De bestuurder mag het internet- en e-mailgebruik van werknemers controleren, maar hij mag werknemers niet zomaar in het geheim bespioneren. Hij moet daarover duidelijk afspraken maken, de werknemers vooraf op de hoogte stellen én instemming van de ondernemingsraad (OR) hebben.
Wil de bestuurder overgaan tot controle van het internet- en e-mailgebruik van werknemers, dan kan hij de regels daarvoor het beste vastleggen in de gedragscode van het personeelsreglement van de organisatie. De bestuurder moet hierin duidelijk uitleggen met welk doel hij het internet- en e-mailgebruik controleert. Denk hierbij aan het voorkomen van virussen, beschermen van bedrijfsgeheimen en tegengaan van seksuele intimidatie via internet. Daarnaast moet ook duidelijk zijn hoe die controle plaatsvindt, wat er met de gegevens gebeurt en wie er toegang toe heeft. De controle moet namelijk wel voldoen aan de eisen uit onder andere de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG).
Behalve met de AVG heeft de bestuurder ook te maken met de Wet op de ondernemingsraden (WOR). De WOR verplicht de bestuurder om een regeling over voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties, voor instemming aan de OR voor te leggen (artikel 27, lid 1l WOR). Voor de OR is het zaak om bij de ontvangst van de instemmingsaanvraag eerst goed te bekijken of alle benodigde informatie bijgevoegd is. De OR moet immers kunnen beoordelen of de voorgenomen aanpak overeenkomt met de wetgeving en de privacy van de achterban voldoende beschermd blijft. Is de aanvraag onvolledig, dan kan de OR bij de bestuurder aangeven wat eraan ontbreekt en vragen om een nieuw en aangevuld instemmingsverzoek.
Tijdens het overleg dat de OR met de bestuurder voert over de controle van het internet- en e-mailgebruik van werknemers, is het van belang dat de OR achterhaalt wat de reden voor de controle is. Het is immers een ingrijpende maatregel. Daar moet dus wel echt een noodzaak voor zijn. Mogelijk is er een goed, maar minder ingrijpend alternatief beschikbaar, waarmee de bestuurder zijn doel ook kan realiseren. De bestuurder is verplicht zulke alternatieven te onderzoeken. De OR moet de bestuurder er in ieder geval van zien te overtuigen de privacy van werknemers zo veel mogelijk te beschermen. Ook kan de OR de bestuurder erop attenderen hoe zulke maatregelen mogelijk overkomen op de achterban. Zo kunnen zulke controles erg wantrouwend overkomen. Het is de vraag of dat het signaal is dat de bestuurder wil afgeven. In dat kader is dus ook de communicatie rond de invoering van zulke maatregelen van groot belang. Het moet voor de achterban duidelijk zijn wanneer welke controle precies plaatsvindt en met welk doel. Ook over deze communicatie kan de OR meedenken met de bestuurder.