Bij een groeiend bureau in de zakelijke dienstverlening liep een arbeidsrelatie ten einde. Niets bijzonders, zo leek het. Tot de directie op een vrijdagmiddag een melding kreeg van de IT-afdeling: de vertrekkende medewerkster had kort voor het einde van haar contract een volledige download gemaakt van het klantensysteem. Inclusief contactgegevens, gesprekshistorie en privacygevoelige persoonsgegevens van honderden relaties.
Wat er op het spel stond
De directie vermoedde dat de medewerkster de gegevens wilde gebruiken bij haar nieuwe werkgever, een directe concurrent. Dat zou niet alleen oneerlijke concurrentie betekenen, maar ook een serieus datalek: persoonsgegevens van klanten die zonder toestemming bij een derde partij terechtkomen.
Het dilemma was helder. Enerzijds was er de noodzaak om klantgegevens te beschermen en snel te handelen. Anderzijds ontbrak hard bewijs voor wat de medewerkster daadwerkelijk met de data had gedaan. Opzet aantonen om oneigenlijk te concurreren was op dat moment niet mogelijk. Te hard ingrijpen zonder bewijs kon juridisch terugslaan. Maar niets doen was geen optie.
'Snel handelen, zonder onnodige escalatie.'
Twee juridische werelden tegelijk
Het vraagstuk raakte direct aan twee rechtsgebieden: arbeidsrecht en privacyrecht. Arbeidsrechtelijk speelde de vraag of en hoe de werkgever de medewerkster kon aanspreken op haar handelen, zonder bewijs van opzet. Privacyrechtelijk moest beoordeeld worden of hier sprake was van een meldplichtig datalek en welke stappen richting de Autoriteit Persoonsgegevens en betrokken klanten nodig waren. Dat maakte het complex. Niet alleen juridisch, maar ook praktisch: wie informeer je wanneer, in welke volgorde en met welke boodschap?
Hoe het traject verliep Marleen van Maurik, jurist binnen het vakteam privacy en arbeid bij Jurato, werd direct betrokken. Binnen een dag lag er een helder stappenplan op tafel. Niet alleen welke juridische acties mogelijk waren, maar ook hoe de communicatie richting de verschillende betrokken partijen (de medewerkster, de klanten en de Autoriteit Persoonsgegevens) het beste kon verlopen. Wat de directie het meest hielp: er hoefde niet meer nagedacht te worden over wat er moest gebeuren. De stappen stonden vast, de meldingen waren helder en de volgorde klopte. Geen overbodige juridische theorie, maar een concreet plan dat diezelfde dag kon worden uitgevoerd.
Situatie onder controle
De gegevens werden veiliggesteld. De juiste meldingen werden gedaan. De medewerkster werd aangesproken op haar handelen. De situatie werd in de kiem gesmoord, zonder onnodige escalatie.
Minstens zo waardevol: samen met Jurato werden de standaardinstellingen van het klantensysteem aangepast. Brede downloadrechten werden beperkt, toegangsrechten bij vertrekkende medewerkers eerder ingetrokken. Simpele aanpassingen die het risico op herhaling structureel verkleinen.
Voor de directie stond vast: je hoeft niet alles te kunnen bewijzen om wél te handelen. Maar je moet wel snel in actie komen en de juiste hulp inschakelen. En zoals altijd geldt: voorkomen is beter dan genezen.
