Grote bedrijven VS gebruiken tool om berichten medewerkers op Slack te monitoren

Grote bedrijven in de Verenigde Staten zoals Walmart, Starbucks en Delta gebruiken een tool om berichten van medewerkers op onder meer Slack en Zoom te monitoren. In sommige gevallen zijn bepaalde berichten te linken aan individuele medewerkers.

De tool is van het bedrijf Aware en verwerkte al 20 miljard interacties tussen drie miljoen mensen, zegt CNBC. Aware heeft een tool voor het tracken van sentimenten onder medewerkers, zoals reacties op aankondigingen. De tool kan tevens pesten en het uitwisselen van naaktbeelden herkennen. Daarnaast is er een tool die eDiscovery heet en die kan medewerkers opsporen als zij op de een of andere manier een bedreiging vormen.

Sommige bedrijven houden al jaren handmatig onder meer verstuurde e-mails tussen medewerkers bij, maar het gebruik van de datasets om communicatie tussen collega's via chatplatforms te analyseren met algoritmes lijkt relatief nieuw. CNBC noemt alleen grote klanten in de VS. Het is onbekend of Aware ook grote klanten heeft in de Benelux. Of een tool als Aware mag in de EU is ook onduidelijk; het staat mogelijk op gespannen voet met de AVG-wetgeving, die voorschrijft dat het analyseren van persoonlijke data niet zomaar mag.

Aware-analyse van zakelijke communicatie

Reacties (144)

[BrandenRage]

Daar komt de discussie over zwaarwegend belang weer, want dat is wat bedrijven in dit geval als argument zullen gebruiken.

Hieronder vind je wat meer informatie en suggesties ter toevoeging op het artikel.

Artikel 8. Recht op eerbiediging van privé-, familie- en gezinsleven
1 Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.

2 Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.

Linkje naar de volgende pagina van de AVG zou misschien niet verkeerd zijn: https://www.autoriteitper...g/controle-van-werknemers

en deze: https://www.autoriteitper...-voor-controle-werknemers

[IStealYourGun]

Maar Europese wetgeving is toch niet van toepassing in de VS.

[Anoniem: 1751522]

Nee, maar het artikel brengt wel de vraag naar voor of dit mag in de EU waar de Pruis op doelt en een discussie op wilt openen.

[Reactie gewijzigd door Anoniem: 1751522 op 22 juli 2024 17:04]

[edeboeck]

Is artikel 8 dan van toepassing?
Alinea 1 spreekt niet over werk (voor de duidelijkheid: ik ga er van uit dat de tool enkel werkaccounts controleert) en lijkt dus niet van toepassing.
Alinea 2 is van toepassing op openbaar gezag en dus niet op werkgever, lijkt mij.

Ik sta huiverig tegenover dit soort tools en van erg gesteld op mijn privacy, maar dit artikel lijkt me niet van toepassing (van zodra je spreekt over toepassing in Europa/Nederland).

[The Zep Man]

Alinea 1 spreekt niet over werk (voor de duidelijkheid: ik ga er van uit dat de tool enkel werkaccounts controleert) en lijkt dus niet van toepassing.

1 Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.

Correspondentie hoeft niet per se privé te zijn om onder dit artikel te vallen. Andersom mogen zakelijke middelen in redelijkheid en billijkheid gebruikt worden voor privédoeleinden (in NL, en mogelijk de EU). Als bedrijf moet je dus zakelijke correspondentie behandelen als potentieel privé.

Dat houdt niet in dat een bedrijf niets met die correspondentie mag doen. Zoals verwoord door @swhnld mag een bedrijf op een aantal zaken monitoren. Om dat te doen moeten systemen, processen en de organisatie hieromheen strak vormgegeven worden om scope creep en information creep te voorkomen.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 17:04]

[Yankovic]

Maar is Slack niet overduidelijk een applicatie die in principe specifiek voor zakelijke doeleinden wordt ingezet? Ik weet dat ik op Slack alleen contact heb met mijn collega's, 99% van de communicatie gaat over projecten, interne zaken etc. etc.
Ik vraag me dus af of je in dit geval binnen redelijkheid kan zeggen dat Slack voor privedoeleinden gebruikt kan worden. Of andersom, de werkgever redelijkerwijs mag verwachten dat Slack enkel voor zakelijke doeleinden wordt gebruikt. In tegenstelling tot documenten op je laptop, emails, whatsappjes op je zakelijke telefoon etc. etc.

Nu zeg ik hiermee niet dat dit in Nederland ook zou mogen (ik weet er te weinig vanaf) want de werkgever mag immers ook niet 24/7 meekijken via beveiligingscamera's. Maar anderzijds mag je wel weer signalen instellen (bv de camera detecteert beweging in een ruimte waar dat niet wordt verwacht) waarop wel geacteerd kan worden.

[The Zep Man]

Maar is Slack niet overduidelijk een applicatie die in principe specifiek voor zakelijke doeleinden wordt ingezet?

Je kan als organisatie nooit uitsluiten dat het als third-party service ook privé gebruikt wordt. Dus nee. Verder is correspondentie correspondentie, privé of anders.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 17:04]

[Yankovic]

Maar wat zou jij prive willen doen op de Slack van je werkgever? Het is een workspace waarvan de werkgever volledige controle heeft wie er toegang tot heeft. Je kan helemaal niet met jouw privecontacten communiceren binnen die workspace.

De tool waar het hier over gaat kan enkel scannen over de berichten van de workspace van de werkgever. Als jij Slack als third-party service ook gebruikt voor privedoeleinden in andere workspaces dan die van de werkgever dan kan deze tool daar helemaal niet bij en kijkt dus ook niet mee.

En ja, sommige zakelijke contacten kunnen toevallig ook privecontacten zijn. Ook denk ik niet dat je in Nederland als werkgever zomaar alle communicatie mag 'afluisteren', zeker als het om DMs e.d. gaat. Maar toch ben ik benieuwd naar een wettelijke onderbouwing om hier meer over te weten, want ik denk dus wel dat je als werkgever hard kan maken dat de specifieke 'workspace' binnen de 'third-party service' niet als prive bestempeld kan worden.

[Reactie gewijzigd door Yankovic op 22 juli 2024 17:04]

[CAPSLOCK2000]

Maar wat zou jij prive willen doen op de Slack van je werkgever? Het is een workspace waarvan de werkgever volledige controle heeft wie er toegang tot heeft. Je kan helemaal niet met jouw privecontacten communiceren binnen die workspace.

Contact met de bedrijfsarts is een typisch voorbeeld waar je privacy wil in zakelijke context. Ook bij gesprekken over conflicten, promoties, ontslag, salaris, ruzies, misbruik, crimineel gedrag, etc wil je een zekere mate van privacy hebben tussen personeel.

[Aldy]

Ook bij gesprekken over conflicten, promoties, ontslag, salaris, ruzies, misbruik, crimineel gedrag, etc wil je een zekere mate van privacy hebben tussen personeel.

Als ik het artikel goed begrijp zijn dit dus precies de algoritmes die het personeel in de gaten houdt: sentimenten onder medewerkers, reacties op aankondigingen.
Als ik dit lees lopen de rillingen me over de rug.

[keejoz]

https://www.awarehq.com/privacy-and-security

En die zekere mate van privacy is er ook, en zoals wordt gezegd in het T.net artikel zijn slechts "sommige berichten herleidbaar"

[Rrob]

je kunt ook prive-communicatie hebben met collega's. DM's zitten ook binnen de workspace toch?

[The Zep Man]

Maar wat zou jij prive willen doen op de Slack van je werkgever?

Het gaat er niet om wat ik wil.

[roelst1]

Wat dacht je van privé afspraken maken met collegas, of klachten over andere werknemers bespreken? Ik spreek bijvoorbeeld via Slack geregeld met collegas af om te gaan sporten of een biertje te drinken. Dat zijn in principe gewoon privé zaken. Maar ook als ik de IT Director een idioot noem in een gesloten groep of privébericht, dan ga ik er vanuit dat diezelfde IT Director niet mee kan lezen.

[Reactie gewijzigd door roelst1 op 22 juli 2024 17:04]

[The Zep Man]

Wat dacht je van privé afspraken maken met collegas, of klachten over andere werknemers bespreken?

Preaching to the choir.

[b12e]

Je kan ook prima met je collega's afspreken om dit weekend eens het varken gaan uit te hangen in een of andere club. Dat is privécommunicatie.

Verder maakt Slack Connect het ook mogelijk met andere bedrijven te communiceren, en dus medewerkers van die bedrijven. Ik gebruik bijvoorbeeld onze zakelijke slack ook om privé contact te onderhouden met medewerkers van, toevallig een klant, maar voornamelijk een ex-werkgever.

[Anoniem: 623295]

Je kan ook prima met je collega's afspreken om dit weekend eens het varken gaan uit te hangen in een of andere club. Dat is privécommunicatie.

Spreek dat dan af op een privé-kanaal.

[b12e]

Doen we in DMs of inderdaad een privé kanaal voor het team. Maar het artikel rept niet over het feit of het over privécommunicatie gaat of enkel "open" kanalen.

De tool kan tevens pesten en het uitwisselen van naaktbeelden herkennen.

Ik kan me niet voorstellen dat iemand in een open kanaal naaktbeelden gaat verspreiden, of collega's gaat pesten.

[Reactie gewijzigd door b12e op 22 juli 2024 17:04]

[Anoniem: 623295]

Ik bedoel geen kanaal op Slack. Zulk een spullen maak je maak een WhatsApp groep of wat dan ook voor aan.

[b12e]

Waarom zou ik Whatsapp in gebruik gaan nemen als we een perfect werkend en toegelaten alternatief hebben, namelijk Slack?

Dat is toch de omgekeerde wereld?

[AmateurVinoloog]

Daarnaast; het lijkt me toch ook dat je wilt voorkomen dat werkcommunicatie via Whatsapp verloopt. Je kunt beter een beveiligd kanaal bieden via Slack/Teams, dan medewerkers die bedrijfsgeheimen mogelijk via WhatsApp bespreken, omdat ze mogelijk afgeluisterd worden.

[redfox314]

Bij die redenering heb je een probleem hoe je afdwingt dat Slack niet voor privedoeleinden gebruikt worden zonder alle berichten te monitoren.

[WizX]

Ik gok zo maar dat hier hetzelfde van toepassing is als op je mailbox; je werkgever mag deze niet zo maar inzien.

Op grond van het Europees Verdrag voor de Rechten van de Mens heeft iedere persoon recht op privacy. Het Europees Hof voor de Rechten van de Mens heeft in 2007 beslist dat het e-mailverkeer op het werk ook valt onder deze wettelijke bescherming.

Samengevat mag een werkgever de mailbox inzien als aan de volgende voorwaarden is voldaan:

- de werkgever dient de medewerker vooraf in kennis te stellen dat zijn correspondentie kan worden gecontroleerd;
- de werkgever moet onderzoeken hoe ver de controle gaat en of de controle een inbreuk oplevert met het recht op privacy van de medewerker;
- de werkgever dient gegronde redenen te hebben waarom hij de mailbox van de medewerker wil controleren of inzien;
- de werkgever dient te onderzoeken of er minder ingrijpende methoden en maatregelen aanwezig zijn waarmee de werkgever zijn doel ook kan bereiken;
- de werkgever dient de gevolgen voor de medewerker af te wegen. Hierbij dient de werkgever erop bedacht te zijn dat de resultaten van het inzien van de mailbox alleen gebruikt mogen worden voor het doel waarvoor de mailbox werd ingezien. de werkgever dient waarborgen getroffen te hebben die het recht op privacy beschermen.

[bron: https://www.advocatie.nl/...r-inzien-kan-dat-mag-dat/]

[GoBieN-Be]

Je kan ook met je collega op Slack een gesprek voeren over privé zaken, dat recht heb je, en de werkgever moet die privacy respecteren.

[Blokker_1999]

Over het algemeen wordt aangenomen dat bijv. het briefgeheim ook van toepassing is op email, je werkgever mag niet zomaar meelezen met je e-mail, ook al ontvang je die mail op je werk adres. Het lijkt mij dat chatberichten een gelijkaardige bescherming horen te genieten. Een ander voorbeeld is gespoken conversaties. Die mag een werkgever ook niet zomaar afluisteren.

Je hebt recht op privacy, ook tijdens je werkuren.

[cariolive23]

het briefgeheim ook van toepassing is op email, je werkgever mag niet zomaar meelezen met je e-mail, ook al ontvang je die mail op je werk adres.

Ter info: Ik heb geen enkele juridische achtergrond, hooguit wat boerenverstand.

Wij analyseren álle inkomende en uitgaande email. Dat is ook niet iets wat wij hebben verzonnen, dit wordt al tientallen jaren gedaan bij het overgrote deel van de email wereldwijd, ook jouw email. Reden: Spam, bedrijfsspionage, phishing.

Mijn kort-door-de-bocht conclusie: Briefgeheim is niet van toepassing op email. In elk geval niet wanneer het een automatische analyse betreft, wat bij alerts leidt tot handmatige analyse.

Sla ik hier ergens een plank raak?

[Anoniem: 1751522]

Geen idee, is voer voor de discussie. Ik ben hier enkel om hem te lezen.

[Fermion]

Als je als werknemer in Europa werkt, dan weer wel. USA moet voor deze type medewerkers gewoon aan de GDPR regelgeving houden.

[kodak]

Amerikaanse bedrijven zijn niet alleen actief in de VS maar bijvoorbeeld ook in de EU. Personeel die in de EU werkzaam is kan niet zomaar onderworpen worden aan mogelijkheden die in de VS toegestaan zouden zijn. Ongeacht of ze er zelf geen probleem van maken. Wetten en regels over verboden en plichten gaan niet alleen op als mensen recht willen.

[Reactie gewijzigd door kodak op 22 juli 2024 17:04]

[Cergorach]

Ja, maar dan hebben we weer conflicten wanneer mensen zakelijke resources gebruiken voor persoonlijk gebruik, in Nederland is dat al jaren toegestaan. We maken ook al decennia lang backups van alle email, of dat nu persoonlijk is of niet. Een admin met voldoende rechten zou daarbij kunnen, maar mag dat niet zomaar, ook niet zomaar op verzoek van een leidinggevende. Als iemand in iemand anders mailbox/backup wil, zonder toestemming van diens 'eigenaar', dan doe ik uit voorzorg altijd eerst toestemming vragen via juridische zaken. Ik ben immers ITer en geen jurist.

Daarnaast hebben we zaken als AV/EDR/XDR, etc. welke activiteiten van gebruikers analyseren, bijhouden en eventueel aan admin/security met voldoende rechten, raadpleegbaar zijn.

Dit zijn allemaal geen nieuwe zaken en dat zijn daadwerkelijk zwaarwegende belangen. Zeker bij grote multinationals zou zonder dergelijke beveiliging er situaties kunnen optreden die enorme kosten posten kunnen opleveren, in de miljarden. Gaan we die private dick pic dan afwegen tegen die schade?

Daarnaast hebben we het over bedrijven in de VS, geen AVG en wellicht ook geen 'recht' om bedrijfs resources te gebruiken voor prive doeleinden...

Ik ben met je eens 'zwaarwegend belang' te pas en te onpas wordt gebruikt, maar ik ben benieuwd hoeveel privacy-warriors zitten te janken als opeens alle beveiliging wordt uitgeschakeld omdat iemand besloot omdat het privacy teveel in de weg zat. Al je bankrekeningen leeg, enorme leningen afgesloten in jou naam, al je foto's versleuteld, al je smarthome apparaten die een meltdown hebben en nu stuk zijn, etc.

Imho is reacties meten op berichten of naakt fotos opsporen niet een 'zwaarwegend belang', maar het opsporen van 'pesten' van medewerkers bv. wel.

[BrandenRage]

Ik snap je punt en gelukkig is daar de AVG voor die helaas nog wel een beetje achterloopt.

[kodak]

ben benieuwd hoeveel privacy-warriors zitten te janken als opeens alle beveiliging wordt uitgeschakeld omdat iemand besloot omdat het privacy teveel in de weg zat. Al je bankrekeningen leeg, enorme leningen afgesloten in jou naam, al je foto's versleuteld, al je smarthome apparaten die een meltdown hebben en nu stuk zijn, etc.

Doen alsof het een reelere optie is geen beveiliging te hebben omdat privacy-voorstanders dit soort monitoring te ver vinden gaan toont geen realiteitsbesef. Zelfs voor privacy eist de wet bescherming, dus dat volledig afbreken is onrealistisch.

En om risico te beperken zijn er gewoonlijk minder vergaande mogelijkheden die niet zomaar minder effect hebben. Dus ook vanuit dat punt is je stelling overtrokken.

Daarbij gaat deze monitoring juist niet om persoonlijke bescherming, dus eerder tegen ongewenste leningen van een bedrijf, versleutelde bedrijfsgegevens en onbruikbare bedrijfsapparatuur. Waar gebruikers niet zomaar een groot belang in hebben omdat het gebruikelijk bedrijfsrisico's zijn.

Je benieuwdheid over 'janken' lijkt dus vooral een onbehoorlijke negatieve reactie te zijn om af te geven, niet om bij te dragen.

[CAPSLOCK2000]

Ik ben met je eens 'zwaarwegend belang' te pas en te onpas wordt gebruikt, maar ik ben benieuwd hoeveel privacy-warriors zitten te janken als opeens alle beveiliging wordt uitgeschakeld omdat iemand besloot omdat het privacy teveel in de weg zat. Al je bankrekeningen leeg, enorme leningen afgesloten in jou naam, al je foto's versleuteld, al je smarthome apparaten die een meltdown hebben en nu stuk zijn, etc.

Wat een vreemde suggestie. Wie zou alle beveiliging uit kunnen schakelen? Waarom zouden banken daar aan mee werken? Als het toch gebeurt zullen ze onmiddelijk stoppen met lening uitgegeven. Ze zullen pas weer geld uitlenen als je kan aantonen wie je bent en ze die informatie zo kunnen opslaan dat ze je de volgende keer kunnen controleren. Daar heb je privacy en security voor nodig.

Privacy en security zijn geen tegengestelden. Het zijn aspecten van hetzelfde concept. Je kan geen privacy hebben zonder veiligheid én andersom. Je kan privacy niet verruilen voor security. Alles wat daar op lijkt is typisch een geval van het verplaatsen van privacy en security. Wat je op het ene punt verkrijgt lever je op een ander punt weer in. Op zich is daar niks mis mee, je moet slim gebruik maken van de ruimte die je hebt en in de context van andere middelen je gebruikt.

Maar maak niet de fout te denken dat het tegengestelden zijn. Denken over hoeveel privacy je moet opgeven voor hoeveel security is niet de juiste aanpak, je verplaatst het probleem in plaats van het kleiner te maken. Goede oplossingen zijn win-win en verbeteren zowel privacy als security.

Natuurlijk is de werkelijkheid niet perfect en zijn er altijd compromissen nodig, maar de denkwijze moet niet zijn dat privacy en security elkaars tegengestelde zijn. Als je het wel zo ziet kom je in een negatieve spiraal terecht. Alles wat je op het ene putn weg neemt om het andere punt te versterken maakt het geheel zwakker waardoor je op termijn verder afzakt.

[Het.Draakje]

Ik kan me niet voorstellen dat bijvoorbeeld de Hema een beroep kan doen op economisch welzijn van het land. Het lijkt me dat dit artikel bedoeld is voor overheden en bijvoorbeeld de politie. Die hebben te maken met openbare en nationale veiligheid, het beschermen van de gezondheid en dergelijke.

[YellowCube]

aan de andere kant: als uitlekt dat de rookworsten al jaren tegen een veel te hoge prijs verkocht worden.

[defixje]

De HEMA mag toch gewoon zijn eigen prijs bedenken, en blijkbaar vind de consument dat ook een goede prijs, want ze worden nogsteeds verkocht.

Dus ook al is hun inkoop bij wijze van speken 10 cent per worst dan is dat leuk voor hun, maar er zal geen consequenties aan vastzitten.

[cariolive23]

Het hebben van een mening over een rookworst, is niet verboden. Dus who cares wanneer er mensen zijn die de prijs te hoog of juist te laag vinden? Worden ze (voldoende) verkocht, Ja of Nee, dat is het enige dat telt.

Dat mensen een mening hebben, dat geloven we wel.

[svenk91]

Laat mij even advocaat van de duivel spelen:

• Telt het briefgeheim/privacy wel als je communicatieplatformen van het bedrijf zelf gebruikt zoals waar dit artikel over gaat?
• Is iets laten analyseren door AI, zonder dat personen toegang tot deze data hebben, wel een inbreuk op het briefgeheim of privacy?

Bij de overheid bijv. dient een hoop communicatie juist gelogd te worden om aan de WOO (wet openbare overheid, voorheen WOB) te voldoen. Dit is uiteraard niet zo als jij op je privé mobiel een WhatsApp bericht naar huis stuurt, maar wel voor sommige mails (of de zakelijke SMS'jes van een minister-president). Waarom zouden een zakelijke slack of MS Teams chat opeens niet ingezien mogen worden?

Is een AI een analyse laten maken van je zakelijke chats heel anders dan bijv. een mail client die mails sorteert of het in je focus inbox, je overige inbox, of je spambox komt? Als geen persoon je communicatie kan lezen, waarom zou dan de privacy geschonden zijn? Je suggereert dat AI anders in dan andere software, zoals je chatclient, mailclient of routering software, die in feite je berichten ook uitlezen en op basis daarvan taken uitvoeren.

Mijn persoonlijke mening is dat dit wel een hele slippery slope is. Het zou een goede zaak als we dit (op Europees niveau) in heldere regels vastleggen. Ik heb zo mijn twijfels of huidige privacy wetgeving wel toereikend is in het geval van steeds betere AI analyses.

[locke960]

Je hebt als werknemer wel degelijk rechten. Je werkgever mag niet zomaar al je mails meelezen en/of meeluisteren met je telefoongesprekken. Het wordt als normaal en acceptabel gezien dat je deze middelen ook (beperkt) voor privé doeleinden inzet. En dat geeft dus recht op privacy.

Ik heb er heel lang geleden zelf mee te maken gehad, de directie vertrouwde een werknemer niet en wilde toegang tot de mail hebben. Dat is uiteindelijk via de ondernemingsraad goedgekeurd. In de VS zou dit geen probleem zijn geweest.

[svenk91]

Maar er staat niet dat de directie gelijk mee kan leveren. Mogelijk krijgen ze wel een sentiment analyse van een afdeling of werknemer te zien en kan dat een reden zijn om verder onderzoek in te stellen. Maar als ik het artikel lees krijgen mensen hier meer meta-data door, geen direct zicht op wat medewerkers via bijv. Slack communiceren (als dat er is, dan wordt het in het artikel niet vernoemd).

[Tintel]

Je suggereert dat AI anders in dan andere software, zoals je chatclient, mailclient of routering software, die in feite je berichten ook uitlezen en op basis daarvan taken uitvoeren.

Dat is geen vreemde suggestie. Andere systemen lezen mail niet inhoudelijk (of zouden dat niet moeten doen). Lezen in deze context is niet 'byte voor byte'.

Dus als een AI mail leest dan is dit hetzelfde als een mens dit doet, temeer de resultaten hiervan ook aan mensen wordt doorgespeeld. Maar zelfs al zou, zonder tussenkomst van mensen, gereageerd worden, dan nog is het schending van privacy.

Telt briefgeheim ook bij gebruik van papier, pen en enevelope van het bedrijf? Ja toch. Dus ook als je e-mail client en server gebruikt van het bedrijf.

Als je dit als overheidsambtenaar doet dan tellen dan wordt dus gelogged maar dat is op dat moment nog steeds geen lezen.

[Aeternum]

Dat is een non argument want zwaar wegend belang kan je hooguit op een zeer kleine groep gebruiken of een individu. Al het andere is botweg een sleepnet en is van hetzelfde kaliber als de hele dag een werknemer met video camera's in de gaten houden (wat ook niet zomaar toegestaan is camera's beveiliging en kassa's is alweer lastiger).

[k995]

Euh dit is in de VS, doet dus niks terzake.
In belgie mag dit eenvoudigweg niet zo simpel is het.

Enkel nadat een bedrijf eerst algehele waarschuwing geeft en later individueele kan een bedrijf iemand zijn communicatie (in gelijk welke vorm) monitoren.

[Alxndr]

Uit je link:

" Mag mijn werkgever mijn e-mail, internet- en telefoongebruik controleren?

Ja, dat mag. Uw werkgever mag voorwaarden stellen aan het gebruik van e-mail, internet en zakelijke telefoon op het werk. Of bepaalde soorten gebruik verbieden. Vervolgens mag uw werkgever controles uitvoeren."

Als de voorwaarden die je werkgever stelt legaal zijn maar je niet bevallen, dan is de enige optie die je hebt ontslag te nemen?

Waarom je hier het 'openbaar gezag' bij haalt is me een raadsel.

[svenk91]

Er zijn wel meer opties, je kan naar de OR stappen en zo proberen een ander beleid af te dwingen.

[Hukkel80]

Ik dacht altijd dat je als werkgever een reden moest hebben gebaseerd op iets om een werknemer te gaan monitoren en dat je dit ook eerst aan de medewerker moest melden dat deze persoon om reden X in de gaten gehouden wordt vanaf dat moment.

[markjanssen]

Ik zou wel durven zeggen dat alle / de meeste grote bedrijven met een grote IT-afdeling en managed desktops/laptops dit soort gegevens bijhouden / loggen / monitoren.

Om de vraag van @PrinsEdje80 te beantwoorden... op managed devices wordt vaak een interne CA toegevoegd, zodat SSL connecties ge-MITM'd kunnen worden. Als je geluk hebt doen ze dit alleen op netwerkconnecties naar specifieke diensten (zoals slack/zoom) ... als je pech hebt naar alles, of alles behalve enkele whitelisted diensten (zoals je bank).

SSL/TLS man-in-the-middle is niet super-moeilijk, als al je client-devices een ingebouwd root-certificaat hebben van de MITM-box. Je tech-savvy gebruikers kunnen dit uiteraard snel genoeg zien door de SSL certificaten te inspecteren op hun verbindingen, maar voor de normale eindgebruiker is er geen verschil te zien tussen een normale connectie, of eentje met SSL-MITM.

[dehardstyler]

Jep bij ons werkt dit met ZScaler en alles wordt er inderdaad door heen getrokken. Jou punt over whitelisted diensten was een goede, ik heb eigenlijk nooit gecheckt of dit ook met bijvoorbeeld ing.nl gebeurt en jawel hoor, ook ing.nl gaat gewoon door ZScaler met het ZScaler intermediate root certificate.

[edeboeck]

De werkgever zal allicht aanhalen dat privégebruik niet geoorloofd is op bedrijfslaptop. Over het wettelijke karakter daarvan spreek ik me niet uit.
Allicht kan jouw contract daar meer duidelijkheid over geven.

[dehardstyler]

Ja leuke grap, maar wel in de vacature zetten dat het inclusief laptop en telefoon is. Nou geef ik daar echt helemaal niks om en gebruik ik altijd eigen hardware, heb ook gewoon een eigen telefoon met eigen abonnement etc, maar toch mooi hoe het ooit verkocht is en dan alles gaan monitoren haha.

[CAPSLOCK2000]

Ja leuke grap, maar wel in de vacature zetten dat het inclusief laptop en telefoon is. Nou geef ik daar echt helemaal niks om en gebruik ik altijd eigen hardware, heb ook gewoon een eigen telefoon met eigen abonnement etc, maar toch mooi hoe het ooit verkocht is en dan alles gaan monitoren haha.

Een laptop/telefoon van de zaak is inderdaad geen beloning maar juist een extra last. Je moet voor die spullen zorgen maar kan ze niet vrij gebruiken.

[YopY]

Nee ik begrijp niet dat het als beloning gepushed wordt, je hebt het toch nodig voor je werk? Alsof een helm en overall als bonusen gezien worden in de bouwvak.

Dat gezegd hebbende, PostNL probeert wel hun smoezelige grijze pakken als "uniform" en voordeel van de baan te verkopen. Terwijl je je eigen witte bus moet regelen.

[haam]

Goed om te zien dat ik niet de enige ben. Maar als ik om me heen kijk zie ik de meeste collega's de bedrijfsmiddelen ook prive gebruiken.

Ik heb mijn eigen telefoon met dual sim. Geen werkmail, want outlook wil van alles kunnen met mijn telefoon. Alleen als ik een hotspot maak om mijn laptop aan te hangen schakel ik de data naar de werksim.
De werklaptop gebruikt ik niet uitsluitend voor werk. Ik installeer soms ook dingen voor prive (bv. balenaEtcher) die ik niet mijn prive pc wil laten vervuilen.

[divvid]

De werklaptop gebruikt ik niet uitsluitend voor werk. Ik installeer soms ook dingen voor prive (bv. balenaEtcher) die ik niet mijn prive pc wil laten vervuilen.

maar wel lekker je werklaptop mag vervuilen?? Ik zeg 'rufus'

[Reactie gewijzigd door divvid op 22 juli 2024 17:04]

[haam]

Als je met rufus de opstartutility bedoeld, snap ik niet helemaal wat je daarmee wilt zeggen.

[divvid]

gezien de 'reputatie' (1)(2) van balenaEtcher zou je toch bekend moeten zijn met 'rufus'
Mijn werkgever, een vrij open omgeving overigens, heeft balenaEtcher al uit het baseimage gegooid.

[Reactie gewijzigd door divvid op 22 juli 2024 17:04]

[haam]

Ik ken rufus wel (en heb het gebruikt), maar alleen voor bootable windows usb stick. Als dat ook kan voor Rpi zal dat mijn goto worden.
Dank voor de info

[4tro]

Ik gok dat ie bedoeld dat je hele werklaptop opnieuw geimaged mag worden.
Of dat je dat lekker op je eigen hardware doet en rufus gebruikt als het stuk is

[divvid]

hier zou ICT inderdaad rücksichtslos een nieuw base image over je laptop knallen.

[Dennism]

Outlook wil juist helemaal niet zoveel met je telefoon en is juist een van de clients die het minste doet met je telefoon qua remote management door de werkgever. Gebruik je Samsung mail of iets dergelijks kan een admin gewoon je hele telefoon remote wipen, bij Outlook wordt dan alleen Outlook gewiped bijvoorbeeld.

[Reactie gewijzigd door Dennism op 22 juli 2024 17:04]

[haam]

Volgens https://reports.exodus-privacy.eu.org/en/

Outlook: 5 trackers 62 permissions

K9 mail: 0 trackers 13 permissions

Samsung staat niet in de lijst, dus geen idee of die nog beroerder is, maar ik vind het verschil tussen K9 en outlook al groot genoeg

[Dennism]

Ah, dat was niet direct was ik bedoelde, ik bedoelde meer wat een admin (binnen Exchange of Office 365) op afstand kan doen met je telefoon afhankelijk van de client

Daarnaast geen idee of beide apps functioneel te vergelijken zijn, als ik zo even naar K9 mail kijk kan die bijvoorbeeld volgens mij niet eens een agenda managen die bij een mailbox hoort. Als dat inderdaad het geval is, is het natuurlijk niet vreemd dat zo'n app met minder functionaliteit ook minder permissies nodig heeft. Echter ben je dan appels met peren aan het vergelijken.

[Reactie gewijzigd door Dennism op 22 juli 2024 17:04]

[haam]

Ok.

Daar had ik weer niet helemaal bij stil gestaan. Als het een bedrijfstelefoon is, mag een admin doen wat ie wil (vind ik). Maar mijn prive telefoon is off limits.

[WillySis]

Als (mede)baas betaal ik graag mee aan de telefoon en de laptop van onze medewerkers. Wel met de eis dat ze veilig gebruikt worden. Anders willen we thuiswerken ook niet toestaan. Iedereen mag ook op onze kosten een familie-abonnement op een anti-virus scanner nemen.
Keuze voor telefoon en laptop is in principe vrij, maar voor een FairPhone betalen wij de kosten, anders maar de helft, gezinsleden resp 45 en 15%.
Voor laptops zijn we overgestapt op Framework, met ongeveer dezelfe vergoedingen.

[garriej]

niet echt on topic, maar hoe bevallen de framework laptops?

[Lucb1e]

De werkgever zal allicht aanhalen

De werkgever heeft dergelijke monitoring aan te kondigen (dus vooraf, niet achteraf) wanneer er een redelijk vermoeden kan bestaan bij de gebruiker van het systeem dat het verkeer niet wordt afgeluisterd, zoals je bij een slotje in de browser kan argumenteren. In ieder geval, dat is hoe ik het geleerd heb in de tijd van de wet bescherming persoonsgegevens, en gdpr/avg is niet minder streng geworden zover ik weet

Dat niemand de kleine lettertjes leest van het personeelshandboek is een ander verhaal

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[CAPSLOCK2000]

Dat niemand de kleine lettertjes leest van het personeelshandboek is een ander verhaal

Reken er niet te hard op, rechters hebben weinig sympathie voor "haha, de kleine lettertjes" in ongelijke machtsverhoudingen zoals tussen werkgever en werknemer.

[Lucb1e]

Ik denk niet dat het zo zwart-wit is. Heel veel dingen die in algemene voorwaarden bepaald worden zijn wel degelijk rechtsgeldig. Je moet expliciet/afzonderlijk vragen wanneer dingen erg afwijkend zijn van de lijn der verwachting. Dat een bedrijfscomputer of -server wordt gemonitord door een automatisch systeem als zscaler is goed om te weten wanneer je overweegt internetbankieren te doen op je werkcomputer tijdens de lunchpauze, maar het is ook weer niet het meest absurde idee ooit of alsof het een grote inbreuk maakt op jouw privésfeer (het stuurt geen uitreksel door van de ingeziene recente transacties).

Bij het meelezen van privéchats tussen collega's vind ik dat wat anders, dus of het daar voldoende is dat het in een personeelshandboek staat is wat anders. Ook kan meespelen (in afnemende mate van zwaarwegendheid) of je tijd hebt gekregen op de eerste dag om de betreffende tekst door te nemen, of je voor akkoord hebt getekend, of dat je ten minste op het bestaan ervan bent gewezen.

Dat iets in kleine lettertjes staat maakt het rechtsgeldig noch -ongeldig. Zowel de inhoud als andere factoren bepalen dat meer dan of mensen die dingen in het algemeen lezen

Wat helaas ook heeft gebleken uit te maken voor rechtsgeldigheid is of de rechter recent geluncht heeft

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[markjanssen]

Dat zou ik dan even aankaarten met de FG en de OR.... over het algemeen wil je zeker banking-websites toch wel bypassen in je MITM.... wettelijk gezien heb je anders wat 'uitdagingen'

[divvid]

nog los van het open target dat gecreëerd is m.b.t. de bank connecties van de financiële afdeling.

[Llopigat]

Ja bij ons ook. Zscaler is echt rotzooi. Het is ongelofelijk lastig om bijvoorbeeld software in een docker container dat dingen van internet moet halen via zscaler te laten werken. Soms moet ik nieuwe security software proberen. Ben ik 10 minuten bezig om het te installeren, en een halve dag om het met die zscaler aan de praat te krijgen Uiteindelijk hebben we een helemaal losstaand security lab in de cloud gebouwd dat gewoon vrije internet toegang heeft (maar geen toegang tot het bedrijfsnetwerk uiteraard).

Maar bij ons worden banken enzo wel uitgezonderd. Je kan dat zien aan het certificaat dat je ontvangt.

[Reactie gewijzigd door Llopigat op 22 juli 2024 17:04]

[dehardstyler]

Ow ja, bij ons ook bakken vol met anekdotes over ZScaler haha!

Maar bij ons worden banken enzo wel uitgezonderd. Je kan dat zien aan het certificaat dat je ontvangt.

Heb je hier misschien wat meer informatie over?

[Llopigat]

Gewoon, klik in je browser op het 'slotje' links in de titelbalk. Even aannemend dat je chrome gebruikt, klik op "Connection is secure" in het menu dat naar boven komt, en dan zie je de certificaatchain. Als het certificaat van de site ondertekend is door Zscaler (Issued by...) dan wordt alles onderschept. Is het een gewone CA dan dus niet.

Bij Edge moet je na "Connection is secure" nog op een extra dingetje klikken (het certificaat icoontje rechtsboven in de popup), bij chrome hoeft dit niet. Bij Firefox werkt het ook zoals in Chrome alleen staat er "Verified by" in plaats van "Issued by".

De manier waarop Zscaler SSL/TLS verkeer inspecteert is namelijk niet mogelijk zonder dat dit zichtbaar is via de certificaatchain.

[Reactie gewijzigd door Llopigat op 22 juli 2024 17:04]

[dehardstyler]

Dan begreep ik je verkeerd. Ik dacht dat je bedoelde dat je bij de ene website ZScaler CA kreeg, en bij de banksite ZScaler "bank" CA of zoiets.

Ik krijg bij alles wat ik doe ZScaler intermediate root CA. Dus geen uitzondering voor de bank bij ons als ik je goed begrijp? Bij jou op de zaak krijg je op bank websites dus netjes de CA te zien die de bank gebruikt, net zoals op je prive apparatuur?

[Llopigat]

Ja precies, bij ons worden banken e.d. uitgezonderd. En dan zie ik inderdaad het gewone root CA van de provider van de bank zelf, niet die van Zscaler. Dit is een instelling die je bij zscaler zelf kan instellen (zij houden een lijst met banken enzo bij).

Voor wat ik heb begrepen is het in sommige europese landen niet toegestaan om mensen hun bankzaken te monitoren en kan je ze ook niet verbieden dit op het werk te doen.

[Reactie gewijzigd door Llopigat op 22 juli 2024 17:04]

[CAPSLOCK2000]

Voor wat ik heb begrepen is het in sommige europese landen niet toegestaan om mensen hun bankzaken te monitoren en kan je ze ook niet verbieden dit op het werk te doen.

Dat is in alle Europese landen zo. Ook op je werkplek heb je een beperkt recht op privacy en tijd voor privé-zaken. Het leven is te ingewikkeld om het strak gescheiden te houden. Als bedrijven alleen open zijn tijdens kantooruren heb je bv weinig andere keuze om tijdens werktijd met ze te bellen.

Daarnaast heb je ook binnen je werksituatie recht op privacy. Bijvoorbeeld, als je ruzie hebt met je leidinggevende dan moet je dat met HR of de bedrijfsarts kunnen bespreken zonder dat die leidinggevende mee kijkt.

In principe heeft iedereen in Europa die rechten al kunnen er uitzonderingen op gemaakt worden voor bepaalde functies of situaties. Dan moet je als werkgever wel ruimte bieden voor een alternatief, bv een via apart wifi-netwerk voor prive-gebruik.

[Llopigat]

Ja daarom verbaast het me ook dat sommige bedrijven zoals die van @dehardstyler geen uitzondering maen voor bank websites. Dan weet je zeker dat er niet meegekeken wordt, en de kans dat er malware via zo'n site binnenkomt is sowieso erg klein (Bovendien is zscaler lang niet de enige defensie).

[CAPSLOCK2000]

Ja bij ons ook. Zscaler is echt rotzooi. Het is ongelofelijk lastig om bijvoorbeeld software in een docker container dat dingen van internet moet halen via zscaler te laten werken. Soms moet ik nieuwe security software proberen. Ben ik 10 minuten bezig om het te installeren, en een halve dag om het met die zscaler aan de praat te krijgen Uiteindelijk hebben we een helemaal losstaand security lab in de cloud gebouwd dat gewoon vrije internet toegang heeft (maar geen toegang tot het bedrijfsnetwerk uiteraard).

Maar bij ons worden banken enzo wel uitgezonderd. Je kan dat zien aan het certificaat dat je ontvangt.

Ik snap wel een beetje dat security software een uitzonderingspositie heeft. Tegelijkertijd is het een mooi voorbeeld van hoe een strenge beveiliging niet altijd de meest veilige situatie oplevert. Als beveiliging zo streng is dat mensen er op heen gaan werken ben je waarschijnlijk slechter af dan voorheen. Maar nogmaals, specifiek voor security software snap ik dat er uitzonderingen nodig zijn.

[Llopigat]

Ja, het gaat hier om security software voor allerlei dingen die niet altijd met het bedrijfsnetwerk te maken hebben.

Bijvoorbeeld training, tests, sandbox evaluatie van mogelijke gevonden malware. Of het aanvallen van een gesimuleerde bedrijfsomgeving met bepaalde nieuwe tools. Zodat we kunnen zien of we kwetsbaar zijn zonder de daadwerkelijke bedrijfsomgeving in gevaar te brengen.

Het team waar ik voor werkte was bedoeld om dit soort nieuwe ontwikkelingen op te sporen en uit te proberen om te zien of het waarde heeft ze in produktie te brengen. Daardoor is het vaak niet zinvol om heel veel werk te besteden om het op het bedrijfsnetwerk aan de praat te krijgen omdat we niet eens weten of het ons waarde gaat bieden. De eerste stap is gewoon de tool van github plukken en uittesten. En bovendien willen we onbekende tools niet eens op het bedrijfnetwerk hebben. We hebben een hele proeftuin daarvoor met allerlei nep systemen met gesimuleerde users (maar wel dezelfde software en versies zoals we in produktie hebben).

Vandaar dat dit zo vervelend is

[Reactie gewijzigd door Llopigat op 22 juli 2024 17:04]

[BCC]

Bij het bedrijf waar ik werkte deden ze daar ook een pilot mee - alle ICTers gingen vervolgens via een gratis VPNs werken, omdat anders niets meer werkte.. toen is dat rap teruggedraaid Ik vermoed dat zo'n ZScaler ook meer security risico's met zich meebrengt dan extra veiligheid in veel situaties.

[Llopigat]

Klopt, dat is ook een punt. Omdat je in feite een MITM doet op al je netwerkverkeer. Je moet enorm veel vertrouwen hebben in Zscaler. Als die een keer gehackt wordt, ligt alles op straat. En het is gewoon een slecht idee de TLS chain zo te ondermijnen.

Het is niet voor niets dat het veel lastiger is tegenwoordig om op mobiele apparaten CA's toe te voegen aan de system chain. De user chain kan wel maar apps kunnen op Android gewoon kiezen die niet te gebruiken, wat ook meestal gebeurt.

Gratis VPN's werken bij ons echter niet, die worden allemaal geblokkeerd. Corporate VPN's werken soms wel maar mondjesmaat. Externen mogen bij ons ook niet het netwerk op met hun laptops, ze hebben alleen een soort internet cafe hotspot. Als ze iets op ons netwerk doen, moeten ze een laptop van ons aanvragen, een andere optie is er niet.

[Reactie gewijzigd door Llopigat op 22 juli 2024 17:04]

[BCC]

Je moet ook enorm veel vertrouwen hebben in systeembeheer - die willen gelukkig vaak de mogelijkheid niet eens hebben om plaintext internetverkeer te lezen. Op verzoek van netwerk beheer heb ik recent alle databases via ssl laten praten met de webapplicaties - Ze will niet meer perongeluk gegevens kunnen zien als ze switches debuggen 👍

[Reactie gewijzigd door BCC op 22 juli 2024 17:04]

[Blokker_1999]

Dat je beveiligingssysteem dat doet is niet eens het grote probleem. Beveiliging op zich kan een belang zijn dat zwaarwegend genoeg is. Wat vooral belangrijk is, is wat er met de data die daaruit komt gebeurt. Enkele jaren terug is men bij de firma waar ik toen werkte ook overgestapt op Zscaler, en op een gegeven moment kwam daar naar boven dat mensen van het netwerk team inderdaad relatief eenvoudig konden opvragen wie welke sites bezocht had. Het moment dat management hiervan op de hoogte werd gesteld is er vanuit security zeer snel geschakeld om aan iedereen duidelijk te maken dat deze rapportering niet gebruikt mag worden tenzij in enkele zeer specifieke situaties.

Daarnaast heb je ook geen SSL inspectie nodig om na te gaan welke websites bezocht worden, ook bij https zit het domein gewoon in de header, en niet in de beveiligde payload.

Je kan er daarnaast bij websites ook op aandringen dat ze hun beveiliging verbeteren. Het is mogelijk om mee te geven welke root CA voor jouw website een certificaat mag uitgeven en browsers zullen je waarschuwen als er een andere root CA gebruikt wordt.

[OruBLMsFrl]

Waar baseer je dat op? SSL inspectie is altijd onderhevig aan discussie bij ons in de multinational. Tot zover nooit ingevoerd. Risicogebaseerde inlogscores en zo is iets totaal anders dan mensen hun chatverkeer doorspitten. Ik kan me eigenlijk niet voorstellen hoe een privacy officer dat zou moeten onderbouwen in een verwerkingsregister voor heel een commercieel bedrijf.
Enige dat ik kan bedenken wat zwaarwegend genoeg is voor zoiets als chat inhoud analyseren is een bedrijf dat grotendeels het nationaal veiligheidsbelang kan aanvoeren als grondslag, zoals de NIS1 doelgroep van grote back-end telecomprovider, transporthubs, energieproductie en defensie/veiligheid industrieën. Maar daarbuiten zijn er nog veel meer grote bedrijven die buiten zelfs de bredere NIS2 vallen, of daar wel Belangrijk zijn maar niet Essentieel. Ik zie nogmaals niet hoe die anderen in essentie briefgeheim opheffen qua belang voor inhoudelijke gespreksanalyse.

[Reactie gewijzigd door OruBLMsFrl op 22 juli 2024 17:04]

[Llopigat]

Oh dan hebben jullie geluk, bij ons is alles sinds 2017 al via Zscaler gegooid (de "big brother proxy" zoals iedereen het noemt).

Het is ook een crime om auto updates aan de praat te krijgen maar daar ben ik in een andere comment op ingegaan.

[Dennism]

Bij jullie misschien wel, ik ken echter uit mijn tijd bij o.a. een Sonicwall partner dat genoeg bedrijven SSL inspectie gewoon gebruiken binnen kun infrastructuur als beveiligingsmaatregel, van MKB tot veel groter.

[OruBLMsFrl]

Ssl inspectie wordt elders wel toegepast ja, mij ook bekend. Tegelijk chatverkeer inhoudelijk controleren, qua tekst, is daar iets van bekend, want dat lijkt met de avg en gdpr als eerder gezegd nauwelijks goed te praten?

[Lucb1e]

Zeker niet.

Als je überhaupt één bedrijf kan vinden in een land dat onderdeel is van the Council of Europe (breder dan EU/EEA: CoE omvat Zwitserland en Turkije bijvoorbeeld), kun je ze hoogstwaarschijnlijk onder nationale wetgeving aanklagen omdat het europees verdrag van de rechten van de mens van toepassing is en dat normaliter in nationale wetgeving wordt omgezet.

Ik heb ook nog nooit gehoord dat een bedrijf (met een oorsprong buiten de USA) chatverkeer algemeen zou meelezen. Zie ook het meelezen van e-mails: in de begindagen der internet was dat een open vraag, maar werd het vrij snel duidelijk dat er geen zwaarwegend belang is om medewerkers op die manier te monitoren.

Je ziet dit soort dingen gebeuren in het geval van fraude, ongeoorloofd gedrag, of wanneer iemand is weggegaan is en een klant iets naar het e-mailadres van de weggegane medewerker heeft gestuurd. Wanneer er aanleiding tot is, en dan wordt relevante data bekeken en niet per se alles. Geen automatisch systeem dat alles scant om het sentiment te beoordelen of pesten te identificeren.

De MITM-boxen die je aanhaalt lezen niet mee met chatverkeer; die dingen kijken naar downloads van .exe bestanden of scannen eventueel op creditcard-nummers om PCI-regelovertredingen te voorkomen.

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[CAPSLOCK2000]

Ik zou wel durven zeggen dat alle / de meeste grote bedrijven met een grote IT-afdeling en managed desktops/laptops dit soort gegevens bijhouden / loggen / monitoren.

Volgens mij is dat in Nederland toch vrij zeldzaam hoor. De juridische implicaties zijn fors, de privacymensen vinden dit helemaal niet leuk. Bijna geen enkele organisatie kan verantwoorden dat ze echt alles moeten monitoren. Je moet uitzonderingen maken voor artsen, banken en dergelijke zaken. Dat is heel veel werk en gedoe.

Je moet je personeel hier ook voortdurend over informeren, een regeltje in het contract is niet genoeg. Mensen moeten beseffen dat ze geen privacy hebben. Dat ze op het werk zijn betekent niet dat er geen enkel recht op privacy is, al is het maar om de bedrijfsarts te bellen. Natuurlijk zijn er vast ook bedrijven die het gewoon doen zonder er over na te denken, maar ik hoop dat het aantal daarvan meevalt.

Ik denk dat er wel veel gaat veranderen in deze hoek. De wereld begint zich te verzetten. Dan bedoel ik vooral bedrijven waarvan de klanten onderschept worden. Banken vinden het bv afschuwelijk dat hun klanten afgeluisterd worden als ze vanaf hun werk inloggen. Een deel zal te veel opslaan, zoals wachtwoorden. Google heeft er zo genoeg van dat ze in Chrome de SSL-certificaten van hun eigen sites zijn gaan hardcoden.
Met name van de banken verwacht ik nog forse druk. Die zijn al een tijd aan het aftasten in hoe ver ze kunnen gaan bij het inspecteren van de klant. Ze willen graag controleren of je computer een modern OS draait met alle security patches en een virusscanner enzo en liefst precies weten wat er op je systeem draait. Dat noemen ze "client attestation". Het probleem is alleen dat ze de eigenaar van de computer niet vertrouwen (dat is terecht) en dus meer rechten eisen dan de eigenaar van de computer.
Daar heb ik grote problemen mee. Ik wil geen software op mijn systeem die op de achtergrond dingen doet die ik onmogelijk kan controleren*. Macht zonder controle gaat altijd fout. Geef een partij het recht om in het geheim dingen te doen en vroeg of laat zal het fout gaan, ofwel door het overschrijden van de regels, ofwel door luiheid. Zonder controle is er gewoon weinig druk om het goed te doen.

Toen Microsoft een stuk van de media-markt wilde hebben ze DRM ingebouwd om Holywood te plezieren (ik ga erg kort door de bocht, maar volgens mij klopt het wel. De hardware komt uiteraard van anderen maar de steun van MS is wat DRM in praktijk mogelijk heeft gemaakt). Dat plan is maar half uitgevoerd maar het is geluikt om hun chips in al onze computers en tv's te krijgen, oa via de HDMI-standaard. Er is veel geprotesteerd maar uiteindelijk heeft iedereen die hardware gekocht en zelfs Firefox heeft DRM ingebouwd. De macht in de techwereld is zo geconcentreerd dat je er eigenlijk niet om heen kan.
Tegemwoordig is het overigens eerder Google die hier mee bezig is. Als "eigenaar" van de browser, een OS en een stel belangrijke websites zijn ze in een positie om "full stack" veranderingen aan te brengen.
Hoe dan ook, de infrastructuur staat klaar om ons de toegang tot onze eigen computer te ontzeggen.

Waar eindigen we? Ik denk dat als client attestation wordt doorgevoerd er steeds meer sites gebruik van gaan maken. Werkcomputers die afgeluisterd worden zullen worden geweigerd. Waarom zouden sites dat massaal doen? Omdat de adverteerders bewijs willen zien dat hun advertenties getoond worden.
Dat betekent dat je op je werkcomputer steeds minder sites zal kunnen bezoeken en de sites waar je wel op komt (zakelijk en prive) hun eigen controles, scriptjes en weet ik wat nog meer op jouw computer willen gaan draaien.


* ik besef dat niemand alles zelf kan controleren, niemand heeft de tijd of de vaardigheden, dat is dan ook niet wat ik wil. Als ik me afvraag hoe iets werkt wil ik genoeg toegang hebben om het uit te kunnen zoeken hoe het werkt en het te kunnen veranderen als ik het anders wil. Het is mijn computer en dat ding heeft toegang tot alles wat belangrijk is in mijn leven. Ik ben de baas, niemand anders.

[TechSupreme]

Nee hoor, in Nederland en Europa gebeurt dit gewoon. In sommige sectoren is het zelfs cruciaal dat je het doet vanwege aansprakelijkheid of compliance. Daarom is het ook wenselijk en heel normaal dat een bepaalde communicatie aan een persoon te linken is.

De data en de middelen zijn eigendom van het bedrijf, dus er is geen privacy implicatie. Als je weet dat je op een bedrijfscomputer, op een bedrijfsnetwerk met een bedrijfsaccount zit heb je geen verwachting van privacy. Dat een bedrijfsmiddel is afgeschermd vanwege veiligheid of omdat jouw baas niet wil dat jij de hele dag op Tweakers zit dan is dat ook maar zo, daar heb je verder niet veel over te zeggen anders als dat je het maar in je eigen tijd met je eigen middelen doet.

Het artikel legt het half uit maar eDiscovery is een legitieme toepassing, er zijn genoeg bedrijven die dergelijk tools aanbieden waaronder Microsoft. Exchange en Teams hebben het ingebouwd en Microsoft heeft ook een aparte tool genaamd Purview.

Dit zijn tools om bedrijfsdata te verzamelen, archiveren en analyseren. Wat Aware anders maakt is dat ze er een stukje AI achter plakken en dat mag ook nog steeds.

Het is wat je met die data doet waar het wankelt. Het stukje sentiment analyse is ook voor Amerikaanse standaarden een grijsgebied.

[Reactie gewijzigd door TechSupreme op 22 juli 2024 17:04]

[k995]

Ik zou wel durven zeggen dat alle / de meeste grote bedrijven met een grote IT-afdeling en managed desktops/laptops dit soort gegevens bijhouden / loggen / monitoren.

Niet in belgie (en betwijfel in nederland)

[John Doos]

Ik snap de inbreuk op privacy prima.
Maar er wordt toch gemonitord ol bedrijfseigendommen en diensten?

Is het geen gewoon goed, dat je niks geks doet of zegt op de apparatuur en diensten van je baas? Of is dit iets typisch Amerikaans ofzo?

[david-v]

als er op het intranet een nieuwsbericht komt te staan dan is het niet gek dat mensen elkaar via teams/slack een berichtje sturen om een persoonlijke mening met een collega te bespreken. Het is dan zeer kwalijk dat een werkgever dat gesprek 1 op 1 gaat monitoren. Daar heb je andere middelen voor.

[haam]

Je hebt andere middelen dan direct monitoren, maar werknemers hebben ook andere manieren om (buiten het werkdomein om) te communiceren.

Als je bedrijfsmiddelen gebruikt om dat te doen, dan ben je op zn minst wat naief.

[david-v]

En dan komen we weer terug op wat wel en niet mag:

Een werkgever mag niet zomaar inbreuk maken op het privacyrecht van een werknemer. Iedere inbreuk moet worden gerechtvaardigd met een zwaarwegend belang dat opweegt tegen de privacy van werknemer.

Je hebt als werknemer nog steeds recht op privacy. Dat houdt niet op op het moment dat je binnenloopt bij je werkgever. Het monitoren van alle slack/teams berichten is wat mij betreft niet gerechtvaardigd. Net zoals het inzien van emails van werknemers. Dat kan alleen op individuele basis én zwaarwegend belang.

tracken van sentimenten, pesten en het uitwisselen van naaktbeelden is wat mij betreft niet zwaarwegend belang maar puur spioneren wat je werknemers doen. Er zijn andere middelen om dergelijke gegevens of gedragingen naar boven te halen, zoals anonieme meldpunten, anonieme enquêtes houden onder je personeel na een nieuwsbericht enz.

Stel dat je bij de koffie automaat een gesprek hebt met een collega en je daarna op de afdelingsmeeting door je leidinggevende hier op ingegaan wordt....er staat namelijk een microfoon bij de koffieautomaat...

[haam]

Vooropgesteld, ik ben het volledig met jou eens. Maar als je bedrijfsmiddelen gebruikt zou ik daarop niet vertrouwen.

Voorbeeld: In het verleden (ander bedrijf etc.) heb ik wel eens een algemene mail gehad dat diverse mensen niet 8 uur aanwezig waren. Het bleek dat ze de toegangspas onaangekondigd en dus oneigenlijk hadden gebruikt om dit te controleren.
Hoewel dit geen directe consequenties had, mag je ervan uitgaan dat de betreffende mensen een aantekening hebben gekregen in hun dossier.
Ga maar aantonen dat dit de reden is dat jij bij een ontslagronde de sjaak bent.

Ook al zou de werkgever het niet mogen, dan nog is het naief om te denken dat het niet gebeurd

[david-v]

Ik kan niet wachten tot het mij overkomt, zeker als je ontslagen wordt om die reden. Kan je nog wat reputatie schadevergoeding aanvragen als werknemer .

Het monitoren van gebruikers pas is wel iets anders dan het monitoren van je gesproken of geschreven berichten onderling of met klanten. Ik kan me herinneren dat mijn vorige bedrijf aan de hand van de pasjes een overzicht wilde bouwen met wie wel en wie niet in het pand aanwezig was. Mocht niet.

Dat het illegaal gebeurd, dat zal best, maar dat mag niet tegen je gebruikt worden op welke manier dan ook. Als het bedrijf tegen de lamp loopt is de boete ook niet mals in de EU. Bedrijven mogen je lease auto bijvoorbeeld ook niet zomaar volgen. De leasemaatschappij mag die informatie niet doorgeven aan je werkgever.

Dus ja, het zal vast wel gebeuren, maar de consequenties voor de werknemers zijn nihil (onrechtmatig verkregen informatie) en voor de werkgever enorm als ze een boete krijgen. Ik zou het om willen draaien. Het is naïef als werkgever om er maar vanuit te gaan dat je ermee weg komt.

[haam]

Ook hier ben ik het met je eens.

Alleen geef ik aan dat het geen directe consequenties had. Als ze 2 jaar later vanwege de economie een ontslagronde moeten houden, kan ik wel gokken wie eruit vliegen. En kun jij dan aantonen dat iets van 2 jaar geleden de doorslag heeft gegeven? Als je dat werkelijk denkt, dan ben je waarschijnlijk ook naief genoeg om bedrijfsmiddelen prive te gebruiken.

[Alxndr]

Als jij prive je onwelgevallige persoonlijke mening wil bespreken, heb je daar toch andere manieren voor?

Als jouw werkgever niet met oprechte kritiek om kan gaan, moet je je afvragen of je voor dat bedrijf wil werken, ongeacht of ze er wel of niet achter (kunnen) komen wat je precies tegen wie zegt.

Maar laten we vooral niet vergeten dat het hier over Amerika gaat waar de werkcultuur compleet niet te vergelijken is met die in Europa, zeker niet die in Nederland. Net als de politie worden werkgevers als de vijand gezien met wie je slechts minimaal meewerkt en net zo hard probeert te naaien als dat ze jou naaien.

[david-v]

Als jij prive je onwelgevallige persoonlijke mening wil bespreken, heb je daar toch andere manieren voor?

Zeker, maar het gaat hier om welke middelen een werkgever mag inzetten. Dit gaat ten koste van je privacy, en daar heb je als werknemer recht op, ook op de werkvloer. Het heimelijk afluisteren of inzien van berichten mag niet zomaar in Europa.

[Blokker_1999]

Als ik via de chat client mijn frustraties uit over de organisatie of management aan een collega, dan wil ik niet dat management mij daar enkele dagen later mee om de oren slaat.

[Lucb1e]

Ja

Zie bijvoorbeeld https://blog.iusmentis.co...ming-om-je-mail-te-lezen/

[...] zo merkt de kantonrechter op:

> [Zonder] een concrete legitieme grond ter rechtvaardiging van deze monitoring – kan niet worden vastgesteld of de monitoring aan de vereisten van proportionaliteit heeft voldaan.

Alles mogen meelezen omdat het op een werksysteem gebeurt is inderdaad typsich iets voor de verenigde staten. Dit sentiment merk je ook duidelijk op platforms die in amerika ook populair zijn zoals reddit, wat die mentaliteit hier zo te zien ook doet doordringen

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[The Zep Man]

Of een tool als Aware mag in de EU is ook onduidelijk; het staat mogelijk op gespannen voet met de , die voorschrijft dat het analyseren van persoonlijke data niet zomaar mag.

Of de inbreuk mag ligt aan of er een wettelijke grondslag is. Of er een wettelijke grondslag is ligt o.a. aan of het proportioneel is aan het doel om te bereiken. In veel gevallen zal het "nee" zijn als niet minder-inbreukende alternatieven verkend en geprobeerd zijn. En zelfs als alternatieven wel verkend zijn, dan nog moet het in verhouding staan met "niet doen". Ook dat zal vaak "nee" zijn. "For the profitz" is bijvoorbeeld geen goed excuus.

[IStealYourGun]

Afaik is de avg niet van toepassing op bedrijfsgegevens/interne communicatie.

[The Zep Man]

Afaik is de avg niet van toepassing op bedrijfsgegevens/interne communicatie.

De AVG is van toepassing op iedere vorm van verwerking van persoonsgegevens. Dus ook wanneer bedrijfsgegevens en interne communicatie persoonsgegevens bevatten.

De AVG is een verordening, en moet daarom zonder wijziging omgezet worden in nationale wetgeving. EU-landen mogen wetten erbij bedenken om uitvoer te versoepelen, maar mogen geen wetten maken die tegenstrijdig zijn met de AVG. Als een land niet tegen de AVG in mag gaan, dan mag een bedrijf dat zeker niet.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 17:04]

[swhnld]

De werkgever mag bijvoorbeeld het lekken van persoonsgegevens of bedrijfsgeheimen monitoren met software, mits vastgelegd in personeelshandboek en juist proces dat rechten waarborgt.

Dus intern chatverkeer monitoren op uitwisseling NSFW content zou ook moeten kunnen als dat verboden is met bedrijfsmiddelen te doen. Idem op pesten als daar melding van gemaakt is.

Echter niet of je het management aardig vindt, of het eens bent met de koers die het bedrijf vaart. Dat is wettelijk niet toegestaan. Daar kan de werkgever tevredenheidsonderzoeken op uitvoeren.
Overigens zou ik alsnog nooit zoiets via werkmiddelen verspreiden, je weet nooit wie er aan de andere kant over de schouder meeleest bij je collega, of wat die ermee doet, een screenshot is zo gemaakt.

[haam]

Ik stuurde pas een PDF met een BSN erin.

Kreeg een tijdje later (paar dagen volgens mij) een mail met de vraag of dat legitiem was. Bij mijn bedrijf wordt dus duidelijk gemonitord.

Persoonlijk vind ik dat prima, ik was me al bewust om geen gekke dingen in de mail te zetten. De pdf flag had ik niet verwacht, maar snap de zorgen qua datalekken en heb er geen problemen mee.

[swhnld]

Als je bedrijf Microsoft 365 premium gebruikt is er een standaard regelset om te monitoren op datalekkage die het bedrijf aan kan zetten.
Een BSN nummer is een persoonsgegeven wat je niet wilt lekken, maar bij sommige gevallen wel uitgewisseld moet worden met derde partijen zoals tussen HR en een externe salarisadministratie bijvoorbeeld.

[haam]

Het was ook meer een realisatie momentje voor mezelf. Ik zou me 10 x bedenken voor ik een BSN nummer rechtstreeks in een mail zou zetten. Maar omdat ie niet direct zichtbaar in de pdf stond, werd ik niet getriggered.

[PrinsEdje80]

Hoe kan dit als Zoom E2EE heeft?

[The Zep Man]

Door op het apparaat waarop de Zoom client draait te monitoren.

[bzuidgeest]

Jij kan het bericht in zoom of slack toch lezen? Dan kan een client side plugin dat ook. End to end encryptie zegt alleen dat de verbinding tussen jou en je chat partner versleuteld is, aan beide uiteinden waar de data geconsumeerd word is het helemaal niet van toepassing.

[Lucb1e]

Jij kan het bericht in zoom of slack toch lezen?

En de server overigens ook, in ieder geval voor Slack (Zoom ben ik iets minder zeker van door hun claims van E2EE, al kan ik het me moeilijk voorstellen met hoeveel moeite Wire over de jaren had met E2EE en videobellen vanuit een browser) en dat maakt het toepassen van dergelijke scanning veel makkelijker

[Lucb1e]

Zoom initially claimed to use "end-to-end encryption" in its marketing materials, but later clarified it meant "from Zoom end point to Zoom end point" (meaning effectively between Zoom servers and Zoom clients), which The Intercept described as misleading and "dishonest".

https://en.wikipedia.org/wiki/Zoom_(software)

Lijkt er niet op dat het daadwerkelijk end-to-end is maar alsof de server alles kan meelezen

[Yzord]

Ik snap niet dat je als bedrijf moralistisch hier mee kan leven zeg. Het bespioneren van je medewerkers terwijl je juist een fundament van vertrouwen in je bedrijf wilt hebben onder je medewerkers om je doelen te bewerkstelligen. Wat zijn we toch een rare wezens.

[The Zep Man]

Het bespioneren van je medewerkers terwijl je juist een fundament van vertrouwen in je bedrijf wilt hebben onder je medewerkers om je doelen te bewerkstelligen.

Dat is niet de cultuur in ieder bedrijf. Zeker in de VS waar het makkelijker is om personeel de laan uit te sturen kijkt men vaak anders naar "human resources".

Ik ben benieuwd wat de correlatie van deze houding is tussen beursgenoteerde bedrijven en andere soorten organisaties (in de VS en in de EU).

[Reactie gewijzigd door The Zep Man op 22 juli 2024 17:04]

[Hatseflats]

Zeker in de VS ...

Da's ook 1 van de redenen voor de staat van de maatschappij aldaar.

[Reactie gewijzigd door Hatseflats op 22 juli 2024 17:04]

[Forte]

Vertrouwen in de gemiddelde werknemer is denk ik over het algemeen toch vrij laag, zie ook het hele return to office momentum wat heel erg speelt in de VS. Weet niet zeker hoe dat hier in NL is, heb het idee dat werknemers hier minder als een nummertje worden gezien en het vertrouwen over het algemeen hoger is.

Wel weet ik dat ons IT beheer wel degelijk in de mail en Teams berichten van de organisatie kan meelezen, of ze dat ook daadwerkelijk doen weet ik niet. Lijkt me overigens duidelijk dat je als werknemer ook geen zaken moet doen die mogelijk discutabel zijn op managed apparaten.

[Vinnie.1234]

Als mijn bedrijf dit daadwerkelijk zou gaan doen zou ik me toch afvragen of ik daar nog wel zou willen werken. Daarbij als ik naaktfoto's wil verzenden of ga lopen zeiken op het bedrijf gebruik ik wel een andere chat programma, het is niet of mensen geen whatsapp of zo hebben... Al zou ik sowieso gewoon nooit naakt foto's sturen maar dat terzijde.

Maar ik vind vertrouwen toch enigszins belangrijk. Als een bedrijf zo weinig vertrouwen heeft in hun werknemers dat ze moeten monitoren is er gewoon wat goed fout bij dat bedrijf!

[Lucb1e]

Al zou ik sowieso gewoon nooit naakt foto's sturen

Naakt foto's versturen != naaktfoto's versturen

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[henk pieters]

Al zou ik sowieso gewoon nooit naakt foto's sturen maar dat terzijde.

Jammer!!

[SPee]

Leest deze tool alle berichten, dus ook de communicatie tussen 2 medewerkers. Of alleen de berichten op de publieke groupchats?
Ik kan dat namelijk niet terugvinden. Dat eerste is namelijk een stuk zwaarder dan het tweede.

update:

What types of messages does Aware monitor and store from Slack?
Aware has the functionality to monitor and store the following message types:

• Direct Messaging
• Public Channels
• Private Channels
• Slack Connect Messaging
• Shared Files
• Shared Images

[Reactie gewijzigd door SPee op 22 juli 2024 17:04]

[Oon]

Dat is wel interessant, ik heb eens geprobeerd om Slack die ik met een groepje vrienden gebruikte te migreren naar een ander platform en daarvoor een data export inclusief DMs voor opgevraagd, en dat was absoluut totaal onmogelijk zonder een heel plan aan te leveren en bewijs dat iedereen akkoord was gegaan met een overeenkomst waarin staat dat ik dit zou mogen opvragen.

Ben benieuwd hoe zo'n bot daar omheen werkt, want Slack geeft DMs dus niet zomaar vrij. Misschien dat bots ze wel gewoon kunnen lezen?

[kodak]

Als slack DMs kan overdragen en vooral een voor hun wettelijk acceptabele reden verwacht dan lijkt het me aannemelijk dat de bedrijven afspraken met slack hebben gemaakt. Die dan waarschijnlijk gaan om samenwerking, zoals gemakkelijk direct toegang tot communicatie hebben in plaats van om de zoveel tijd een hoeveelheid op te vragen.

[4tro]

Heel simpel, slack enterprise staat admins toe om dit soort gegevens op te vragen. Moet je dus wel even flink in de buidel tasten

[ultimasnake]

Hoe zouden ze dit doen? Beide tools (Zoom/Slack) zijn beide niet on-premise the hosten en bieden (naar weten) end2end encryptie? Lezen ze het geheugen uit van deze applicaties of iets anders "hackerigs"?

[svenk91]

Als je de Slack/Zoom client op een bedrijfslaptop/smartphone gebruikt kan je het toch zo monitoren lijkt mij. Als je het niet direct uit de RAM doet, dan kan je nog met screen capture en OCR (Optical Character Recognition) doen. AI is nu ook wel slim genoeg om zelf te bepalen wat wat is op je scherm, ook als je die AI herkenningssoftware lokaal draait.

[Lucb1e]

en bieden (naar weten) end2end encryptie?

Op basis van wat denk je dat? Ik ben serieus nieuwschierig aangezien je de derde persoon bent die ik dit aan zie halen, maar zover ik weet heeft Slack dergelijke functionaliteit niet, en voor software als Zoom zou het ook een gigantische uitdaging zijn

Lezen ze het geheugen uit van deze applicaties of iets anders "hackerigs"?

Praktischer is de lokale database uit te lezen van de browser waarin de localStorage staat, of whatever die software gebruikt om berichten/data in op te slaan

[Reactie gewijzigd door Lucb1e op 22 juli 2024 17:04]

[david-v]

Bijvoorbeeld slack doen ze zo:

platforms like Aware can enable search, analysis and exporting capabilities for Slack data by connecting through Slack’s discovery API

bron

[Reactie gewijzigd door david-v op 22 juli 2024 17:04]

[Simon Weel]

De vraag die niet beantwoord wordt: hebben de bedrijven hun personeel verteld dat hun berichten in de gaten wordt gehouden. Als ik weet dat de baas meeleest, dan ben ik wellicht minder snel geneigd om, ik noem maar wat, dick pics rond te sturen.