Belgisch bedrijf boete 176.000 euro voor mailbox

Een groot Belgisch techbedrijf heeft een totale boete van 176.000 euro ontvangen van de Belgische Gegevensbeschermingsautoriteit (GBA) omdat het de e-mailmailbox van een voormalig medewerker niet tijdig had verwijderd. De GBA maakte de beslissing bekend op 12 mei 2026, aldus Security.NL. De naam van het bedrijf is niet openbaar gemaakt.

Wat is er gebeurd?

Volgens Security.NL ontdekte de voormalig medewerker dat haar oude werkmailbox nog steeds actief was nadat zij het bedrijf had verlaten. Ze vroeg het bedrijf om toegang tot de mailbox en om deze te verwijderen. Ondanks haar verzoek heeft het bedrijf naar verluidt niet adequaat gehandeld.

De GBA stelde vast dat het bedrijf de mailbox gedurende ten minste een jaar na het vertrek van de medewerker actief had gehouden, wat de autoriteit als onrechtmatig beschouwde. Het bedrijf voerde naar verluidt aan dat het bewaren van de mailbox gerechtvaardigd was op basis van de functie van de voormalig medewerker, maar de GBA accepteerde deze redenering niet als voldoende grond om de mailbox zo lang actief te houden.

Volgens Security.NL stelde de GBA meerdere overtredingen vast:

• Het bedrijf verwerkte de persoonsgegevens van de voormalig medewerker onrechtmatig door haar mailbox actief te houden
• De vrouw en haar contacten werden niet geïnformeerd dat hun gegevens nog steeds werden verwerkt, wat een schending van de transparantieverplichting van het bedrijf vormde
• Het bedrijf had niet de nodige technische en organisatorische maatregelen getroffen om te zorgen dat de mailbox werd verwijderd
• Het bedrijf respecteerde het inzagerecht van de voormalig medewerker in haar eigen gegevens niet

De boete bestaat uit twee delen: 160.000 euro voor de onrechtmatige gegevensverwerking en 16.000 euro voor het niet nakomen van de transparantieverplichting, wat neerkomt op een totaal van 176.000 euro.

Waarom is dit relevant?

Deze zaak is een herinnering dat de regels voor gegevensbescherming niet alleen gelden voor klantgegevens. Ze zijn ook van toepassing op de persoonsgegevens van uw eigen medewerkers en voormalige medewerkers. Wanneer iemand uw bedrijf verlaat, worden hun gegevens niet automatisch uw eigendom om voor onbepaalde tijd te bewaren.

Hoewel dit een beslissing is van de Belgische toezichthouder, gelden dezelfde regels op grond van de AVG ook voor Nederlandse bedrijven. De Autoriteit Persoonsgegevens (AP) houdt in Nederland toezicht op de naleving van deze regels en kan bij overtredingen eveneens handhavend optreden.

Als u niet zeker weet of uw bedrijf correct omgaat met medewerkergegevens, is onze AVG-nalevingschecklist een goed startpunt. U kunt ook meer lezen over hoe boetes worden opgelegd aan kleinere bedrijven in onze gids over AVG-boetes.

Wat betekent dit voor uw website?

Hoewel deze zaak betrekking heeft op een intern e-mailsysteem en niet op een website, zijn de onderliggende regels van toepassing op alle persoonsgegevens die uw bedrijf bewaart. Als uw website contactgegevens, boekingsinformatie of personeelsgegevens verzamelt, heeft u een duidelijk beleid nodig voor hoe lang u die gegevens bewaart en hoe u ze verwijdert wanneer ze niet langer nodig zijn. Uw privacybeleid moet dit eerlijk weerspiegelen, zodat mensen weten wat er met hun informatie gebeurt.