BYOD (Bring Your Own Device)

De eigen smartphone ook voor zakelijke e-mail gebruiken is voor veel medewerkers handig. Voor bedrijven roept het vragen op: van wie zijn de gegevens, wie mag ze wissen en wat gebeurt er bij vertrek? Dit item legt BYOD uit, onderscheidt het van andere apparaatmodellen en toont de gevolgen voor gegevensbescherming en offboarding.

BYOD en andere apparaatmodellen

Model	Eigendom van het apparaat	Privégebruik
BYOD – Bring Your Own Device	Medewerkers	Ja, het apparaat is privé
CYOD – Choose Your Own Device	Bedrijf; keuze uit een apparatenlijst	Afhankelijk van de regeling
COPE – Corporate Owned, Personally Enabled	Het bedrijf	Toegestaan, in een gescheiden gedeelte
COBO – Corporate Owned, Business Only	Het bedrijf	Nee

Hoe meer het apparaat eigendom van het bedrijf is, hoe eenvoudiger het te beheren, terug te vorderen en aantoonbaar te wissen is.

Gegevensbescherming bij BYOD

Staan zakelijke e-mails, contacten of documenten op een privéapparaat, dan blijft het bedrijf verwerkingsverantwoordelijke in de zin van de AVG. Het moet de gegevens met passende maatregelen beschermen zonder onevenredig in de privacy in te grijpen. Bewezen maatregelen zijn:

• Scheiding van gegevens: Zakelijke apps en gegevens draaien in een gescheiden gedeelte, bijvoorbeeld in het Android-werkprofiel of via de gebruikersinschrijving bij Apple.
• Apparaatbeheer met gevoel voor verhoudingen: Een Mobile Device Management of een app-beheer, bijvoorbeeld met Microsoft Intune, beheert alleen het zakelijke gedeelte.
• Duidelijke afspraak: Een gebruiksrichtlijn regelt verplichtingen, controlerechten en de werkwijze bij verlies en vertrek. Bestaat er een ondernemingsraad, dan moet deze doorgaans worden betrokken.

Gaat een privéapparaat met bedrijfsgegevens verloren, dan kan dat een Datalek zijn die moet worden gemeld.

BYOD bij offboarding

Verlaat een medewerkster het bedrijf, dan houdt zij haar apparaat. Het bedrijf kan het zakelijke gedeelte verwijderen met een selectieve Remote wipe maar kan niet het hele apparaat wissen. Een certificaat per gegevensdrager, zoals gebruikelijk bij bedrijfseigen apparaten, bestaat hiervoor niet. Bovendien blijft onduidelijk of zakelijke gegevens in privé-back-ups of cloudaccounts terecht zijn gekomen. De gebruiksovereenkomst moet daarom bepalen dat medewerkers de verwijdering bevestigen. Een volledige lijst van de stappen bij vertrek vindt u in onze offboarding-checklist.

BYOD en Second IT

Viele Unternehmen setzen wegen dieser Nachweislücke auf firmeneigene Geräte. Für sie bietet Second IT eine nachweisbare Ausmusterung: Abholung mit eigener Sicherheitslogistik, Löschung von Smartphones, Tablets und Notebooks mit Blancco und ein digital signiertes Löschzertifikat je Gerät. Mehr zur gecertificeerde gegevensvernietiging.

Veelgestelde vragen over BYOD

Is BYOD toegestaan onder de AVG?

Ja, de AVG verbiedt BYOD niet. Het bedrijf moet echter de zakelijke gegevens beschermen en de privacy van medewerkers respecteren. In de praktijk lukt dat met gescheiden gedeelten, apparaat- of app-beheer en een schriftelijke overeenkomst.

Mag de werkgever een privéapparaat op afstand wissen?

Een privéapparaat volledig wissen is delicaat, omdat daarbij ook privégegevens verloren gaan. Gebruikelijk is een selectieve wisbewerking van alleen het zakelijke gedeelte. Wat is toegestaan, moet vooraf in de gebruiksovereenkomst staan.

Wat is het verschil tussen BYOD en COPE?

Bij BYOD is het apparaat eigendom van de medewerkers. Bij COPE is het eigendom van het bedrijf, maar privégebruik is toegestaan. COPE-apparaten kunnen uiteindelijk volledig worden teruggevorderd en gecertificeerd gewist.

Wat gebeurt er bij BYOD met bedrijfsgegevens wanneer medewerkers vertrekken?

Het apparaat blijft bij de medewerkers. Het bedrijf kan het zakelijke gedeelte met een selectieve remote wipe verwijderen, maar kan niet het hele apparaat wissen. Onduidelijk blijft of gegevens in privé-back-ups of cloudaccounts terecht zijn gekomen. De gebruiksovereenkomst moet de bevestiging van de verwijdering regelen.

Hoe kunnen privé- en zakelijke gegevens bij BYOD worden gescheiden?

Zakelijke apps en gegevens draaien in een gescheiden gedeelte, bijvoorbeeld in het Android-werkprofiel of via de gebruikersinschrijving bij Apple. Mobile Device Management of een app-beheer zoals Microsoft Intune beheert dan alleen het zakelijke deel van het apparaat.