Kan mijn werkgever zien welke sites ik bezoek? Per apparaat

Het antwoord hangt af van twee dingen: wie eigenaar is van het apparaat in je hand, en van wie het netwerk is waarmee het verbonden is. Incognitomodus en het verwijderen van je geschiedenis veranderen niets.

Kort antwoord: op een apparaat van je werk moet je ervan uitgaan dat je werkgever de websites kan zien die je bezoekt, op elk netwerk en ook in incognitomodus. Op je eigen apparaat op de wifi van je werk kan het bedrijf zien welke sites je bezoekt, maar niet de pagina's. Op je eigen apparaat met je eigen verbinding kan je werkgever je browsegedrag niet zien.

Wat je werkgever in elke situatie kan zien

Kan mijn werkgever mijn browsegeschiedenis zien op een werkcomputer of werktelefoon?

Ja. Op een apparaat dat het bedrijf beheert, gebeurt het vastleggen niet in de browser, dus niets wat je in de browser doet, haalt het weg.

Op een beheerde computer draait meestal beveiligingssoftware die rapporteert aan het bedrijf. In Microsoft Defender voor Eindpunt is de functie webcontentfiltering bedoeld om "toegang tot websites te volgen en te reguleren", werkt ze op beheerde apparaten "of gebruikers nu op jouw netwerk zijn of niet aanwezig zijn", en krijgen beheerders rapporten met de domeinen die zijn bezocht of geblokkeerd.

Speciale monitoringproducten gaan verder. Een memo uit 2022 van de general counsel van de Amerikaanse National Labor Relations Board beschreef werkgevers die "de computers van werknemers in de gaten houden met keyloggers en software die de hele dag schermafbeeldingen, webcamfoto's of geluidsopnamen maakt". Het memo werd in februari 2025 ingetrokken, maar de beschreven hulpmiddelen worden nog steeds verkocht.

Telefoons van het bedrijf werken op dezelfde manier. Op een Android-telefoon die eigendom is van het bedrijf kan de beheer-app netwerklogboeken aanzetten, die elke DNS-lookup en elke verbindingspoging vastleggen, samen met de app die ze deed. Op een iPhone van het bedrijf laat Apple de organisatie webverkeer via een eigen proxy sturen, zowel op het werk of op school als thuis, en Apple's pagina over apparaten onder toezicht zegt dat je in je instellingen een bericht kunt zien "dat je organisatie je internetverkeer kan volgen".

Daarom blijft het antwoord voor een werkapparaat ja, ook thuis en buiten het bedrijfsnetwerk. De monitoring reist mee met het apparaat.

Kan mijn werkgever zien wat ik op mijn eigen telefoon bezoek via de wifi van het werk?

Gedeeltelijk. Wie een netwerk beheert, kan vastleggen met welke sites elk apparaat verbinding maakt, hoe laat, en hoeveel data er gaat. Met HTTPS kan het netwerk de specifieke pagina, je zoekopdrachten en alles wat je typt niet zien. Een bedrijfsfirewall weet dat je telefoon om 13.15 uur verbinding maakte met een vacaturesite. Hij weet niet welke vacature je opende.

Er is één uitzondering. Veel bedrijven gebruiken TLS-inspectie, waarbij een beveiligingsgateway HTTPS-verkeer ontsleutelt, leest en weer versleutelt. De documentatie van Cloudflare voor de eigen gateway beschrijft het proces (Engelstalig) zonder omwegen: de gateway zal "al het verkeer dat via HTTPS wordt verstuurd ontsleutelen, je HTTP-beleid toepassen en het verzoek daarna opnieuw versleutelen". Dit werkt alleen op apparaten waarop het rootcertificaat van het bedrijf is geïnstalleerd en vertrouwd. Werkapparaten hebben dat. Je eigen telefoon niet, tenzij je een certificaat of profiel hebt geïnstalleerd om op de wifi van kantoor te komen. Heb je dat gedaan, dan kan het bedrijf op dat netwerk de inhoud van je browsegedrag lezen. Heb je alleen een wifi-wachtwoord ingetypt, dan ziet het de namen van sites en verder niets, hetzelfde beeld dat elke wifi-eigenaar krijgt, zoals we laten zien in wat de eigenaar van de wifi kan zien. Op mobiele data ziet het helemaal niets.

Kan mijn werkgever mijn browsegeschiedenis thuis op mijn eigen apparaat zien?

Nee. Op een eigen computer of telefoon zonder werksoftware, verbonden met je internet thuis of mobiele data, heeft je werkgever geen technische manier om de sites te zien die je bezoekt.

Drie dingen halen je uit deze veilige situatie:

• Werkaccounts. Alles wat je in een werkaccount doet, is zichtbaar voor het bedrijf, op welk apparaat je ook zit. Dat geldt voor werkmail, bestanden en chat, zoals we uitleggen in whether your boss can read your Slack messages (in het Engels).
• Een werkprofiel in je browser. Als je met een werkaccount inlogt bij Chrome, kan dat browserprofiel worden beheerd. Google zegt dat de beheerder van een beheerde browser "bepaalde functies [kan] instellen of beperken, extensies installeren, activiteit controleren en beheren hoe je Chrome gebruikt". Houd persoonlijk browsen in een apart persoonlijk profiel.
• De VPN van het bedrijf. Zolang een VPN van het bedrijf verbonden is, gaat een deel of al je verkeer via het bedrijfsnetwerk, waar het wordt vastgelegd zoals al het kantoorverkeer. Verbreek de verbinding als je klaar bent met werken.

Wat kan MDM zien op een eigen telefoon?

Minder dan de meeste mensen vrezen, als de telefoon is ingeschreven zoals Apple en Google dat voor persoonlijke apparaten bedoelen.

iPhone en iPad. Apple publiceert een tabel met wat elke inschrijvingsmethode toestaat. De Safari-geschiedenis bekijken staat bij elke methode als niet toegestaan, ook bij volledig eigendom van het bedrijf. Hetzelfde geldt voor het bekijken van persoonlijke e-mail, berichten en logs van telefoongesprekken. Met accountgebonden gebruikersinschrijving, de methode die Apple heeft ontworpen voor apparaten die eigendom zijn van de werknemer, kan het bedrijf ook geen lijst van je persoonlijke apps opvragen, geen VPN voor het hele apparaat instellen en niet de hele telefoon wissen.

De sterkere inschrijvingstypen staan meer toe. Is je iPhone ingeschreven met een volledig apparaatprofiel, dan kan het bedrijf alle geïnstalleerde apps opvragen en een VPN voor het apparaat instellen. Apple's documentatie vermeldt dat netwerkactiviteit kan worden gevolgd en gefilterd als verkeer via een VPN loopt. Het bedrijf kan de geschiedenis van Safari nog steeds niet openen, maar het kan wel verkeer vastleggen dat door zijn tunnel gaat.

Android. Een werkprofiel splitst de telefoon in tweeën. Google's Android Enterprise Help zegt: "Apps en gegevens in je persoonlijke profiel zijn niet zichtbaar voor je organisatie." Het bedrijf kan de apps in het werkprofiel zien, het beheerde account en netwerkactiviteit van werk-apps, plus apparaatgegevens zoals model, serienummer en telefoonnummer. Een VPN die in het werkprofiel is ingesteld, leidt geen verkeer van je persoonlijke apps om.

Voor al het andere wat een bedrijf wel en niet kan zien op je eigen telefoon, van sms'jes tot foto's, lees can my employer see my personal phone (in het Engels).

Kunnen werk-apps zoals Okta, Outlook of Bedrijfsportal zien wat ik bezoek?

Een werk-app op je eigen telefoon installeren geeft je werkgever niet je browsegeschiedenis. Wat elke app doorgeeft, is gedocumenteerd.

• Bedrijfsportal (Microsoft Intune). Microsoft's pagina over welke gegevens je organisatie kan zien als je een apparaat registreert, zet "Oproep- en browsegeschiedenis" onder wat je organisatie niet ziet, samen met e-mail, sms-berichten, contactpersonen, foto's en wachtwoorden. Ze kan wel de eigenaar, naam, het model, serienummer en besturingssysteem van het apparaat zien, en op een persoonlijk apparaat de werk-apps die ze beheert en de laatste vier cijfers van je telefoonnummer.
• Okta Verify. Okta's lijst van gegevens die Okta Verify verzamelt (Engelstalig) bestaat uit de apparaatnaam, het model, de fabrikant, het platform, de versie van het besturingssysteem, een app-ID, het e-mailadres waarmee je je inschrijft en app-logs. Browsegeschiedenis staat er niet in. Okta regelt je aanmeldingen bij werk-apps, dus die aanmeldingen zijn wat het ziet.
• Outlook en Teams. Links waarop je tikt in werk-apps kunnen openen in een werkbrowser. Microsoft's gids voor het beheren van Edge op telefoons zegt dat als Outlook en Microsoft Teams worden beveiligd door beveiligingsbeleid voor apps, "openen die apps koppelingen in Microsoft Edge", waar een werkaccount en een persoonlijk account gescheiden blijven en het bedrijf de regels voor de werkkant bepaalt. Behandel alles wat je vanuit een werk-app opent als browsen voor je werk. Persoonlijke zoekopdrachten typ je in je eigen browser.

De uitzondering is de volledig beheerde telefoon van het bedrijf die hierboven al aan bod kwam, waar webverkeer via het eigen filter of de eigen VPN van het bedrijf kan lopen.

Wat betekent "Je organisatie kan het netwerkverkeer bijhouden"?

Android toont onderaan Snelle instellingen een melding op telefoons waarop wordt meegekeken, en de tekst vertelt je in welke situatie je zit. De teksten hieronder komen uit de eigen systeemteksten van Android:

• "Je organisatie is eigenaar van dit apparaat en kan het netwerkverkeer bijhouden." Een telefoon van het bedrijf die volledig wordt beheerd. Ga ervan uit dat overal de regels voor werkapparaten gelden.
• "Je organisatie kan het netwerkverkeer in je werkprofiel bijhouden." Een werkprofiel op je telefoon. Het gaat om de werk-apps, niet om je persoonlijke apps.
• "Netwerk kan worden bijgehouden." Er is een certificeringsinstantie op het apparaat geïnstalleerd. De uitleg van Android luidt: "Je beveiligde netwerkverkeer kan worden bijgehouden of aangepast." Heb je die niet zelf bewust geïnstalleerd, zoek hem dan op met de stappen voor certificaten hieronder.

Op een iPhone zegt Apple dat een apparaat onder toezicht in de instellingen een bericht kan tonen dat je organisatie je internetverkeer kan volgen en je apparaat kan lokaliseren.

Zo controleer je of je apparaat wordt beheerd of geïnspecteerd

1. iPhone of iPad. Open Instellingen. Een apparaat onder toezicht toont bovenaan de hoofdpagina van Instellingen een melding over het toezicht. Ga daarna naar Instellingen > Algemeen > VPN- en apparaatbeheer en tik op een profiel om te zien wat het beheert, inclusief certificaten en VPN-instellingen. Certificaten die je zelf hebt geïnstalleerd, staan onder Instellingen > Algemeen > Info > Vertrouwen van certificaten.
2. Mac. Open Systeeminstellingen > Algemeen > Apparaatbeheer. Een lege lijst betekent dat er geen configuratieprofielen zijn geïnstalleerd.
3. Android. Trek Snelle instellingen omlaag en lees onderaan of er een van de meldingen hierboven staat. Kijk daarna bij de accounts in Instellingen of er een tabblad voor werk is, wat betekent dat er een werkprofiel bestaat. Voor certificaten open je Instellingen > Beveiliging en privacy > Meer beveiligingsinstellingen > Versleuteling en inloggegevens en bekijk je Gebruikersgegevens en de door de gebruiker toegevoegde certificaten in de lijst met vertrouwde certificaten. De namen van menu's verschillen per telefoonmerk.
4. Windows. Open Instellingen > Accounts > Toegang tot werk of school. Een gekoppeld werkaccount staat daar.
5. Chrome. Open het menu rechtsboven. Staat er onderaan Beheerd door je organisatie, dan wordt de browser beheerd. Google's Help-pagina verwijst ook naar chrome://management, waar staat wat de beheerder heeft ingesteld. In Microsoft Edge toont edge://policy elk beleid dat op de browser is toegepast.
6. Elke browser, elk apparaat. Open een bekende HTTPS-site, klik op het icoon naast het adres en bekijk het certificaat. Kijk wie het heeft uitgegeven. Een openbare certificeringsinstantie is normaal. Staat er de naam van je bedrijf of van een beveiligingsproduct, dan wordt je HTTPS-verkeer op dat apparaat of netwerk ontsleuteld en geïnspecteerd.

Op een werkapparaat is dit allemaal te verwachten. Het is apparatuur van het bedrijf en deze instellingen beschermen die, dus probeer ze niet te verwijderen of te omzeilen. Houd persoonlijk browsen in plaats daarvan van het apparaat af.

Mag mijn werkgever mijn browsegedrag in de gaten houden?

Dit is algemene informatie, geen juridisch advies. De details hangen af van waar je werkt.

Verenigde Staten (Amerikaans voorbeeld). De federale wet is ruim. De Electronic Communications Privacy Act verbiedt het onderscheppen van communicatie, maar 18 U.S.C. 2511(2)(d) maakt het legaal als "een van de partijen bij de communicatie vooraf toestemming heeft gegeven", en het beleid voor acceptabel gebruik dat je bij je indiensttreding hebt geaccepteerd, geldt meestal als die toestemming. De federale wet verplicht een werkgever niet om je over monitoring te vertellen. Een paar staten doen dat wel:

• New York. Civil Rights Law sectie 52-c verplicht een schriftelijke melding bij indiensttreding dat telefoon, e-mail en "internettoegang of -gebruik" kunnen worden gemonitord. Je moet die bevestigen, en hij moet hangen op een plek waar het personeel hem kan zien. De civiele boetes lopen op tot $500 voor een eerste overtreding, $1,000 voor een tweede en $3,000 voor elke overtreding daarna.
• Connecticut. General Statutes sectie 31-48d verplicht een voorafgaande schriftelijke melding van de soorten elektronische monitoring die op het terrein van de werkgever worden gebruikt. De boetes volgen dezelfde stappen van $500, $1,000 en $3,000.
• Delaware. Title 19, sectie 705 verbiedt het monitoren van e-mail en internetgebruik, tenzij de werkgever elke dag een elektronische melding geeft of eenmalig een melding die de werknemer bevestigt. De civiele boete is $100 per overtreding.

Verenigd Koninkrijk. Het Information Commissioner's Office zegt in zijn richtlijnen over het monitoren van werknemers (Engelstalig) dat de wet op gegevensbescherming "je niet verhindert werknemers te monitoren", maar werkgevers moeten werknemers laten weten wat er wordt verzameld en waarom, en ze moeten een wettelijke grondslag hebben. Het ICO voegt eraan toe dat de verwachtingen van werknemers over privacy "thuis waarschijnlijk aanzienlijk groter zijn dan op de werkplek".

Europese Unie en de rest van Europa. De AVG past dezelfde toetsen van transparantie en evenredigheid toe. In Bărbulescu tegen Roemenië (2017) stelde het Europees Hof voor de Rechten van de Mens een schending vast van het recht op privéleven nadat een werknemer was ontslagen vanwege gemonitorde berichten, omdat de nationale rechters nooit hadden gecontroleerd of hij vooraf was ingelicht.

De rode draad: het monitoren van werksystemen is over het algemeen toegestaan, en wat de wet vooral toevoegt, is een plicht om het je te vertellen. Daarom is het monitoringbeleid van je bedrijf de moeite van het lezen waard.

Zo houd je je persoonlijke browsegedrag privé tegenover je werk

1. Gebruik je eigen apparaat voor persoonlijke dingen. Zoeken naar een baan, vragen over je gezondheid en bankzaken horen op een telefoon of computer die het bedrijf niet beheert.
2. Gebruik je eigen verbinding. Op kantoor houdt mobiele data je eigen telefoon volledig buiten het bedrijfsnetwerk.
3. Houd persoonlijke accounts van de werklaptop af. Log daar niet in op je persoonlijke e-mail. Geef recruiters, artsen en banken een persoonlijk adres, niet je werkadres. Secria Mail is voor die rol gemaakt: mail wordt opgeslagen met zero-access-versleuteling, trackingpixels worden automatisch verwijderd en afzenders zien nooit je IP-adres, en er is een gratis abonnement.
4. Kies de lichtste inschrijving die wordt aangeboden. Moet je werk op je telefoon, vraag dan om een werkprofiel op Android of om gebruikersinschrijving op iPhone, en lees het inschrijvingsscherm voordat je akkoord gaat.

Houd je persoonlijke kant persoonlijk

Wat jij in de hand hebt, zijn je eigen telefoon, je eigen netwerk en je eigen accounts. Moet je eigen telefoon of laptop een netwerk gebruiken dat iemand anders beheert, zoals de gastenwifi op kantoor, een hotel of de locatie van een klant, dan houdt een VPN de namen van de sites die je bezoekt weg bij dat netwerk. Secria VPN houdt geen activiteitenlogs bij en kost $7.99 per maand los, of zit inbegrepen bij Pro.

Veelgestelde vragen

Kan mijn werkgever mijn browsegeschiedenis zien in incognitomodus? Op een werkapparaat of werknetwerk wel. Incognito zorgt er alleen voor dat de browser geen geschiedenis op het apparaat bewaart. De eigen incognitomelding van Google zegt dat organisaties die je netwerk beheren, zoals je werkgever, je activiteit in de incognitomodus misschien kunnen waarnemen. De volledige lijst staat in what incognito mode hides (in het Engels).

Kan mijn werkgever mijn browsegeschiedenis zien als ik hem verwijder? Ja, als hij in de eerste plaats is vastgelegd. Geschiedenis verwijderen wist de kopie in je browser. Logs van monitoringsoftware of het bedrijfsnetwerk liggen buiten het bereik van je browser.

Kan mijn werkgever mijn browsegeschiedenis zien als ik een VPN gebruik? Op een werkapparaat verbergt een persoonlijke VPN niets voor software die op het apparaat zelf draait. De VPN van het bedrijf doet het tegenovergestelde van verbergen: hij stuurt je verkeer door het bedrijfsnetwerk. Op je eigen apparaat verbergt een persoonlijke VPN wel de namen van sites voor een wifi-netwerk dat je niet zelf beheert.

Kan mijn werkgever zien welke sites ik bezoek als ik niet op zijn netwerk zit? Op een werklaptop of werktelefoon moet je van ja uitgaan: monitoringsoftware reist mee met het apparaat, thuis en op elke wifi. Op een eigen telefoon zonder beheer door je werk, met internet thuis of mobiele data, nee. Met een werkprofiel rapporteren alleen de werk-apps aan het bedrijf.

Verbergt DuckDuckGo of een andere privézoekmachine mijn zoekopdrachten voor mijn werkgever? Nee. Een privézoekmachine beperkt wat het zoekbedrijf bewaart. Het verandert niets aan wat een beheerd apparaat of een geïnspecteerd netwerk kan vastleggen.