SysAdmin toegang verlenen mailbox oud collega

[Praetoriani]

Hi allen,

Vrij recentelijk ben ik 'gepromoveerd' van helpdesker naar junior systeembeheerder bij een detacheringsbedrijf. In mijn eerste week ben ik gelijk geconfronteerd met een ethisch dilemma.

Ik werk als systeembeheerder (outsourced) voor klant X, een verzekeringsmaatschappij. Ik kreeg het verzoek van de klant om een medewerker van de klant toegang te verlenen op de mailbox van een oud-collega die uit dienst is. Zelf weigerde ik dit te doen zonder expliciete schriftelijke goedkeuring van de oud collega. De klant en de contactpersoon is nu razend: "onder de oude systeembeheerder werden dit soort verzoeken zonder problemen uitgevoerd!". Zij hebben de mailbox nodig voor mogelijke correspondentie die plaats heeft gevonden met diverse personen en instellingen voor een huidige zaak.

1. Hier zie ik geen registratie van in ons meldingensysteem dat de voormalig beheerder dit zonder meer uitvoerde. Zelfs als dit het geval is...
2. Ik ben de oude systeembeheerder niet.

Ik vind dit een ethisch dilemma. Uiteraard houd ik de klant graag tevreden en wil ik oprecht zo goed mogelijk aan hun eisen voldoen, maar ik ben niet van plan dit verzoek uit te voeren tenzij ik toestemming van de oud-collega zie OF een ondertekend bewijs dat de oud-collega bij zijn indiensttreding heeft aangegeven dat zijn mailbox overgedragen kan worden aan zijn opvolger.

Als workaround zou ik natuurlijk middels een Powershell-commando een query kunnen doen op de mailbox van de oud collega en op deze wijze alle correspondentie betreffende de zaak kunnen filteren en extraheren, maar zelfs dit vind ik érg twijfelachtig.

Beheerders, hoe behandelen jullie dit soort zaken? Juristen, in hoeverre is een werkmailbox privé eigendom van een persoon?

Thanks!

[ Voor 9% gewijzigd door Praetoriani op 11-11-2017 11:56 ]

[Archie_T]

Wat zegt het reglement hier over? Bijna elk bedrijf waar ik kom staat gewoon beschreven dat de mailbox eigendom is van het bedrijf en dat, indien nodig, er toegang toe verkregen kan worden. Vraag dat eerst even na. Met powershell zelf zoeken in de mailbox is net zo fout als iemand anders toegang geven en dan ben jij zelf in de mailbox bezig, zou ik zeker niet willen.

Als ze al aangeven dat het vaker voorkomt zou er ongetwijfeld een proces voor zijn.

Kortom, ga niet in problemen denken maar vraag even rond.

[ShitHappens]

Er heeft vrij recent een soortgelijk topic gelopen hier op Tweakers, wellicht even moeite waard deze op te zoeken. Volgens mij was daaruit gekomen dat het een te ernstige schending van de privacy zou zijn.

[Orion84]

Volgens mij is dit helemaal niet iets wat jij als systeembeheerder moet willen beslissen.

Als het goed is liggen hierover gewoon regels vast in een reglement van dat verzekeringsbedrijf. Daarnaast: als je van de klant een verzoek krijgt waar je een ethisch bezwaar bij hebt: neem contact op met je leidinggevende bij de detacheerder en ga niet op eigen houtje zaken weigeren richting de klant.

Engelfriet heeft er ook een en ander over geschreven: https://blog.iusmentis.co...-werknemer-nu-doorzoeken/

[ Voor 16% gewijzigd door Orion84 op 11-11-2017 21:25 ]

[MAX3400]

Volgens mij is de enige die dit kan goedkeuren, de CTO of anders de directie.

Dit vald idd onder "briefgeheim" ongeacht of de betreffende collega privé en/of zakelijk gebruik maakte van de mail.

Je staat in je recht, vind ik. Leg je de situatie ook even voor, ter info, bij jouw eigen directie? Om lastige opvolging/contracten in de toekomst af te dekken.

[Glashelder]

Recentelijk stond ik voor een soortgelijk dilemma en onze directie heeft toen deze vraag voorgelegd aan de advocaat diezelfde directie heeft bijgestaan bij een ontslagronde.

Het advies wat daaruit kwam is dat je als werkgever toegang mag verkrijgen tot een mailbox maar dat je alleen gericht correspondentie mag openen. Je moet dus weten wat je zoekt en wat je opent. Zomaar prive mails openen mag niet.

Ik voelde er verder weinig voor om dit advies in twijfel te trekken, of het nou helemaal klopt of niet Als een kundig persoon er over heeft geoordeeld dan is voor mij de kous af.

[CH4OS]

Ik zou geen machtigingen geven op de mailbox, zo kun je nooit de mailbox verwijderen. Stel dus voor, om met toestemming van de leidinggevende, de mailbox te importeren in de mailbox van de medewerker die aanvankelijk toegang moest krijgen tot de mailbox. Zet het wel in een subfolder, zodat het makkelijker te vinden is voor die medewerker. Verder zou ik mij niet al te veel zorgen gaan maken, dit zijn dingen die gebeuren écht veel. En je weet de verdere context niet waarom diegene toegang moet krijgen tot die emails. Wellicht gaat het om een zeer gevoelige of dure claim.

Natuurlijk kunnen er zaken staan in de mailbox van de oud-medewerker die daar niet horen, maar hey, hij heeft (wellicht) ook de tijd gehad om zijn mailbox op te ruimen, schijnbaar is het dan dus niet zo'n probleem dat een ander die mail kan zien.

[ Voor 87% gewijzigd door CH4OS op 11-11-2017 21:37 ]

[MAX3400]

@Glashelder het gaat wel even om het feit "wie" het vraagt. Niet zomaar ff collega van collega van ontslagen collega. Maar iemand met authoriteit en bevoegdheid om een dergelijk verzoek neer te leggen.

[MewBie]

Tja, het verschilt ook een beetje per functie denk ik. Toen ik bij mijn vorige werk vertrok heb ik gewoon een dump van al mijn project gerelateerde mails en dus gemaakte afspraken met klanten aan mijn leidinggevende gegeven en daarna de complete mailbox geleegd. Ze zullen vast een backup hebben waar andere mails ook in staan, maar er is geen reden voor hun om daar in te gaan zoeken.

[Glashelder]

MAX3400 schreef op zaterdag 11 november 2017 @ 21:29:
@Glashelder het gaat wel even om het feit "wie" het vraagt. Niet zomaar ff collega van collega van ontslagen collega. Maar iemand met authoriteit en bevoegdheid om een dergelijk verzoek neer te leggen.

Goed punt. In mijn geval kwam de opdracht van de directie zelf

[Nyarlathotep]

Praetoriani schreef op zaterdag 11 november 2017 @ 11:54:
Hi allen,

Vrij recentelijk ben ik 'gepromoveerd' van helpdesker naar junior systeembeheerder bij een detacheringsbedrijf. In mijn eerste week ben ik gelijk geconfronteerd met een ethisch dilemma.

Ik werk als systeembeheerder (outsourced) voor klant X, een verzekeringsmaatschappij. Ik kreeg het verzoek van de klant om een medewerker van de klant toegang te verlenen op de mailbox van een oud-collega die uit dienst is. Zelf weigerde ik dit te doen zonder expliciete schriftelijke goedkeuring van de oud collega. De klant en de contactpersoon is nu razend: "onder de oude systeembeheerder werden dit soort verzoeken zonder problemen uitgevoerd!". Zij hebben de mailbox nodig voor mogelijke correspondentie die plaats heeft gevonden met diverse personen en instellingen voor een huidige zaak.

1. Hier zie ik geen registratie van in ons meldingensysteem dat de voormalig beheerder dit zonder meer uitvoerde. Zelfs als dit het geval is...
2. Ik ben de oude systeembeheerder niet.

Ik vind dit een ethisch dilemma. Uiteraard houd ik de klant graag tevreden en wil ik oprecht zo goed mogelijk aan hun eisen voldoen, maar ik ben niet van plan dit verzoek uit te voeren tenzij ik toestemming van de oud-collega zie OF een ondertekend bewijs dat de oud-collega bij zijn indiensttreding heeft aangegeven dat zijn mailbox overgedragen kan worden aan zijn opvolger.

Als workaround zou ik natuurlijk middels een Powershell-commando een query kunnen doen op de mailbox van de oud collega en op deze wijze alle correspondentie betreffende de zaak kunnen filteren en extraheren, maar zelfs dit vind ik érg twijfelachtig.

Beheerders, hoe behandelen jullie dit soort zaken? Juristen, in hoeverre is een werkmailbox privé eigendom van een persoon?

Thanks!

Jij hoeft hier helemaal niet over te beslissen, je maakt het jezelf onnodig moeilijk.
Wat geeft jouw het gevoel dat jij hierover moet beslissen en jezelf zo op moet winden?

Diegene die hier over zal moeten beslissen is jouw leidinggevende / afdelingshoofd. Het is echt geen uitzonderlijk verzoek hoor
Bovendien staat bij veel bedrijven in de reglementen dat collega's in bijzondere gevallen toegang kunnen krijgen tot jouw mailbox. Ook bij langdurige ziekte bijvoorbeeld.

Voordat men zegt: Ja ho even, er kunnen privé zaken in staan! Tsja, daar is jouw bedrijfsmailbox niet voor bedoeld

[MAX3400]

@Nyarlathotep hoezo privé wel/niet? Op de blogs van Engelfriet staan zo voorbeelden dat het geen klap uitmaakt WAT je met werk-middelen doet; zomaar toegang geven of inbreken is niet toegestaan.

Helaas slechte URL want mobiel aan het posten: https://www.google.nl/sea...&biw=412&bih=652&dpr=2.63

[Nyarlathotep]

In dat artikel wordt voornamelijk ingegaan op een geval waar de werkgever toegang kreeg tot de privé mailbox van een werknemer.
Dit gaat om bedrijfsmail.
En nee, zo maar toegang is niet de bedoeling. Er moet een reden voor zijn.

[Sissors]

En die is er in dit geval.

[bwerg]

Nyarlathotep schreef op zaterdag 11 november 2017 @ 21:51:
In dat artikel wordt voornamelijk ingegaan op een geval waar de werkgever toegang kreeg tot de privé mailbox van een werknemer.
Dit gaat om bedrijfsmail.

In de eerste alinea staat dus net iets anders:

Dat reglement is wel belangrijk want de redenen voor doorzoeking moeten vooraf bekend zijn gemaakt. Maar je moet wel echt een reden hebben, en een stevige ook. Privacy geldt ook op het werk.

[ Voor 23% gewijzigd door bwerg op 12-11-2017 13:45 ]

[Palomar]

Ten eerste goed dat je stilstaat bij het aspect privacy en niet klakkeloos toegang geeft als de klant het vraagt. Echter de vervolgstap zou moeten zijn dat je het aan je leidinggevende voorlegt. Als die zegt dat het mag, leg dan ook in je registratie vast dat 'naam leidinggevende' het goedgekeurd heeft, zodat altijd blijkt dat jij dit soort dingen niet op eigen houtje hebt besloten.

Hoe is het verder afgelopen?

[The Eagle]

Deze idd aan je leidinggevende voorleggen.
Iirc mag zoiets alleen met toestemming van management, HR en de OR indien van toepassing. En allen moeten instemmen. Al het overige is onwettig.

[mutsje]

Normaal gesproken gaat zo'n verzoek via het hoogste wat er is in een bedrijf (in mijn geval RVB) en die geven opdracht aan HR en die geven weer opdracht aan ICT / en security officer. Hierna gaat de security officer samen met diegene die de mail wil inzien gericht op zoek naar die specifieke mails. Overige valt onder privacy wetgeving en mag niet zomaar ingezien worden.
Als je zomaar toegang geeft tot iemands mailbox ben je strafbaar zo simpel is het.
Er moet dus een werkopdracht vanuit directe > HR > etc komen voordat jij uberhaupt de rechten uitdeelt. Vanuit security gezien heb jij je werk uitstekend gedaan en was die andere beheerder een behoorlijke pleaser / prutser.

[President]

mutsje schreef op dinsdag 14 november 2017 @ 13:23:
Normaal gesproken gaat zo'n verzoek via het hoogste wat er is in een bedrijf (in mijn geval RVB) en die geven opdracht aan HR en die geven weer opdracht aan ICT / en security officer. Hierna gaat de security officer samen met diegene die de mail wil inzien gericht op zoek naar die specifieke mails. Overige valt onder privacy wetgeving en mag niet zomaar ingezien worden.
Als je zomaar toegang geeft tot iemands mailbox ben je strafbaar zo simpel is het.
Er moet dus een werkopdracht vanuit directe > HR > etc komen voordat jij uberhaupt de rechten uitdeelt. Vanuit security gezien heb jij je werk uitstekend gedaan en was die andere beheerder een behoorlijke pleaser / prutser.

Maar dan komt het stukje: hoe zit dit juridisch? Want ook al heeft de hoogste directeur in het bedrijf opdracht, als het tegen de wet is kan je nog steeds strafbaar zijn..

[mutsje]

Juridisch gezien moet het van de directie komen. Of bij grotere bedrijven raad van bestuur en dan met werkopdrachten naar beneden. Bij voorkeur uitsluitend iemand van security en diegene die de maibox wil inzien en dan uitsluitend zoeken op die mails. Dan zit je redelijk veilig. Zo gaat het bij ons in ieder geval. De hele mailbox worden geen rechten op gegeven er mag uitsluitend gezocht worden in de mailbox.