Een medewerker vertrekt: wat met zijn mailbox, accounts en bestanden?

Bij een vertrek denkt iedereen aan het afscheidsdrankje, de laatste loonbrief en de sleutels. Aan de digitale sleutels denkt bijna niemand. Nochtans heeft een ex-medewerker vaak nog weken toegang tot mail, gedeelde mappen, de boekhouding of sociale media.

Wat de privacywaakhond zegt

De Belgische Gegevensbeschermingsautoriteit (GBA) is daar al jaren streng over, en herhaalde dat in een beslissing van oktober 2025. Samengevat:

• De mailbox wordt uiterlijk op de dag van het vertrek gedeactiveerd.
• Een automatisch antwoord meldt dat de persoon vertrokken is, met een ander contactadres.
• De ex-medewerker wordt daarover geïnformeerd.
• Mailbox en automatisch antwoord worden na een redelijke termijn verwijderd: in principe één maand, uitzonderlijk tot drie maanden, gemotiveerd en gecommuniceerd.
• Voor een gsm-nummer van het werk gelden dezelfde principes.

Een mailbox onbeperkt openhouden, "voor het geval er nog iets binnenkomt", is volgens de GBA dus niet in orde.

Dit is uitleg, geen juridisch advies. Leg je aanpak vast in je arbeidsreglement of IT-beleid.

Het beveiligingsrisico

Een account dat blijft bestaan, is een deur die openstaat. Ook als de ex-medewerker er niets mee doet: een vergeten account met een oud wachtwoord en zonder tweestapsverificatie is precies wat aanvallers zoeken. Zie cybersecurity voor je zaak.

Waar het in de praktijk misloopt

• Niemand weet welke accounts er zijn. Mail, ja. Maar ook de webshop, de boekhouding, de bank, Facebook, de leverancierportalen?
• Gedeelde wachtwoorden. Iedereen kende het wachtwoord van de Instagram-account. Na een vertrek moet het overal veranderd worden.
• Bestanden in een persoonlijke map. Wie zijn werk in zijn eigen Drive of OneDrive bewaarde, laat bij vertrek een gat na. Zie gedeelde mappen in plaats van bestanden mailen.
• Laptop en gsm. Teruggegeven, maar niet gewist. Of wel gewist, maar met de enige kopie van een klantendossier erop.

Wat je vooraf regelt

Een vlot vertrek begint bij de aanwerving:

• Bedrijfsbestanden staan in gedeelde mappen, niet in persoonlijke.
• Wachtwoorden zitten in een gedeelde wachtwoordmanager, zodat je weet welke accounts er zijn. Zie een wachtwoordmanager invoeren.
• Gedeelde adressen zoals info@ zijn gedeelde mailboxen, geen persoonlijk adres dat doorgestuurd wordt.
• Je arbeidsreglement of IT-beleid zegt wat er met mail en toestellen gebeurt bij vertrek.

Hoe we het aanpakken

We maken met je een vaste vertrekprocedure op maat van je zaak: welke accounts, wie wat overneemt, wanneer de mailbox dicht gaat en wat er met de toestellen gebeurt. Bij een vertrek voeren we ze uit in Google Workspace of Microsoft 365, zodat niets blijft openstaan en niets verloren gaat.

Veelgestelde vragen

Bronnen

1. Deactivatie van mailbox en gsm-nummer na uitdiensttreding: GBA herhaalt strenge richtlijnen — Claeys & Engels via Legal News
2. What are shared drives? — Google Workspace Help

Gecontroleerd op 23 oktober 2026. Regels en prijzen veranderen; kijk bij twijfel de bron na.