkeersgegevens en (steekproefsgewijze) content-filtering. Indien zulks noodzakelijk is voor de behartiging van een gerechtvaardigd belang, kan een nadere controle op de inhoud plaatsvinden.
Artikel 8. Sancties
8.1 Bij handelen van een werknemer in strijd met deze regeling, het bedrijfsbelang of de algemeen geldende normen voor het gebruik van ICT-faciliteiten kunnen disciplinaire en arbeidsrechtelijke maatregelen worden getroffen, met inachtneming van de CAO Nederlandse Universiteiten.
8.2 Bij handelen van een bezoeker in strijd met deze regeling, kan het College van Bestuur een sanctie opleggen als bedoeld in art. 3 van de Regeling gebruik gebouwen, terreinen en voorzieningen studenten en bezoekers TU Delft.
Artikel 9. Inwerkingtreding
Deze regeling treedt in werking met ingang van de eerste dag na vaststelling en bekendmaking ervan.
Artikel 10. Citeerwijze
Deze regeling kan worden aangehaald als “Regeling gebruik computer- en netwerkfaciliteiten werknemers en bezoekers TU Delft.”
De regeling zal met de toelichting worden geplaatst op de website van de TU Delft. Van deze plaatsing zal mededeling worden gedaan in het weekblad van de TU Delft (Delta).
Aldus vastgesteld in de vergadering van 2 december 2003
Ir. G.J. van Luijk Voorzitter
4
TOELICHTINGAlgemeen
Binnen de TU Delft maken werknemers, studerenden en niet-studerenden op grote schaal gebruik van de door de universiteit aangeboden computer- en netwerkfaciliteiten, welk gebruik de komende jaren ongetwijfeld nog verder in intensiteit zal toenemen. Dit gebruik kent naast een aantal evidente voordelen, zoals snelheid van informatieverschaffing en verbetering van productiviteit, ook een keerzijde. Denkbaar is dat van de faciliteiten oneigenlijk gebruik wordt gemaakt doordat deze (eveneens) voor privé-doeleinden worden gebruikt. Verder kunnen externe factoren, zoals virussen en hackers, een nadelige invloed op de faciliteiten uitoefenen. Tenslotte kan door een onevenredig gebruik de stabiliteit van het systeem in gevaar komen. Dat de TU Delft door deze factoren op tal van terreinen grote (financiële) risico’s loopt, behoeft geen betoog.
Om een verantwoord gebruik van de computer- en netwerkfaciliteiten mogelijk te maken is nadere regelgeving nodig. De TU Delft heeft op dit terrein nog geen regelgeving voor haar werknemers en bezoekers. De Regeling computer- en netwerkfaciliteiten werknemers en bezoekers TU Delft (hierna: “de Regeling”) voorziet in bovengenoemde leemte. Doelstelling van de Regeling is om het gebruik van de faciliteiten te binden aan regelgeving in de vorm van een algemeen verbindend voorschrift met de bedoeling een verantwoord gebruik mogelijk te maken.
De Regeling past in het streven van de TU Delft naar risicobeheersing bij het gebruik van computer- en netwerkfaciliteiten en haar voornemen om op korte termijn een aantal adequate maatregelen op het gebied van de informatiebeveiliging te nemen, zoals vastgelegd in het in mei 2003 door de instellingsbrede beleidsadviesgroep Toegang en Beveiliging (ToBe) opgestelde Beleidsadvies Raamwerk
Informatiebeveiliging TU Delft (hierna: “het Raamwerk”). In het Raamwerk wordt het opstellen en invoeren van een instellingsbrede nadere regeling noodzakelijk geacht. Deze aanbeveling vormt eveneens reden om tot het opstellen van deze Regeling over te gaan.
Aangezien de computer- en netwerkfaciliteiten niet alleen worden gebruikt door werknemers en studenten van de TU Delft, maar ook door derden (bezoekers), heeft de Regeling ook betrekking op deze laatste categorie. De TU Delft kent reeds voor studenten een “Beheersreglement TU Delft voor gebruik ICT- faciliteiten voor studenten”, welk reglement onderdeel uitmaakt van het Studentenstatuut. Het opnemen van bepalingen voor studenten in deze Regeling is derhalve niet nodig; vooralsnog volstaat voor studenten het hiervoor genoemde Beheersreglement. Om die reden heeft de Regeling uitsluitend betrekking op
werknemers en bezoekers. Tot de laatste categorie behoren personen die geen student of werknemer zijn van de TU Delft in de zin van deze Regeling.
De huidige stand van de techniek maakt op relatief eenvoudige wijze een uitputtende controle op het gebruik van de computer- en netwerkfaciliteiten mogelijk. Door deze controlemogelijk-heden kunnen evenwel rechten van de gebruiker op bescherming van de persoonlijke levenssfeer worden geschaad. Derhalve dient in een regeling een goede balans te worden gevonden tussen verantwoord gebruik van de faciliteiten enerzijds en de bescherming van de relationele privacy van de gebruikers anderzijds. Met de tekst van de Regeling is op dit punt aangesloten bij de Wet bescherming persoonsgegevens (Wbp).
De Regeling komt er in hoofdlijnen op neer dat zij voorwaarden stelt voor het gebruik van de computer- en netwerkfaciliteiten en dat zij een kader biedt op basis waarvan opgetreden kan worden tegen niet toegestaan gebruik ervan.
Artikelsgewijs Artikel 1
In deze bepaling worden de in de Regeling gebruikte begrippen gedefinieerd.
Voor wat de definitie van beheerder (artikel 1.4) betreft, is aangeknoopt bij het Beheers- en Bestuursreglement van de TU Delft. Voor de faculteiten treedt de decaan op als beheerder.
De Regeling heeft betrekking op het gebruik van de computer-, print- en netwerkfaciliteiten van de TU Delft.
Deze voorzieningen zijn in artikel 1.5 gedefinieerd als ICT-faciliteiten. De afkorting ICT staat voor informatie- en communicatietechnologie. Internet- en e-mailgebruik alsmede het Intranet van de TU Delft zijn ICT-
5
faciliteiten in de zin van de Regeling. Het begrip internet dient overigens ruim te worden bezien, nu internet vele verschijningsvormen kent, waarbij onder meer gedacht kan worden aan e-mail, World Wide Web (WWW), File Transfer Protocol (FTP), Usenet en Chat (IRC). De technologische ontwikkelingen staan uiteraard ook op dit punt niet stil.Een werknemer wordt in artikel 1 van de CAO Nederlandse Universiteiten (deel 1 – Openbare Universiteiten) gedefinieerd als degene die een dienstverband heeft bij een instelling. In het zesde artikellid is deze definitie overgenomen.
In de Regeling wordt in het zevende artikellid uitgelegd wat onder een student moet worden verstaan. Uit de omschrijving volgt dat voor deze hoedanigheid niet noodzakelijk is dat deze ook onderwijs volgt aan de TU Delft. Ook een extraneus kan derhalve een student zijn in de zin van dit artikellid.
De categorie “bezoeker” dient op de voet van het achtste artikellid te worden beschouwd als een
restcategorie. De personen die in deze categorie vallen, dienen derhalve niet een werknemer of een student in de zin van de vorige artikelleden te zijn. Overigens is bij de definitie van bezoeker aangeknoopt bij de gelijkluidende definitie in de Regeling huisregels en ordemaatregelen studenten en bezoekers TU Delft.
Beide categorieën zijn derhalve ingevolge het negende artikellid gebruikers van de ICT-faciliteiten.
In de artikelleden 10 tot en met 12 zijn de in de Regeling gebruikte technische termen gedefinieerd. Met betrekking tot het tiende artikellid geldt nog dat een authenticatiemiddel in de regel een autorisatiecode of password zal zijn. Andere authenticatiemiddelen zijn uiteraard ook denkbaar, zoals bijvoorbeeld een irisscan.
Aangezien de technologische ontwikkelingen uiteraard niet stilstaan, dienen de genoemde technische termen ex nunc te worden geïnterpreteerd.
Om toegang te krijgen tot de ICT-faciliteiten zijn in de regel een login-naam en een persoonlijke code nodig.
Het tiende artikellid brengt deze combinatie tot uitdrukking in de definitie van toegangscode. Een e-mailadres is de code die de gebruiker bezit ter aanduiding van zijn elektronisch postvak en zal in de regel exclusief aan de gebruiker worden toegekend. Een aan een organisatieonderdeel of beheerseenheid toegekend e- mailadres is uiteraard niet-exclusief van karakter. Het begrip e-mailbox behoeft anno 2003 geen toelichting meer. De gekozen definitie laat er evenwel geen twijfel over bestaan dat het gaat om een digitale ruimte; in de regel zal daarvoor een opslagmedium zijn gekozen.
Artikel 2
In dit artikel is uitdrukkelijk vastgelegd dat de Regeling uitsluitend geldt voor werknemers en gasten die gebruik maken van de ICT-faciliteiten van de TU Delft.
Artikel 3
Dit artikel geeft een beschrijving van de in acht te nemen basisregels bij het gebruik van de ICT-faciliteiten van de TU Delft.
Het eerste artikellid maakt duidelijk dat de ICT-faciliteiten, ondanks de onmiskenbare vervlechting tussen werk en privé, om zakelijke redenen (uit hoofde van functievervulling of onderzoek) aan de gebruiker ter beschikking worden gesteld, zij het dat een beperkte vorm van privé-gebruik is toegestaan. Het artikellid geeft aan dat laatste een nadere uitwerking. Als vuistregel bij de beoordeling van de mate van
toelaatbaarheid van privé-gebruik kan een vergelijking worden getrokken met privé-telefoneren in werktijd.
Ook deze vorm van telefoneren wordt immers door de werkgever in beperkte mate toegestaan. Ter zake van de handhaving van dit artikellid dient overigens uitgangspunt te zijn dat in beginsel geen reden bestaat om zaken off line op een verschillende manier te behandelen als zaken online. Het vorenstaande laat onverlet dat privé-gebruik van de ICT-faciliteiten door een werknemer niet als een arbeidsvoorwaarde kan worden gezien, ook niet met een beroep op bescherming van de persoonlijke levenssfeer.
Het opslaan en verzenden van gedownloade software en bestanden kan de stabiliteit van de ICT-faciliteiten in gevaar brengen, zeker indien dit frequent en met grote omvang geschiedt. Het gevolg van een en ander kan zijn dat de gebruiker van de ICT-faciliteiten wordt gedupeerd doordat de snelheid van de geboden voorzieningen afneemt of doordat de voorzieningen uitvallen. Het tweede artikellid beoogt aan deze
6
activiteiten een halt toe te roepen. Opmerking verdient dat een en ander in de regel reeds op grond van het eerste artikellid niet zal zijn toegestaan, nu het hier veelal om een beperkte vorm van privé-gebruik zal gaan.
Dat het zonder toestemming van een ander gebruikmaken van diens intellectuele of industriële eigendom niet is toegestaan, vloeit reeds voort uit de betreffende regelgeving op dit gebied. Het derde artikellid laat er evenwel geen twijfel over bestaan dat dergelijk gedrag door een gebruiker ook onoorbaar is onder de Regeling. Het spreekt voor zich dat ook gelicentieerde rechten door de gebruiker dienen te worden gerespecteerd.
In het vierde artikellid wordt aan de beheerder de bevoegdheid gegeven om namens het College van Bestuur op lokaal niveau instructies en aanwijzingen te geven. Buiten kijf staat dat het hier niet mag gaan om regelgeving, nu de bevoegdheid daartoe berust bij het College van Bestuur. Bij instructies en aanwijzingen op lokaal niveau kan bijvoorbeeld worden gedacht aan het regelen van de toegang tot lokale ICT-faciliteiten.
Het aanbrengen van veranderingen aan de ICT-faciliteiten is ingevolge het vijfde artikellid slechts toegestaan, indien dit geschiedt met en na goedkeuring door of vanwege de beheerder. Bij dit artikel kan bijvoorbeeld gedacht worden aan het zonder goedkeuring door een gebruiker aanbrengen van veranderingen aan een website.
In het zesde artikellid is vastgelegd wat onder de nalevingspicht van werknemers en bezoekers moet worden verstaan.
Aangezien de beheerder in verband met de beheersbaarheid van de ICT-faciliteiten graag op de hoogte wenst te blijven van de sterkten en zwakten van de systemen, rust op de gebruiker de verplichting om een overtreding van de Regeling dan wel een tekortkoming in de beveiliging bij de beheerder te melden. Het zevende artikellid geeft aan deze verplichting een uitwerking. Bij deze verplichting kan bijvoorbeeld worden gedacht aan een poging van buitenaf om zonder toestemming toegang te krijgen tot de ICT-faciliteiten, maar ook aan het door een gebruiker slordig omgaan met toegangscodes en andere beveiligingsmaatregelen. Het verdient aanbeveling om aan dit artikellid handen en voeten te geven door zorg te dragen voor de inrichting van een meldpunt.
Artikel 4
In deze bepaling is aangegeven dat bepaalde vormen van internetgebruik niet zijn toegestaan. Achtergrond van deze verbodsbepaling is dat een dergelijk gebruik als schadelijk voor de organisatie wordt gezien, los van een eventuele strafbaarstelling. Deze worden in het artikel opgesomd. De opsomming is niet limitatief.
Of er sprake is van een ongewenste handeling, zoals omschreven in de opgesomde begrippen, zal van de omstandigheden van het geval afhangen.
Het ongeoorloofd toegang verschaffen en veranderen of vernietigen van informatie veronderstelt een bepaalde wederrechtelijkheid bij de gebruiker. Om die reden bepaalt het artikel dat dergelijk gedrag onder de Regeling niet is toegestaan. Bij niet openbare bronnen kan bijvoorbeeld gedacht worden aan sites op het internet, die door middel van een toegangscode zijn afgeschermd van de buitenwereld.
Artikel 5
Dit artikel geeft omgangsregels bij het gebruik van de verstrekte e-mailbox of het e-mailadres.
Het persoonlijke karakter hiervan en de risico’s voor de TU Delft bij onzorgvuldig gebruik brengen mee dat het gebruik door een ander van een e-mailbox of e-mailadres niet is toegestaan. Denkbaar is evenwel dat een gebruiker in uitzonderingsgevallen aan een ander toestemming geeft om diens e-mailbox of e-mailadres te gebruiken, bijvoorbeeld in het geval dat toestemming aan een secretaresse wordt verleend. Het eerste artikellid is derhalve een daartoe strekkende verbodsbepaling opgenomen.
Bepaalde vormen van gebruik worden ook als schadelijk voor de organisatie gezien en zijn reeds daarom, los van een eventuele strafbaarstelling, niet toegestaan. Een en ander is in het tweede artikellid opgenomen.
Zie ook de toelichting op artikel 4.
Een bijzondere opmerking verdient nog het bepaalde bij het zesde gedachtestreepje. Uit de formulering volgt dat het bij deze vorm van gedrag moet gaan om hinderlijke inbreuken op de persoonlijke levenssfeer van het
7
slachtoffer dat zich daardoor bedreigd voelt. Het verzenden van een enkele ongewenste e-mail zal derhalve in de regel nog niet de conclusie wettigen dat van een vorm van onoorbaar gedrag sprake is.Artikel 6
Dit artikel geeft omgangsregels bij het gebruik van de verstrekte toegangscode. De betreffende toevoeging in het eerste artikellid geeft aan dat het artikel slechts ziet op een afgeschermde ICT-faciliteit. Een publiekelijk beschikbare toegangscode is immers niet exclusief bedoeld.
De in het artikel opgenomen geheimhoudingsplicht en het verbod op uitwisseling van de toegangscode zijn, gelet op de risico’s voor de TU Delft bij onzorgvuldig gebruik, strikt geformuleerd. Ook hier geldt dat mogelijk is dat een gebruiker in uitzonderingsgevallen aan een ander toestemming geeft om diens toegangscode te gebruiken. Het bij het vorige artikel gebruikte voorbeeld van de secretaresse is ook hier van toepassing.
Opmerking verdient dat voor werknemers bovendien de in artikel 2.7 CAO Nederlandse Universiteiten (deel 1 – Openbare Universiteiten) opgenomen geheimhoudings-verplichting geldt.
Artikel 7
Dit artikel regelt de in acht te nemen handelwijze bij het instellen van een nader onderzoek naar het gebruik van ICT-faciliteiten door een gebruiker.
Hoofdregel in de Wbp is dat persoonsgegevens op behoorlijke en zorgvuldige wijze en in overeenstemming met de wet mogen worden verwerkt (artikel 6 Wbp). Indien de in het onderzoek betrokken gegevens gerelateerd kunnen worden aan een identificeerbare gebruiker, betreft het hier reeds een persoonsgegeven in de zin van de Wbp (artikel 1 onder a Wbp).
Het eerste artikellid brengt tot uitdrukking dat een onderzoek door de beheerder niet op lichtvaardige gronden mag worden ingesteld en geeft aan dat hierbij te allen tijde de beginselen van subsidiariteit en proportionaliteit in acht dienen te worden genomen (art. 11 Wbp). Grondslag van een dergelijke controle is doorgaans het gerechtvaardigd belang van de verantwoordelijke (artikel 8 onder f Wbp).
Persoonsgegevens mogen slechts voor bepaalde en gerechtvaardigde doeleinden worden verzameld en mogen niet worden verwerkt voor doeleinden die daarmee onverenigbaar zijn (artikelen 7 en 9 Wbp). Het CvB dient als verantwoordelijke de doelen van de verwerking te bepalen, voordat met de verwerking een aanvang wordt genomen. Met het oog hierop zijn in het tweede artikellid voorbeelden van de meest voorkomende doeleinden voor controle op het gebruik van ICT-faciliteiten opgenomen.
Denkbaar is dat de controle beperkt kan blijven tot niet-individualiseerbare gegevens (artikel 11 Wbp). Het gaar daarbij om zogenaamde verkeersgegevens en content-filtering. Om die reden bepaalt het derde artikellid dat, gelet op de beginselen van subsidiariteit en proportionaliteit en ter bescherming van de persoonlijke levenssfeer van de betrokkene, niet rechtstreeks een toevlucht kan worden genomen tot een nadere controle op de inhoud. In de regel zal met deze laatste controle een onderzoek plaatsvinden naar de aanwezigheid van persoonsgegevens. De bepalingen van de Wbp komen overigens pas in zicht indien sprake is van een persoonsgegeven in de zin der wet.
De verantwoordelijke is verplicht om een verwerking van persoonsgegevens te melden bij het College bescherming persoonsgegevens (Cbp) of de Functionaris voor de Gegevensbescherming (FG), voordat met de verwerking wordt begonnen. Veel voorkomende verwerkingen waarvan de inbreuk op de persoonlijke levenssfeer onwaarschijnlijk is, zijn door het Vrijstellingsbesluit Wbp (Stb. 2001, 250) van de
meldingsverplichting vrijgesteld. In het Vrijstellingsbesluit zijn vrijstellingen opgenomen van de normale systeemcontrole, controle op autorisaties en de (externe) beveiliging van het systeem tegen virussen en dergelijke. Controle op het overige gebruik van de ICT-faciliteiten, waaronder het internetgebruik, valt niet onder de vrijstelling en dient derhalve bij de FG van de TU Delft gemeld te worden. Deze dient de melding op te nemen in het door hem aangehouden openbare register (artikel 30 Wbp).
Tenslotte verdient nog vermelding dat de verantwoordelijke verplicht is om de gebruiker inlichtingen te verschaffen over het doel van de controlemiddelen, de manier waarop de gegevens worden verkregen en het gebruik dat ervan wordt gemaakt (artikelen 33 en 34 Wbp). Voor wat de werknemer betreft, is het enkele overleg met de Ondernemingsraad in dit verband onvoldoende. De gebruiker moet individueel worden voorgelicht. De gebruiker heeft bovendien een recht op inzage in zijn gegevens (artikel 35 Wbp) en een correctierecht (artikel 36 Wbp).
8
De gebruiker is er dus van op de hoogte dat indien daartoe aanleiding is, onderzoek kan worden verricht naar zijn gebruik van de ICT-faciliteiten.
Ter toelichting op het tweede lid, laatste gedachtestreepje, wordt opgemerkt dat het doen van onderzoek met als doel de individuele beoordeling of begeleiding slaat op gespecialiseerd personeel zoals
helpdeskmedewerkers en niet zozeer op alle personeel. Overigens zullen bij de beoordeling van bedoelde medewerkers eerst andere wegen worden bewandeld, zoals reeds bestaande managementinformatie over de verrichte werkzaamheden.
Artikel 8
Dit artikel geeft een beschrijving van het mogelijke sanctiepakket. Voor wat de werknemer betreft, is aangeknoopt bij de CAO Nederlandse Universiteiten (deel 1 – Openbare Universiteiten). Het sanctiepakket voor de bezoeker is uitgewerkt in artikel 3 van de Regeling huisregels en ordemaatregelen studenten en bezoekers TU Delft. Het bepaalde in artikel 8 laat uiteraard de mogelijkheid van het toepassen van strafrechtelijke sancties onverlet.
Artikelen 9 en 10
Deze artikelen geven respectievelijk invulling aan het tijdstip van feitelijke inwerkingtreding en de in acht te nemen citeerwijze.
Ir. G.J. van Luijk Voorzitter
