E-mailhandtekening en AVG: wat de verordening echt zegt

Een e-mailhandtekening toont de naam, functie en zakelijke contactgegevens van een identificeerbare persoon. Dat zijn persoonsgegevens, en hun verwerking valt onder de AVG. Dat maakt het onderwerp niet ingewikkeld, maar het vraagt wel om een paar controles die veel organisaties nooit hebben gedaan.

Dit artikel beschrijft het algemene kader. Het vervangt niet de analyse van je functionaris gegevensbescherming of je adviseur, die als enigen je situatie kunnen beoordelen.

Wat in een handtekening onder de AVG valt

De verordening geldt voor gegevens waarmee een natuurlijk persoon direct of indirect te identificeren is. Dat een gegeven zakelijk is, sluit het niet uit.

In een handtekening gaat het om: voor- en achternaam, functie, zakelijk e-mailadres, zakelijk telefoonnummer, afdeling en vestiging, en eventueel een foto.

Dat deze gegevens bedoeld zijn om te worden verspreid, verandert niets aan hun aard: het blijven persoonsgegevens, verwerkt door je organisatie.

De grondslag van de verwerking

Dit is de vraag die het vaakst terugkomt: moet je werknemers om toestemming vragen?

In een arbeidsrelatie is toestemming een zwakke grondslag. Door de gezagsverhouding is moeilijk aan te tonen dat ze vrij is gegeven, en een toestemming die altijd kan worden ingetrokken past slecht bij een bedrijfsbrede voorziening.

De gebruikelijke grondslagen zijn de uitvoering van de arbeidsovereenkomst — de werknemer moet in zijn zakelijke communicatie identificeerbaar zijn — of het gerechtvaardigd belang van de werkgever bij consistente communicatie. De precieze kwalificatie is aan je functionaris gegevensbescherming.

Bij een foto ligt het anders: het tonen daarvan is zelden nodig voor de uitvoering van de overeenkomst, en toestemming is daar vaker de juiste grondslag. Nog een argument om de foto optioneel te laten in plaats van haar via het sjabloon af te dwingen.

Het minimalisatiebeginsel in de praktijk

Artikel 5 schrijft voor dat je de verwerkte gegevens beperkt tot wat nodig is voor het doel. Voor een handtekening komt dat heel eenvoudig neer op: synchroniseer alleen de velden die echt in de handtekening verschijnen.

Toont je sjabloon naam, functie, afdeling en mobiel nummer, dan is er geen enkele reden om de datum van indiensttreding, het personeelsnummer of de leidinggevende op te halen — ook al staan die in de directory en biedt de API ze aan.

Dat is een punt dat bij compliancereviews te controleren is, en ook wordt gecontroleerd. De exacte reikwijdte van wat wij synchroniseren staat op onze pagina beveiliging en AVG.

De relatie met de leverancier: verwerker

Een tool voor handtekeningbeheer verwerkt persoonsgegevens namens je bedrijf. Hij is dus verwerker in de zin van artikel 28, en je bedrijf blijft verwerkingsverantwoordelijke.

Die kwalificatie brengt concrete verplichtingen mee. Er moet een verwerkersovereenkomst worden gesloten, met de doeleinden, de categorieën gegevens, de bewaartermijnen, de beveiligingsmaatregelen en wat er met de gegevens gebeurt aan het einde van het contract. De lijst met eventuele subverwerkers — met name de hostingprovider — moet worden verstrekt. En de leverancier moet je bijstaan bij de uitoefening van rechten of bij een incident.

Vraag deze gegevens schriftelijk op voordat je een contract sluit, bij welke leverancier ook.

De rechten van betrokkenen

Een medewerker kan zijn rechten uitoefenen op de gegevens die over hem gaan. Bij een handtekening komen in de praktijk twee rechten echt voor.

Het recht op rectificatie. Een onjuiste functie, een verouderd nummer. Het operationele antwoord is de directory corrigeren: de handtekening volgt. Dat is een direct voordeel van synchronisatie — zie handtekeningen synchroniseren met de directory.

Het recht van bezwaar. Dat kan een specifiek element betreffen, meestal de foto of een privé mobiel nummer. Daarom is het nuttig optionele velden te voorzien in plaats van een volledig star sjabloon.

Volledige verwijdering is theoretischer: een werknemer kan er geen bezwaar tegen maken dat zijn naam in zijn zakelijke communicatie verschijnt, omdat die identificatie bij de uitvoering van zijn arbeidsovereenkomst hoort.

De vragen die je een leverancier stelt

Vijf vragen, die het grootste deel van een compliancereview afdekken:

1. Welke gegevens worden precies gesynchroniseerd, en kun je de reikwijdte beperken?
2. Wordt op enig moment de inhoud van e-mails ingezien? — zie kan een handtekeningtool je e-mails lezen.
3. Waar worden de gegevens gehost, en onder welke jurisdictie? — zie datasoevereiniteit.
4. Wordt er een verwerkersovereenkomst geleverd, en welke subverwerkers staan erin?
5. Wat gebeurt er met de gegevens aan het einde van het contract, en binnen welke termijn?

De antwoorden moeten op schrift staan. Een leverancier die deze vragen mondeling beantwoordt, biedt je geen bescherming.

Wat geen AVG-kwestie is

Tot slot een nuttige verduidelijking: de campagnebanner in een handtekening is geen verwerking van gegevens van de ontvanger. Je zet hem niet op een lijst en je profileert hem niet; je toont een afbeelding in een bericht dat je medewerker hem hoe dan ook stuurt.

Toch verdient die nuance een advies van je functionaris gegevensbescherming als je banners puur promotioneel worden en je klikken op persoonsniveau gaat volgen — zie de pagina campagnes.