# De VPN op je werklaptop: wat je werkgever ziet en wat hij mag controleren

> Wat een werkgever technisch ziet via de bedrijfs-VPN en het beheer van een werklaptop, en wat hij in België mag controleren volgens cao nr. 81 en de GDPR.

Via de **VPN op je werklaptop** loopt je verkeer langs het netwerk van je werkgever, en dat laat sporen na: met welke adressen je laptop verbinding maakt, wanneer en hoeveel. De inhoud van versleutelde HTTPS-verbindingen blijft meestal verborgen, tenzij de werkgever die openbreekt met een eigen certificaat op de laptop. Wat hij met die gegevens mag doen, regelen in België cao nr. 81 en de GDPR: een gerechtvaardigd doel, niet meer dan nodig, en vooraf uitgelegd. Deze gids zet de techniek en de regels naast elkaar, voor werkgevers en werknemers.

**In het kort**

1. Met een bedrijfs-VPN die al het verkeer doorstuurt, kan de werkgever zien met welke adressen en domeinen een laptop verbinding maakt; de inhoud van HTTPS-verkeer ziet hij alleen als hij die met een eigen certificaat openbreekt.
2. Beheersoftware zoals Microsoft Intune toont op een laptop van de zaak onder meer alle geïnstalleerde apps, maar volgens Microsoft geen surfgeschiedenis, e-mails of de inhoud van documenten.
3. Cao nr. 81 staat controle van elektronische communicatiegegevens alleen toe voor vier doelen, met voorafgaande informatie aan de werknemers en eerst op een algemene, niet-individuele manier.


*Of: waarom de werkgever de envelop ziet, en de brief meestal niet*

Een werklaptop is een werkinstrument, en een bedrijfs-VPN is de gang tussen dat instrument en het netwerk van de zaak. Wie [het thuiswerk van zijn mensen](/gidsen/vpn-voor-bedrijven/thuiswerken/) zo organiseert, stuurt verkeer langs toestellen die de werkgever beheert. Wat daar zichtbaar wordt, is een technische vraag. Wat ermee mag gebeuren, is een juridische, en de Gegevensbeschermingsautoriteit legt op haar [pagina over elektronisch toezicht](https://www.gegevensbeschermingsautoriteit.be/burger/thema-s/privacy-op-de-werkplek/toezicht-van-de-werkgever/elektronisch-toezicht-op-internet-en-e-mail) uit welke regels gelden.

Kort: via de VPN ziet de werkgever vooral de envelop, namelijk met welke sites en servers de laptop praat, wanneer en hoeveel. De brief zelf, de inhoud van een beveiligde verbinding, blijft meestal dicht. Beheer- en beveiligingssoftware op een laptop van de zaak kan meer tonen. En wat hij mag bekijken, is in België strikt omschreven: een beperkt aantal doelen, vooraf uitgelegd, en eerst zonder namen.

## Kan je werkgever zien wat je doet via de VPN?

### Wat de VPN zelf toont

Een bedrijfs-VPN kan op twee manieren ingesteld zijn. Bij een volledige tunnel gaat al het verkeer van de laptop via de zaak, ook het privésurfen tijdens de middagpauze. Bij een gesplitste tunnel gaat alleen het verkeer naar de systemen van de zaak door de VPN, en de rest rechtstreeks naar internet.

In het eerste geval kan de firewall van de werkgever bijhouden met welke adressen en domeinnamen de laptop verbinding maakt, op welk moment en met hoeveel gegevens. De inhoud van HTTPS-verbindingen is versleuteld. Om die te lezen, moet de firewall het verkeer openbreken en opnieuw versleutelen, wat fabrikanten als Fortinet „deep inspection” noemen. Dat lukt alleen als er een certificaat van de werkgever op de laptop geïnstalleerd is; Fortinet beschrijft in zijn [documentatie](https://docs.fortinet.com/document/fortigate/8.0.0/administration-guide/122078/deep-inspection) hoe je dat op de toestellen zet. Op een beheerde laptop kan dat gebeuren zonder dat de gebruiker er iets van merkt.

### Wat het beheer van de laptop toont

Een laptop van de zaak wordt vaak beheerd met software zoals Microsoft Intune. Microsoft somt in zijn [uitleg voor gebruikers](https://learn.microsoft.com/nl-nl/intune/user-help/enrollment/data-visibility) op wat de organisatie via Intune nooit ziet: de surf- en belgeschiedenis, e-mails en berichten, contacten, agenda, wachtwoorden, foto's en de inhoud van documenten. Wat ze wel ziet: het model, het serienummer, het besturingssysteem en, op een toestel van de zaak, alle geïnstalleerde apps. Een verloren laptop van de zaak kan ze lokaliseren. Op Windows-toestellen van de zaak kan ze bovendien onder meer bestandsnamen, actieve processen en logboeken opvragen.

Dat is het verhaal van één programma. Een beveiligingspakket dat aanvallen opspoort of een webfilter kan meer bijhouden. Wat er precies gelogd wordt, hangt af van de software die de zaak gebruikt, en precies dat moet de werkgever vooraf uitleggen.

### Wat de werkgever mag: cao nr. 81

Cao nr. 81 van 26 april 2002, gesloten in de Nationale Arbeidsraad, regelt de controle van „elektronische on-linecommunicatiegegevens” op het werk. De [tekst van de cao](https://cnt-nar.be/sites/default/files/documents/CAO-COORD/cao-081.pdf) bevestigt dat de werkgever het werkinstrument mag controleren, maar alleen voor vier doelen:

1. ongeoorloofde of lasterlijke feiten voorkomen, en feiten die strijdig zijn met de goede zeden of de waardigheid van anderen kunnen schaden;
2. vertrouwelijke economische, handels- en financiële belangen van de onderneming beschermen;
3. de veiligheid en de goede technische werking van het IT-netwerk verzekeren, met inbegrip van de kosten;
4. nagaan of de regels voor het gebruik van online technologie te goeder trouw worden nageleefd.

Daarbij gelden drie beginselen: een duidelijk doel, niet meer controle dan nodig, en transparantie. De werkgever informeert vooraf de ondernemingsraad, of bij gebrek daaraan het comité voor preventie en bescherming, de vakbondsafvaardiging of anders de werknemers zelf. Elke werknemer krijgt uitleg over het controlebeleid, het doel, of en hoe lang gegevens bewaard worden, en of de controle permanent is.

De controle gebeurt eerst algemeen, zonder de gegevens aan een persoon te koppelen. Pas bij een vastgestelde onregelmatigheid mag de werkgever ze individualiseren: rechtstreeks voor de eerste drie doelen, en voor het vierde pas na een voorafgaande waarschuwing aan de werknemers. Het verslag bij de cao preciseert dat alleen de communicatiegegevens geïndividualiseerd mogen worden, niet de inhoud, tenzij de werknemer daarmee akkoord gaat. De werknemer wordt uitgenodigd voor een gesprek voor er een beslissing valt. Voor telewerkers verwijst cao nr. 85 uitdrukkelijk naar dezelfde regels.

De GDPR geldt daarnaast gewoon. De Gegevensbeschermingsautoriteit aanvaardt de toestemming van een werknemer niet als rechtsgrond voor zulk toezicht, omdat ze betwijfelt of die in een ondergeschikte positie vrij gegeven kan worden. Dit is een samenvatting, geen juridisch advies: wie een controlesysteem invoert, laat zijn aanpak nalezen door zijn sociaal secretariaat of een jurist.

> **Kmo-Kristof:** Met de VPN zie ik dus alles wat mijn mensen doen.
>
> **Security-Sofie:** Je ziet met welke sites hun laptop praat. Niet wat ze daar lezen.
>
> **Kmo-Kristof:** Dat is al veel.
>
> **Security-Sofie:** Daarom moet je het hen eerst vertellen, met het doel erbij. Anders heb je een logboek dat je niet mag openen.
{.dialoog}

### Een eigen VPN op je werklaptop

Werknemers vragen zich soms af of ze een privé-VPN op hun werklaptop mogen zetten. Technisch verandert dat weinig aan wat de werkgever ziet: het beheer van de laptop toont de geïnstalleerde app, en het verkeer naar de VPN-server blijft zichtbaar. Een tweede VPN kan bovendien botsen met die van de zaak. Op een beheerde laptop beslist de IT-regeling van de zaak, dus vraag het eerst.

### Wat je op papier zet

Het controlebeleid hoort in de afspraken met je thuiswerkers, net als de regels voor privégebruik. Welke IT-punten daar verder in horen, lees je bij [de IT-afspraken voor thuiswerk](/gidsen/vpn-voor-bedrijven/thuiswerken/thuiswerkafspraken/).

### Als de VPN verdwijnt

Werkt je zaak volledig in de cloud, dan verschuift de controle van de VPN naar de aanmelding bij die diensten. Hoe dat werkt, staat bij [cloudtoegang zonder bedrijfs-VPN](/gidsen/vpn-voor-bedrijven/thuiswerken/cloud-zonder-vpn/).

### Of er wel een VPN nodig is

Een VPN die niemand nodig heeft, levert ook geen controle op die iemand nodig heeft. Wanneer hij nuttig is, lees je bij [wanneer thuiswerk een VPN vraagt](/gidsen/vpn-voor-bedrijven/thuiswerken/vpn-thuiswerken/).


---

Deze pagina bevat affiliatielinks. Sluit je via zo'n link een abonnement of aankoop af, dan kan keek.be een commissie ontvangen, zonder extra kosten voor jou. Dat verandert niets aan de beoordeling in dit artikel. [Meer in de algemene voorwaarden](https://www.keek.be/algemene-voorwaarden/#affiliatie).