Privacy op het werk: wat uw werkgever mag weten en controleren

Gepubliceerd op 11 oktober 2025 · Laatst bijgewerkt op 29 oktober 2026

Uw werkgever mag alleen persoonsgegevens van u verwerken als dat nodig is voor het werk en als hij een grondslag uit artikel 6 AVG heeft. Controle via camera’s, e-mail of software mag alleen met een duidelijk doel, als zij niet verder gaat dan nodig en als u er vooraf over bent geïnformeerd; heimelijke controle mag alleen bij een concreet vermoeden van bijvoorbeeld diefstal of fraude.

Heeft het bedrijf een ondernemingsraad, dan heeft die bovendien instemmingsrecht over een regeling voor personeelscontrole (artikel 27 WOR). Hieronder leest u welke gegevens uw werkgever mag verwerken, welke vormen van monitoring zijn toegestaan, wat de rechter recent heeft beslist en welke rechten u als werknemer hebt.

Op welke grondslag mag uw werkgever uw gegevens verwerken?

De Algemene verordening gegevensbescherming (AVG) geldt volledig in de arbeidsrelatie, van sollicitatie tot na uw vertrek. Naast de AVG spelen de Uitvoeringswet AVG, de Wet op de ondernemingsraden en het Burgerlijk Wetboek een rol. Uw werkgever heeft voor elke verwerking een grondslag uit artikel 6 AVG nodig. Voor werkgevers tellen er vooral drie:

• Uitvoering van de arbeidsovereenkomst: naam, adres, bankrekeningnummer, salarisgegevens en verslagen van functioneringsgesprekken.
• Een wettelijke verplichting: uw burgerservicenummer en een kopie van uw identiteitsbewijs voor de loonbelasting, en gegevens voor de pensioenuitvoerder.
• Een gerechtvaardigd belang: bijvoorbeeld camera’s ter bescherming tegen diefstal. De werkgever moet dan een belangenafweging maken en vastleggen.

Toestemming van de werknemer is volgens de Autoriteit Persoonsgegevens (AP) meestal geen geldige grondslag. U bent afhankelijk van uw werkgever en dus niet echt vrij om nee te zeggen. Alleen als weigeren u geen enkel nadeel oplevert, kan toestemming een rol spelen, bijvoorbeeld bij een foto op de bedrijfswebsite.

Een beroep op gerechtvaardigd belang slaagt alleen als het doel legitiem en duidelijk omschreven is, de verwerking daarvoor noodzakelijk is en de inbreuk op uw privacy in verhouding staat tot dat doel. U kunt tegen zo’n verwerking bezwaar maken (artikel 21 AVG). Uw werkgever moet dan stoppen, tenzij hij dwingende gerechtvaardigde gronden heeft die zwaarder wegen. Daarnaast geldt dataminimalisatie: niet meer gegevens verzamelen en niet langer bewaren dan nodig (artikel 5 AVG).

Welke gegevens gaan uw werkgever niets aan?

Uw werkgever mag alleen gegevens verzamelen die met het werk te maken hebben. Informatie over uw privéleven gaat hem in beginsel niets aan.

Bij ziekte mag uw werkgever volgens de AP ook vragen of het verzuim verband houdt met een arbeidsongeval of met een ongeval waarbij een ander aansprakelijk kan zijn. De bedrijfsarts heeft een medisch beroepsgeheim en meldt alleen wat u wel of niet kunt. Collega’s horen hooguit dat u ziek bent. Zie ook ons artikel over re-integratie bij ziekte.

Een medische aanstellingskeuring mag volgens de Wet op de medische keuringen alleen als de functie bijzondere eisen stelt aan uw medische geschiktheid. Een alcohol- of drugstest is een verwerking van gezondheidsgegevens. Volgens de AP mag een werkgever die in de regel niet verwerken, tenzij een specifieke wet dat regelt, zoals voor bepaalde functies in de luchtvaart of scheepvaart. Apps en wearables die uw gezondheid meten, mag uw werkgever om dezelfde reden in beginsel niet inzetten.

Welke vormen van personeelsmonitoring komen voor, en waar ligt de grens?

Op een laptop of telefoon van de zaak mag uw werkgever meer controleren dan op uw eigen apparaten. Maar ook op bedrijfsmiddelen houdt u een zekere mate van privacy. Bij thuiswerken is de grens tussen werk en privé minder duidelijk, wat zwaardere eisen aan de evenredigheid stelt.

Wanneer is monitoring noodzakelijk en evenredig?

De werkgever moet eerst nagaan of het doel op een minder ingrijpende manier kan worden bereikt, zoals betere sloten, toegangspasjes of gegevens op geaggregeerd niveau. Bestaat zo’n alternatief, dan heeft dat voorrang. Voortdurende bewaking van individuele werknemers is in de regel niet toegestaan.

De kantonrechter van de Rechtbank Zeeland-West-Brabant oordeelde op 28 september 2022 over een thuiswerkende telemarketeer die de opdracht kreeg zijn camera de hele werkdag aan te laten staan. Die instructie was niet redelijk, omdat zij in strijd was met zijn recht op respect voor zijn privéleven (artikel 8 EVRM). Zijn weigering was daarom geen dringende reden voor ontslag op staande voet (ECLI:NL:RBZWB:2022:5656).

Mag uw werkgever uw e-mail en internetgebruik controleren?

Ja, maar alleen als hij vooraf duidelijk heeft gemaakt wat hij controleert en waarom, meestal in een ICT- en internetreglement. Het Europees Hof voor de Rechten van de Mens oordeelde in de zaak Bărbulescu tegen Roemenië (Grote Kamer, 5 september 2017, nr. 61496/08) dat een werknemer vooraf moet weten dat en hoe zijn communicatie kan worden gecontroleerd.

Het lezen van de inhoud van privémail is zelden toegestaan, ook als u die via werkapparatuur verstuurt. Alleen bij een concreet vermoeden van ernstig misbruik en als er geen minder ingrijpende manier is, kan het soms wel. Een nieuw controlesysteem heeft de instemming van de ondernemingsraad nodig. Wilt u weten hoe dat bij berichtenapps zit, lees dan ons artikel over WhatsApp-berichten lezen door de werkgever.

Wanneer is cameratoezicht op de werkvloer toegestaan?

Camera’s mogen als de werkgever een gerechtvaardigd belang heeft, zoals bescherming tegen diefstal, beveiliging van gebouwen of de veiligheid van werknemers en bezoekers. Ze moeten noodzakelijk en evenredig zijn, en u moet vooraf weten waar ze hangen en waarom. Dat staat meestal in een camerareglement.

• Doorgaans toegestaan, met een goede reden: ingangen, gangen, magazijnen, winkelruimtes en machines in productieruimtes.
• Niet of vrijwel nooit toegestaan: toiletten, kleedruimtes, pauzeruimtes en camera’s die permanent op een individuele werkplek zijn gericht.
• Geluid opnemen gaat verder dan beeld en mag alleen in zeer uitzonderlijke gevallen.
• Beelden voor beveiliging mogen niet zomaar worden gebruikt voor een ander doel, zoals prestatiebeoordeling.

Beelden mogen niet langer worden bewaard dan nodig. Is er een incident vastgelegd, zoals diefstal, dan mogen de beelden worden bewaard tot dat incident is afgehandeld. Zijn camera’s op werknemers gericht, dan moet de ondernemingsraad vooraf instemmen. Dit staat in de regels van de Autoriteit Persoonsgegevens voor cameratoezicht door organisaties.

Wanneer mag uw werkgever u heimelijk controleren?

Heimelijke controle is in beginsel niet toegestaan. Volgens de AP mag een verborgen camera alleen bij een duidelijk vermoeden van diefstal of fraude, als andere maatregelen niet hebben gewerkt, en alleen tijdelijk. Werknemers moeten vooraf, bijvoorbeeld in het personeelsreglement, weten dat die mogelijkheid bestaat, en de betrokkenen worden achteraf geïnformeerd. Voor heimelijk cameratoezicht is altijd een DPIA nodig, en de regeling vraagt instemming van de ondernemingsraad.

Gaat de werkgever daaraan voorbij, dan kan dat zijn zaak ondermijnen. De kantonrechter van de Rechtbank Den Haag oordeelde op 7 juli 2026 over een manager financiën en IT wiens inlogtijden een maand lang heimelijk waren gecontroleerd. De werkgever had geen gerechtvaardigd belang voor dat heimelijke onderzoek, het thuiswerkbeleid kondigde zo’n controle niet aan en een gesprek met de werknemer had eraan vooraf moeten gaan. De inloggegevens lieten bovendien niet zien dat structureel minder was gewerkt. Het ontslag op staande voet hield geen stand (ECLI:NL:RBDHA:2026:18633).

Meer over het gebruik van heimelijke opnames als bewijs leest u in ons artikel over undercover opnames en heimelijk filmen als bewijs, en over interne onderzoeken in ons artikel over fraudeonderzoek op het werk.

Welke rol heeft de ondernemingsraad bij personeelscontrole?

De ondernemingsraad heeft instemmingsrecht bij regelingen over de verwerking en bescherming van persoonsgegevens van werknemers, en over voorzieningen waarmee aanwezigheid, gedrag of prestaties van werknemers kunnen worden waargenomen of gecontroleerd (artikel 27 lid 1 onder k en l Wet op de ondernemingsraden). Dat geldt ook als de werkgever een systeem niet actief gebruikt om te controleren, maar het systeem dat wel mogelijk maakt, zoals tijdregistratie of toegangscontrole.

Neemt de werkgever het besluit zonder instemming van de OR of vervangende toestemming van de kantonrechter, dan is het nietig als de OR daar binnen een maand schriftelijk een beroep op doet (artikel 27 lid 5 WOR). Meer leest u in ons artikel over het instemmingsrecht van de OR.

Welke verplichtingen heeft de werkgever die wil monitoren?

• Informeren: welke gegevens hij verzamelt, met welk doel, met wie hij ze deelt en hoe lang hij ze bewaart, in begrijpelijke taal (artikelen 12 en 13 AVG).
• Een gegevensbeschermingseffectbeoordeling (DPIA) bij stelselmatige of grootschalige monitoring (artikel 35 AVG). Blijft daarna een hoog risico over, dan raadpleegt hij vooraf de AP (artikel 36 AVG).
• Een functionaris gegevensbescherming betrekken, als de organisatie die moet hebben.
• Gegevens beveiligen en de toegang beperken tot wie ze echt nodig heeft.
• Een datalek met risico voor werknemers binnen 72 uur melden bij de AP (artikel 33 AVG), en bij een hoog risico ook de getroffen werknemers informeren (artikel 34 AVG).

Een monitoringsprotocol of ICT-reglement legt vast wat het doel is, welke gegevens worden verzameld, hoe lang ze worden bewaard, wie toegang heeft en hoe ze zijn beveiligd. Zie ook ons artikel over aansprakelijkheid bij datalekken.

Wat moet uw werkgever u over uw arbeidsvoorwaarden vertellen?

Los van de AVG moet uw werkgever u schriftelijk of elektronisch informeren over de belangrijkste arbeidsvoorwaarden (artikel 7:655 BW). Sinds 1 augustus 2022 gelden daarvoor vaste termijnen door de Wet transparante en voorspelbare arbeidsvoorwaarden. Gegevens als de werkplek, uw functie, de startdatum en uw loon krijgt u binnen een week na de eerste werkdag. Gegevens als vakantie- en verlofrechten, opzegtermijnen, pensioen, een toepasselijke cao en uw recht op scholing krijgt u binnen een maand. Een wijziging geeft de werkgever uiterlijk door op de dag waarop zij ingaat.

Welke rechten hebt u, en hoe gebruikt u ze?

• Inzage in uw persoonsgegevens, ook in camerabeelden waarop u staat (artikel 15 AVG).
• Correctie van onjuiste gegevens (artikel 16 AVG).
• Verwijdering, onder voorwaarden (artikel 17 AVG).
• Overdracht van uw gegevens, onder voorwaarden (artikel 20 AVG).
• Bezwaar tegen een verwerking op basis van gerechtvaardigd belang (artikel 21 AVG).

Uw werkgever moet binnen een maand op uw verzoek reageren. Bij complexe of veel verzoeken mag hij die termijn met twee maanden verlengen, maar dat moet hij u binnen de eerste maand laten weten (artikel 12 lid 3 AVG).

1. Leg een mogelijke schending vast, met datum en omschrijving.
2. Vraag het camerareglement, het ICT-reglement en de privacyverklaring op, en bespreek het met HR of de functionaris gegevensbescherming.
3. Dien een inzageverzoek of bezwaar in.
4. Dien zo nodig een klacht in bij de Autoriteit Persoonsgegevens (artikel 77 AVG). De AP beslist zelf of en hoe zij een klacht onderzoekt.
5. Hebt u schade geleden door een overtreding van de AVG, dan kunt u schadevergoeding vragen (artikel 82 AVG), zo nodig bij de rechter.

Voor eerste informatie kunt u ook terecht bij het Juridisch Loket of bij uw vakbond.

Wat controleert u als werknemer als u twijfelt aan de controle?

• Is er een reglement dat u vóór de controle hebt gekregen, en staat daarin wat er wordt gecontroleerd en waarom?
• Heeft de ondernemingsraad met de regeling ingestemd?
• Vertel bij een ziekmelding niets over de aard of oorzaak; dat bespreekt u alleen met de bedrijfsarts.
• Houd zakelijke en privéaccounts gescheiden.

Wat legt u als werkgever vast voordat u gaat monitoren?

• De grondslag uit artikel 6 AVG en, bij gerechtvaardigd belang, uw belangenafweging.
• Waarom een minder ingrijpend middel niet volstaat.
• Een DPIA bij stelselmatige monitoring en bij elke heimelijke camera.
• De instemming van de ondernemingsraad en een reglement dat werknemers vooraf krijgen.

Wat doen wij bij privacy op het werk?

Onze advocaten privacyrecht werken hierbij samen met onze advocaten arbeidsrecht, voor werknemers en werkgevers.

• Wij toetsen of controle via camera’s, e-mail of software een grondslag heeft en evenredig is.
• Wij stellen een inzageverzoek of bezwaar op en bewaken de antwoordtermijn.
• Wij beoordelen of bewijs uit controle rechtmatig is verkregen, bijvoorbeeld bij een ontslag op staande voet.
• Wij stellen voor werkgevers een camerareglement of ICT-reglement op en begeleiden het instemmingsverzoek aan de OR.

Privacy op het werk in vijf punten

• Toestemming van de werknemer is meestal geen geldige grondslag; gerechtvaardigd belang vraagt een vastgelegde belangenafweging.
• Een webcam die de hele werkdag aan moet staan, is volgens de kantonrechter in strijd met artikel 8 EVRM.
• Heimelijke controle zonder concreet vermoeden en zonder aankondiging kan een ontslag op staande voet doen stranden.
• Een regeling voor personeelscontrole zonder instemming van de OR is nietig als de OR zich daar binnen een maand op beroept.
• U hebt recht op inzage binnen een maand en kunt klagen bij de AP.

Veelgestelde vragen

Mag mijn werkgever mijn zakelijke mailbox openen als ik ziek ben?

Alleen als dat nodig is om het werk door te laten gaan, en volgens een vooraf bekend beleid. Een automatisch afwezigheidsbericht of het doorsturen van zakelijke mail is vaak een minder ingrijpend alternatief. Privéberichten in die mailbox blijven beschermd.

Mag ik privé internetten tijdens mijn pauze?

Dat hangt af van het ICT-reglement. Is beperkt privégebruik toegestaan, dan valt dat onder uw privacy en mag uw werkgever de inhoud niet zomaar controleren (artikel 8 EVRM). Controle op misbruik van bedrijfsmiddelen blijft mogelijk, mits vooraf aangekondigd.