# Zakelijke VPN en de GDPR: wat je als werkgever over je personeel verwerkt > Een zakelijke VPN verwerkt persoonsgegevens van je personeel. Wat de GDPR vraagt: rechtsgrond, informatie, bewaartermijn, verwerkersovereenkomst en beveiliging. Een **zakelijke VPN** verwerkt persoonsgegevens van je medewerkers: wie wanneer verbindt, vanaf welk IP-adres en met welk toestel. Als werkgever ben je voor die gegevens verwerkingsverantwoordelijke in de zin van de GDPR. Dat vraagt een rechtsgrond, informatie aan je personeel, een bewaartermijn die je zelf vastlegt en kunt verantwoorden, en een verwerkersovereenkomst als een externe dienst de VPN levert. Deze gids zet die verplichtingen op een rij, met verwijzingen naar de GDPR en de Gegevensbeschermingsautoriteit. Het is geen juridisch advies. **In het kort** 1. VPN-logboeken met namen, tijdstippen en IP-adressen zijn persoonsgegevens; de werkgever is ervoor verantwoordelijk, ook als een externe dienst ze bijhoudt. 2. Toestemming van werknemers is volgens de Gegevensbeschermingsautoriteit geen geschikte basis voor toezicht op het werk; de beveiliging van het netwerk kan wel een gerechtvaardigd belang zijn, zoals overweging 49 van de GDPR vermeldt. 3. De GDPR legt geen vaste bewaartermijn op: je bepaalt zelf hoelang je VPN-logboeken bewaart en waarvoor, en je informeert je personeel daarover, bijvoorbeeld in het arbeidsreglement. *Of: waarom de VPN die je personeel beschermt, ook over je personeel vertelt* De meeste vragen over [privacy en vertrouwen rond VPN's](/gidsen/vpn-voor-bedrijven/privacy-en-vertrouwen/) gaan over wat de aanbieder van jou weet. Met een zakelijke VPN, op je firewall of als dienst, word jij die aanbieder voor je eigen personeel. Je systeem noteert wie verbindt, wanneer, vanaf welk adres en soms met welk toestel. Dat zijn persoonsgegevens, en de [Gegevensbeschermingsautoriteit](https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/privacy-op-de-werkplek/toezicht-van-de-werkgever/elektronisch-toezicht-op-internet-en-e-mail) heeft duidelijke principes voor elektronisch toezicht op het werk. Het korte antwoord: je mag VPN-logboeken bijhouden om je netwerk te beveiligen, als je dat doel vastlegt, je personeel informeert, niet meer bewaart dan nodig en niet langer dan nodig. Levert een externe dienst de VPN, dan sluit je met die dienst een verwerkersovereenkomst. ## GDPR en VPN-logboeken: wat je verwerkt en waarom ### Wat een zakelijke VPN bijhoudt Wat er precies in de logboeken komt, hangt af van je toestel of je dienst. Kijk het na in de instellingen, want vaak staat er meer aan dan nodig. Gebruikelijke gegevens zijn: - de naam of het e-mailadres van de gebruiker; - het tijdstip van verbinden en verbreken; - het IP-adres van waaruit iemand verbindt, vaak dat van zijn woning; - de naam en het besturingssysteem van het toestel; - het interne adres dat de VPN toekent, en de hoeveelheid gegevens; - bij sommige firewalls ook welke interne servers of toepassingen iemand gebruikte. Een IP-adres van thuis zegt iets over waar iemand woont en wanneer hij werkt. Samen met de tijdstippen vertellen VPN-logboeken dus meer over je medewerkers dan je zou denken. Daar draait de rest van deze pagina om. ### Een rechtsgrond, en welke niet De [GDPR](https://eur-lex.europa.eu/eli/reg/2016/679/oj/nld) kent zes rechtsgronden in artikel 6. Voor VPN-logboeken komen er twee in aanmerking. - **Gerechtvaardigd belang** (artikel 6, lid 1, f). Overweging 49 noemt de beveiliging van netwerken en informatie uitdrukkelijk als een mogelijk gerechtvaardigd belang. Je moet dat belang wel afwegen tegen de privacy van je medewerkers, en die afweging opschrijven. - **Wettelijke verplichting** (artikel 6, lid 1, c), als een wet je verplicht om logboeken bij te houden, bijvoorbeeld wanneer je onder de NIS2-regels valt en logboeken deel uitmaken van je beveiligingsmaatregelen. Toestemming valt af. Volgens de Gegevensbeschermingsautoriteit kan een werknemer die door zijn ondergeschikte positie niet vrij geven. In België geldt daarnaast cao nr. 81 over de controle van elektronische onlinecommunicatiegegevens van werknemers. Ze laat controle toe voor afgebakende doelen, waaronder de beveiliging en de goede technische werking van de netwerksystemen van het bedrijf, en legt drie principes op: een duidelijk doel, evenredigheid en transparantie. De controle gebeurt in principe globaal, niet per persoon. Of jouw VPN-logboeken onder die cao vallen, hangt af van wat ze bevatten; zodra ze tonen welke diensten of sites iemand gebruikte, zit je er volop in. Laat dat bij twijfel nakijken door je sociaal secretariaat of een jurist. ### Informeren en documenteren - **Informeer je personeel** (artikel 13): wat je bijhoudt, waarom, hoelang en wie erbij kan. De Gegevensbeschermingsautoriteit noemt het arbeidsreglement de bron van informatie bij uitstek; een ICT-beleid of een clausule in de arbeidsovereenkomst kan ook. - **Hou een register bij** (artikel 30). De uitzondering voor organisaties met minder dan 250 werknemers geldt niet voor verwerkingen die niet occasioneel zijn, en VPN-logboeken lopen elke dag. - **Beveilig de logboeken zelf** (artikel 32). Een bestand dat toont wie van waar en wanneer werkt, is interessant voor een inbreker. Beperk de toegang tot wie het echt nodig heeft. - **Denk aan een effectbeoordeling** (artikel 35) als je verder gaat dan verbindingsgegevens en het gebruik van je medewerkers stelselmatig volgt. ### Hoelang je bewaart Artikel 5 van de GDPR zegt dat je gegevens niet langer bewaart dan nodig voor het doel. Een vaste termijn voor VPN-logboeken staat er niet in, en ook de Gegevensbeschermingsautoriteit noemt er geen op haar pagina over toezicht op het werk. Je kiest dus zelf. Kies een termijn die je kunt uitleggen vanuit je doel, bijvoorbeeld de tijd die je nodig hebt om een verdachte aanmelding op te merken en te onderzoeken, schrijf hem op, en zorg dat je systeem oudere logboeken ook echt wist. Neem een kinesitherapiepraktijk met vier medewerkers die van thuis de agenda raadplegen. Daar volstaan de basisgegevens van verbinden en verbreken. Een bouwbedrijf met dertig mensen en een firewall op kantoor die ook bijhoudt welke interne servers iemand opent, verwerkt veel meer, en moet die extra gegevens ook kunnen verantwoorden. ### Een externe VPN-dienst Levert een externe dienst de VPN, dan verwerkt die de gegevens in jouw opdracht. Artikel 28 vraagt dan een verwerkersovereenkomst, die bij zakelijke diensten meestal als standaarddocument klaarligt. Zit de dienst buiten de EU, dan telt ook de doorgifte. Voor Zwitserland is er een adequaatheidsbesluit van de Europese Commissie, voor de Verenigde Staten alleen voor bedrijven die aan het EU-US Data Privacy Framework deelnemen. In andere gevallen zijn extra waarborgen nodig, zoals de standaardcontractbepalingen van de Commissie. > **Kmo-Kristof:** Onze VPN-dienst bewaart niets. Dat staat op hun site. Dus ik heb geen GDPR-probleem. > > **Security-Sofie:** Hun privacydienst bewaart niets over je surfgedrag. Jouw beheerpaneel toont wel wie wanneer inlogde. > > **Kmo-Kristof:** Dat is toch handig? > > **Security-Sofie:** Heel handig. Daarom staat het in je register, en weet je personeel ervan. {.dialoog} ### De aanbieder die niets bewaart Een privacy-VPN belooft geen logboeken, een zakelijke VPN heeft er vaak nodig. Wat die belofte bij een aanbieder dekt, lees je bij [een VPN zonder logboeken](/gidsen/vpn-voor-bedrijven/privacy-en-vertrouwen/no-logs-vpn/). ### Als justitie je logboeken vraagt Wat je bewaart, kan ook gevraagd worden, bijvoorbeeld als een account van je zaak in een fraudezaak opduikt. Hoe dat verloopt, staat bij [een vordering van het gerecht](/gidsen/vpn-voor-bedrijven/privacy-en-vertrouwen/vpn-en-justitie/). ### Waar de aanbieder zit De zetel van een externe dienst bepaalt welke regels voor doorgifte gelden. Welke aanbieders in Europa gevestigd zijn, lees je bij [aanbieders met een Europese zetel](/gidsen/vpn-voor-bedrijven/privacy-en-vertrouwen/europese-vpn/). --- Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).