Veel werkgevers willen weten wat hun werknemers doen tijdens werktijd. Ze overwegen camera’s, software voor computermonitoring of andere systemen om productiviteit te meten.
Het installeren van deze systemen zonder de juiste voorbereiding kan leiden tot juridische problemen en boetes.
Werkgevers mogen werknemers controleren, maar alleen als ze kunnen uitleggen waarom het noodzakelijk is en als ze voldoen aan alle eisen uit de privacywetgeving. De Algemene Verordening Gegevensbescherming (AVG) stelt strikte regels aan het verzamelen en gebruiken van personeelsgegevens.
Het schenden van deze regels kan resulteren in hoge boetes en schade aan de vertrouwensrelatie met werknemers.
Dit artikel legt uit wanneer monitoring wel en niet mag. Het behandelt de juridische basis voor controle, welke rechten werknemers hebben en hoe een werkgever de privacy van personeel kan beschermen.
Ook komt aan bod welke rol de ondernemingsraad speelt en hoe transparante communicatie helpt bij het voorkomen van problemen.
Personeelsmonitoring: wat houdt het in?
Personeelsmonitoring omvat alle manieren waarop werkgevers de activiteiten van hun werknemers volgen en registreren. Dit gebeurt via technische middelen zoals volgsoftware en cameratoezicht, maar ook via traditionele methoden.
Vormen van monitoring op de werkvloer
Werkgevers kunnen werknemers monitoren via verschillende methoden. Cameratoezicht is een veelgebruikte vorm waarbij camera’s worden geplaatst op de werkvloer om activiteiten te volgen.
Dit wordt vaak ingezet om diefstal of onveilige situaties te voorkomen. Telefoongesprekken opnemen is een andere vorm van monitoring.
Werkgevers doen dit vooral in klantenservicecentra om de kwaliteit van gesprekken te controleren. GPS-trackers in bedrijfswagens volgen de locatie van werknemers die onderweg zijn.
Wearables zoals smartwatches kunnen de gezondheid van werknemers meten. Deze apparaten registreren bijvoorbeeld hoeveel stappen iemand zet of hoe vaak iemand pauze neemt.
Apps op werktelefoons kunnen vergelijkbare gegevens verzamelen.
Technische mogelijkheden en volgsoftware
Volgsoftware registreert wat werknemers doen op hun werkcomputer. Deze software houdt bij wanneer werknemers in- en uitloggen op hun systeem.
Sommige programma’s gaan verder en registreren alle toetsaanslagen die een werknemer maakt. E-mailverkeer en internetgebruik worden vaak gemonitord.
De software kan bijhouden welke websites werknemers bezoeken en hoeveel tijd ze daaraan besteden. Ook kan worden geregistreerd welke programma’s werknemers openen en hoe lang ze deze gebruiken.
Black boxes in voertuigen verzamelen rijgegevens zoals snelheid en remgedrag. Track and trace-systemen combineren GPS-gegevens met andere informatie over het gebruik van bedrijfswagens.
Deze personeelsvolgsystemen geven werkgevers inzicht in de routes en rijtijden van hun werknemers.
Personeelsvolgsystemen bij thuiswerken
Thuiswerken heeft nieuwe vormen van monitoring mogelijk gemaakt. Werkgevers willen weten of thuiswerkende werknemers productief zijn en hun werkuren naleven.
Volgsoftware op thuiswerkcomputers registreert de online activiteit van werknemers. Sommige systemen maken screenshots van het computerscherm op willekeurige momenten.
Andere programma’s tellen hoeveel muisklikken of toetsaanslagen een werknemer maakt per uur. Webcammonitoring wordt soms gebruikt om te controleren of werknemers daadwerkelijk aan het werk zijn.
Tijdregistratiesystemen volgen wanneer thuiswerkende werknemers beginnen en stoppen met werken. Deze systemen kunnen ook pauzes registreren.
De monitoring van thuiswerkers roept extra privacyvragen op omdat de grens tussen werk en privé thuis minder duidelijk is.
Juridische basis en privacywetgeving bij monitoring
Werkgevers moeten zich houden aan strikte regels uit de Algemene Verordening Gegevensbescherming (AVG) en aanverwante wetgeving wanneer zij werknemers willen monitoren. De privacywetgeving vereist een geldige grondslag, proportionaliteit en noodzakelijkheid voor elke vorm van controle.
Toepassing AVG en GDPR op de werkvloer
De AVG (in het Engels bekend als GDPR) vormt het juridische kader voor het verwerken van persoonsgegevens op de werkplek. Deze verordening geldt voor alle organisaties die persoonsgegevens van werknemers verzamelen, opslaan of gebruiken.
Werkgevers moeten aan verschillende verplichtingen voldoen. Ze moeten werknemers informeren over welke gegevens worden verzameld, waarom deze worden verzameld en hoe lang ze worden bewaard.
De Uitvoeringswet AVG (UAVG) bevat aanvullende Nederlandse regels die specifiek van toepassing zijn. Bij grootschalige monitoring of systematische controle moet een werkgever eerst een Data Protection Impact Assessment (DPIA) uitvoeren.
Dit geldt bijvoorbeeld bij het gebruik van camera’s, GPS-trackers in bedrijfswagens of software die computergebruik registreert. De DPIA brengt privacyrisico’s in kaart zodat passende maatregelen genomen kunnen worden.
Grondslagen voor verwerking van persoonsgegevens
Een werkgever heeft een geldige grondslag nodig om persoonsgegevens van werknemers te mogen verwerken. Zonder grondslag is monitoring niet toegestaan.
De AVG kent zes grondslagen voor gegevensverwerking:
- Gerechtvaardigd belang van de werkgever
- Uitvoering van de arbeidsovereenkomst
- Wettelijke verplichting
- Toestemming van de werknemer
- Bescherming van vitale belangen
- Publieke taak
Toestemming is als grondslag problematisch in arbeidsrelaties. Werknemers kunnen een verzoek van hun werkgever moeilijk weigeren vanwege de ongelijke machtsverhouding.
Daarom gebruiken werkgevers meestal gerechtvaardigd belang of uitvoering van de arbeidsovereenkomst als grondslag.
Gerechtvaardigd belang en proportionaliteit
Gerechtvaardigd belang is de meest gebruikte grondslag voor personeelsmonitoring. De werkgever moet kunnen aantonen dat monitoring noodzakelijk is om een legitiem doel te bereiken.
Het doel moet zwaarder wegen dan de privacybelangen van werknemers. Voorbeelden van gerechtvaardige belangen zijn het waarborgen van bedrijfsveiligheid, het voorkomen van diefstal of het beschermen van bedrijfsgegevens.
De controle moet proportioneel zijn. Dit betekent dat de monitoring niet verder mag gaan dan nodig is.
Een werkgever moet eerst nagaan of het doel op een minder ingrijpende manier kan worden bereikt. Als er alternatieven bestaan die minder impact hebben op de privacy, dan moet de werkgever deze kiezen.
Het noodzakelijkheidsbeginsel speelt een centrale rol. De werkgever moet kunnen uitleggen waarom de gekozen vorm van monitoring de enige effectieve manier is om het doel te bereiken.
Heimelijke controle is alleen toegestaan in uitzonderlijke situaties bij ernstige vermoedens van misbruik of strafbare feiten.
Informatie en rechten van werknemers
Werkgevers moeten werknemers duidelijk informeren over alle vormen van controle en monitoring op de werkvloer. Werknemers hebben specifieke rechten volgens de privacywetgeving die bescherming bieden tegen onrechtmatige verwerking van hun persoonsgegevens.
Werknemers informeren over monitoring
Een werkgever moet werknemers vooraf informeren over alle vormen van monitoring die plaatsvinden. Deze informatieplicht geldt voor elk type controle, van cameratoezicht tot het bijhouden van computergebruik.
De werkgever moet uitleggen wat wel en niet mag tijdens werktijd. Werknemers moeten weten dat controle mogelijk is en waarom deze nodig is.
Ook moet duidelijk zijn wanneer monitoring plaatsvindt en op welke manier. De informatie moet concreet zijn.
Het gaat om welke gegevens de werkgever verzamelt en hoe lang deze worden bewaard. Werknemers moeten deze informatie begrijpen zonder juridische kennis.
Privacyverklaring en internetreglement
Een werkgever stelt vaak een internetreglement of ICT- en internetreglement op. Dit document beschrijft wat werknemers mogen doen met bedrijfsmiddelen zoals computers en telefoons.
Het reglement legt uit of privégebruik is toegestaan en in welke mate. De privacyverklaring bevat informatie over de verwerking van persoonsgegevens.
Dit omvat contactgegevens, salarisgegevens en andere gegevens die nodig zijn voor de arbeidsovereenkomst. De werkgever moet uitleggen welk doel elk type gegevensverzameling heeft.
Werknemers moeten toegang hebben tot deze regelingen. Ze moeten actueel zijn.
Rechten van werknemers volgens privacywetgeving
Werknemers hebben meerdere rechten onder de AVG. Ze kunnen inzage vragen in hun persoonsgegevens die de werkgever bewaart.
Dit recht geldt voor alle gegevens, van contactgegevens tot informatie over verzuim. Werknemers mogen onjuiste gegevens laten corrigeren.
Ze kunnen ook bezwaar maken tegen bepaalde verwerkingen van hun gegevens. In specifieke situaties hebben werknemers het recht om gegevens te laten verwijderen.
De werkgever moet deze rechten respecteren en binnen een maand reageren op verzoeken. Werknemers hebben ook recht op vertrouwelijke communicatie.
Een werkgever mag niet zomaar privé-e-mails lezen of persoonlijke gesprekken afluisteren.
De rol van de ondernemingsraad en interne protocollen
Werkgevers hebben bij personeelsmonitoring te maken met wettelijke verplichtingen richting de ondernemingsraad. De ondernemingsraad speelt een belangrijke controlerende rol.
Werkgevers moeten heldere afspraken vastleggen in protocollen.
Instemming van de ondernemingsraad
De Wet op de Ondernemingsraden geeft de OR instemmingsrecht bij twee belangrijke situaties. Een werkgever moet instemming vragen voor regelingen over het gebruik van personeelsgegevens en voor personeelsvolgsystemen.
Personeelsgegevens zijn alle gegevens die een werkgever van werknemers verzamelt. Dit omvat salarisadministratie, verzuimregistratie en personeelsdossiers.
Een werkgever mag deze gegevens niet zonder goedkeuring van de OR gebruiken. Personeelsvolgsystemen zijn systemen waarmee een werkgever werknemers kan monitoren.
Denk aan tijdregistratie, toegangscontrole en zaaksystemen. Ook als de werkgever niet actief monitort maar het systeem dit wel mogelijk maakt, heeft de OR instemmingsrecht.
Zonder instemming van de OR of toestemming van de kantonrechter is een besluit ongeldig. De OR kan ook op eigen initiatief voorstellen doen over het gebruik van personeelsgegevens, bijvoorbeeld na een beveiligingsincident of klachten van werknemers.
Het opstellen van regels en protocollen
Een werkgever moet duidelijke protocollen opstellen die aangeven hoe personeelsmonitoring plaatsvindt. Deze protocollen beschermen zowel werkgever als werknemer.
Een goed protocol bevat:
- Het doel van de monitoring en waarom deze noodzakelijk is
- Welke gegevens verzameld worden
- Hoe lang gegevens bewaard blijven
- Wie toegang heeft tot de gegevens
- Beveiligingsmaatregelen om misbruik te voorkomen
Werknemers moeten op de hoogte zijn van deze regels. Een werkgever kan dit vastleggen in de arbeidsovereenkomst, een privacyreglement of een monitoringsprotocol.
Transparantie is essentieel: werknemers hebben recht om te weten wanneer en hoe hun werkgever hen monitort. De OR beoordeelt of de monitoring proportioneel is.
Een werkgever moet eerst nagaan of gegevens op geaggregeerd niveau volstaan voordat individuele monitoring plaatsvindt.
Toegestane en verboden controlemaatregelen
Werkgevers mogen niet zomaar alle controlemiddelen inzetten. De wet stelt duidelijke grenzen aan cameratoezicht, digitale monitoring en heimelijke controle van werknemers.
Cameratoezicht en observatie
Camera’s op de werkvloer zijn toegestaan onder specifieke voorwaarden. Een werkgever mag cameratoezicht gebruiken voor de bescherming van eigendommen, bezoekers en personeel.
De camera’s moeten duidelijk zichtbaar zijn en werknemers moeten weten dat ze er hangen. Het plaatsen van camera’s in privéruimtes zoals toiletten, kleedkamers of koffiehoeken is verboden.
Deze ruimtes vallen onder de persoonlijke levenssfeer van werknemers. Werkgevers moeten werknemers vooraf informeren over het cameratoezicht.
Dit betekent dat ze aangeven waar camera’s hangen, waarom ze gebruikt worden en hoe lang de beelden bewaard blijven. Bij een ondernemingsraad is toestemming verplicht voor het plaatsen van camera’s.
Continue observatie van individuele werknemers is niet toegestaan. Camera’s mogen geen werknemers volgen tijdens hun hele werkdag.
E-mail- en internetcontrole
E-mailcontrole is beperkt toegestaan wanneer werkgevers vooraf duidelijke regels opstellen. Werknemers moeten weten dat hun werkmail gecontroleerd kan worden.
Controle van privémail is verboden, ook als werknemers deze via werkapparatuur versturen. Internetgebruik monitoren mag alleen met een duidelijk doel.
Een werkgever kan controleren of werknemers geen verboden websites bezoeken of bedrijfsmiddelen misbruiken. De controle moet proportioneel zijn en mag niet verder gaan dan nodig.
Voorwaarden voor digitale controle:
- Duidelijk protocol waarin staat wat gecontroleerd wordt
- Werknemers informeren vooraf over de controle
- Toestemming van de ondernemingsraad
- Beperking tot zakelijk gebruik
Software die elke muisklik of toetsaanslag registreert gaat te ver. Dit type permanente monitoring schendt de privacy van werknemers.
Heimelijke controle en uitzonderingen
Heimelijke controle is vrijwel altijd verboden. Werknemers hebben recht op privacy op de werkvloer, zelfs tijdens werktijd.
Een werkgever mag niet stiekem de computer, e-mail of bewegingen van een werknemer volgen. Er bestaan uitzonderingen in specifieke situaties.
Bij een sterk en concreet vermoeden van ernstige misstanden mag een werkgever heimelijk onderzoek doen. Dit geldt bijvoorbeeld bij diefstal, fraude of andere strafbare feiten.
Ook dan moet de controle proportioneel blijven. De werkgever moet kunnen aantonen waarom heimelijke controle noodzakelijk was.
Achteraf moet de werknemer geïnformeerd worden over de uitgevoerde controle. GPS-tracking in voertuigen is toegestaan voor logistieke doeleinden.
De gegevens mogen niet gebruikt worden om werknemers constant te volgen. Testen op alcohol, drugs of geneesmiddelen zijn bijna altijd verboden, tenzij de veiligheid in het geding is.
Privacy waarborgen: praktische verplichtingen en risicobeheer
Werkgevers moeten concrete stappen nemen om privacy van werknemers te beschermen bij monitoring. Dit omvat het uitvoeren van risicobeoordelingen, het aanstellen van een privacyfunctionaris bij grotere organisaties, en het hebben van een plan voor datalekken.
Data protection impact assessment (DPIA)
Een werkgever moet een DPIA uitvoeren bij grootschalige monitoring van werknemers. Dit geldt bijvoorbeeld voor het controleren van e-mail en internetgebruik, gps-trackers in bedrijfswagens, of cameratoezicht om diefstal te voorkomen.
Bij een DPIA brengt de werkgever de privacyrisico’s van het monitoringssysteem in kaart. De organisatie kijkt welke gevaren er zijn voor de privacy van werknemers en neemt maatregelen om deze risico’s te verkleinen.
Wanneer is een DPIA verplicht?
- Bij stelselmatige monitoring van werknemers
- Bij grootschalige verwerking van persoonsgegevens
- Bij controle met hoog privacyrisico
Is het risico na de DPIA nog steeds hoog? En zijn er geen maatregelen om dit te verminderen? Dan moet de werkgever vooraf overleg hebben met de Autoriteit Persoonsgegevens.
De functionaris gegevensbescherming
Sommige organisaties moeten een functionaris gegevensbescherming (FG) aanstellen. Deze persoon houdt toezicht op de naleving van privacyregels binnen het bedrijf.
De FG geeft advies bij het uitvoeren van een DPIA. Ook adviseert deze persoon of een voorafgaande raadpleging met de Autoriteit Persoonsgegevens nodig is.
De functionaris werkt onafhankelijk en rapporteert direct aan de hoogste leiding. De werkgever moet de FG betrekken bij alle beslissingen over personeelsmonitoring.
Dit helpt om privacyproblemen vroegtijdig te signaleren en op te lossen.
Beveiliging en meldplicht datalekken
Een werkgever moet persoonsgegevens van werknemers goed beveiligen. Dit betekent technische en organisatorische maatregelen nemen tegen ongeoorloofd gebruik of verlies van gegevens.
Bij een datalek moet de werkgever snel handelen. Een datalek is bijvoorbeeld als iemand zonder toestemming toegang krijgt tot personeelsdossiers of als werknemersgegevens kwijtraken.
De organisatie moet een ernstig datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Meldplicht bij een datalek:
- Melden aan Autoriteit Persoonsgegevens binnen 72 uur
- Getroffen werknemers informeren bij hoog risico
- Datalek vastleggen in een register
De werkgever moet getroffen werknemers direct informeren als het datalek grote gevolgen heeft voor hun privacy.
Open communicatie en transparant beleid
Werkgevers die personeel monitoren moeten werknemers vooraf volledig informeren over wat ze controleren en waarom. Een heldere uitleg en duidelijke afspraken vooraf voorkomen misverstanden.
Open communicatie binnen het bedrijf
Een werkgever moet werknemers vertellen dat controle mogelijk is voordat de monitoring begint. Deze informatie moet concreet zijn en precies uitleggen welke systemen de werkgever gebruikt.
Denk aan volgsoftware op computers, GPS-trackers in bedrijfswagens of camera’s op de werkvloer. De uitleg moet duidelijk maken wat wel en niet mag.
Werknemers moeten weten waarom de werkgever controleert, wanneer dat gebeurt en welke gegevens verzameld worden. Deze informatie kan via interne documenten zoals gedragsregels of een protocol.
Een goed informatiebeleid bevat:
- Het doel van de monitoring
- Welke systemen en methoden gebruikt worden
- Welke gegevens verzameld worden
- Wie toegang heeft tot de gegevens
- Hoe lang gegevens bewaard blijven
Afspraken en werkcultuur
Werkgevers met een ondernemingsraad moeten vooraf instemming vragen voordat ze een regeling voor personeelscontrole invoeren. Zonder akkoord van de OR mag de werkgever niet starten met monitoren.
Deze regel geldt voor alle vormen van systematische controle zoals personeelsvolgsystemen. De toegang tot verzamelde gegevens moet beperkt blijven tot personen die deze informatie echt nodig hebben.
Een werkgever moet ook de nodige beveiligingsmaatregelen treffen, zowel fysiek als digitaal. Dit beschermt de privacy van werknemers en voorkomt dat gegevens in verkeerde handen vallen.
Frequently Asked Questions
Werkgevers hebben wettelijke verplichtingen bij het monitoren van personeel. De AVG stelt duidelijke eisen aan welke gegevens verzameld mogen worden en hoe deze beschermd moeten worden.
Welke vormen van personeelsmonitoring zijn toegestaan onder de huidige privacywetgeving?
Een werkgever mag verschillende vormen van monitoring gebruiken als deze noodzakelijk zijn. Volgsoftware die registreert wat werknemers op hun computer doen valt onder toegestane methoden.
Dit omvat het vastleggen van in- en uitlogtijden, toetsaanslagen en gebruik van e-mail en internet. Track & trace-systemen in bedrijfswagens zoals GPS-trackers zijn toegestaan onder voorwaarden.
Traditionele methoden zoals het opnemen van telefoongesprekken of camera’s op de werkvloer kunnen ook. Apps en wearables die gezondheid meten mogen werkgevers inzetten.
Voor alle vormen van controle gelden dezelfde algemene regels uit de privacywetgeving. De werkgever moet kunnen beargumenteren waarom de monitoring noodzakelijk is.
Hoe kan een werkgever ervoor zorgen dat de monitoring van werknemers voldoet aan de AVG?
Een werkgever heeft eerst een geldige grondslag nodig voor de monitoring van personeel. Vaak gebruikt een werkgever gerechtvaardigd belang als grondslag.
Toestemming werkt niet goed vanwege de machtsverhouding tussen werkgever en werknemer. De controle moet noodzakelijk zijn en het doel niet op een minder ingrijpende manier bereikt kunnen worden.
Deze informatie bevat waarom, wanneer en op welke manier de werkgever controleert. Een werkgever met een ondernemingsraad moet vooraf instemming vragen.
Zonder instemming van de OR mag de werkgever niet controleren. Bij grootschalige verwerkingen moet de werkgever eerst een data protection impact assessment uitvoeren.
Wat zijn de rechten van werknemers met betrekking tot de gegevens die verzameld worden door monitoring?
Werknemers hebben recht op informatie over welke gegevens de werkgever verzamelt. De werkgever moet duidelijk maken wat het doel van de monitoring is.
Deze informatie staat vaak in interne richtlijnen, gedragsregels of een protocol. Werknemers behouden hun recht op vertrouwelijke communicatie op het werk.
Dit geldt bijvoorbeeld bij de controle van e-mail of telefoon. De gegevens die de werkgever verzamelt moeten relevant en adequaat zijn voor het doel.
De werkgever mag niet verder gaan dan noodzakelijk is. Werknemers kunnen hun rechten uitoefenen zoals beschreven in de AVG.
In hoeverre mag een werkgever e-mail- en internetgebruik van werknemers controleren?
Een werkgever mag e-mail en internetgebruik controleren als dit noodzakelijk is. De werkgever moet het recht op vertrouwelijke communicatie van werknemers respecteren.
E-mails die duidelijk privé zijn mag de werkgever niet lezen. De werkgever moet werknemers van tevoren informeren dat controle mogelijk is.
Een ICT- en internetreglement legt vast wat wel en niet mag. Hierin staan de regels over wat de werkgever kan controleren.
Controle van e-mail en internetgebruik vereist vaak een data protection impact assessment. De werkgever moet kunnen uitleggen waarom deze vorm van monitoring noodzakelijk is.
Wat zijn de richtlijnen omtrent het gebruik van cameratoezicht op de werkvloer?
Cameratoezicht op de werkvloer moet aan dezelfde voorwaarden voldoen als andere vormen van monitoring. De werkgever moet een geldige grondslag hebben en de noodzaak kunnen aantonen.
Vaak gebruikt een werkgever cameratoezicht om diefstal en fraude te bestrijden. Werknemers moeten de werkgever vooraf informeren over het cameratoezicht.
Dit betekent dat de werkgever aangeeft waar camera’s hangen en wat het doel is. De werkgever moet een DPIA uitvoeren bij grootschalige of stelselmatige monitoring via camera’s.
Bij cameratoezicht moet de werkgever ook instemming vragen aan de ondernemingsraad. Heimelijke controle via camera’s heeft extra voorwaarden waar de werkgever aan moet voldoen.
Hoe dient een werkgever om te gaan met de gegevensbescherming bij het invoeren van een monitoringssysteem?
Een werkgever moet eerst een data protection impact assessment uitvoeren bij grootschalige verwerkingen. Bij deze DPIA kijkt de werkgever naar de privacyrisico’s van het monitoringssysteem.
Vervolgens kan de werkgever maatregelen nemen om deze risico’s te verkleinen. De werkgever vraagt advies aan de functionaris gegevensbescherming als die er is.
Komt uit de DPIA een hoog risico naar voren dat de werkgever niet kan beperken? Dan moet de werkgever voorafgaande raadpleging doen met de Autoriteit Persoonsgegevens.
De ondernemingsraad moet instemmen met een regeling voor de controle van personeel. Zonder instemming van de OR mag de werkgever het monitoringssysteem niet invoeren.
De werkgever moet transparant zijn over welke gegevens verzameld worden en waarom.
