Da er einen bestimmten Nutzer identifizieren will, ist der rechtliche Rahmen extrem klein und recht eindeutig definiert, quasi verboten. Die diesbezüglichen Urteile sind (deutlich) überwiegend contra Arbeitgeber gefallen, mit teils empfindlichen Strafen.
Das "private Surfen" muss zudem auch nicht erst erlaubt werden, es reicht bereits eine zeitweilige Duldung. Und selbst ein explizites schriftliches Verbot reicht nicht zwingend aus und berechtigt schon gar nicht zu derartigen heimlichen Spionageaktionen.
Datenschutz, Privatsphäre, Arbeitsrecht und Strafrecht ergänzen sich hier sehr gut, obwohl es immernoch besser sein könnte.
Ohne explizite Zustimmung der Nutzer (wenn vorhanden natürlich auch des Betriebsrats und/oder des Datenschutzbeauftragten) sollte man derartige Massnahmen gar nicht erst nachdenken.
Einfach das Internet komplett kappen und wer am Lautesten schreit, der bekommt entsprechend seiner begründeten Bedarfsanmeldung und der dafür nötigen (neuen) unterzeichneten schriftlichen Nutzungsvereinbarung den Internetzugang zurück, oder eben nicht.
Damit erledigt sich das Problem üblicherweise von selbst. Falls nicht, hat man jetzt die schriftliche Einwilligung der Nutzer zur Überwachung ihrer Netzaktivitäten.
Die Nutzungsvereinbarung sollte ein Fachanwalt für Arbeitsrecht ausarbeiten...
Ansonsten sind 40GB/Monat für einen Businessanschluss nicht wirklich viel...