Gepubliceerd op 14 september 2025 · Laatst bijgewerkt op 29 oktober 2026
Een werkgever mag controleren of u uw werk goed doet en bedrijfsmiddelen correct gebruikt, maar alleen als de controle noodzakelijk en proportioneel is en u er vooraf over bent geïnformeerd. Structureel heimelijk meekijken mag niet; alleen bij een concreet vermoeden van bijvoorbeeld diefstal of fraude kan een tijdelijke, verborgen controle onder strenge voorwaarden gerechtvaardigd zijn.
Een laptop, telefoon of e-mailaccount van de zaak geeft de werkgever dus geen vrij spel. De Algemene Verordening Gegevensbescherming (AVG), de Wet op de ondernemingsraden en het recht op privacy uit artikel 8 EVRM stellen grenzen. Hieronder leest u welke controle mag, wat de werkgever vooraf moet regelen en wat u kunt doen als hij te ver gaat.
Inhoudsopgave
Vijf voorwaarden voor elke controle
| Voorwaarde | Wat het betekent | Grondslag |
|---|---|---|
| Geldige grondslag | Meestal het gerechtvaardigd belang van de werkgever, afgewogen tegen uw privacy | Art. 6 lid 1 sub f AVG |
| Noodzakelijk en proportioneel | Het doel is niet te bereiken met een minder ingrijpend middel | Art. 5 en 6 AVG, art. 8 EVRM |
| Vooraf informeren | Doel, wijze en bewaartermijn zijn bekend voordat de controle start | Art. 13 AVG |
| Instemming ondernemingsraad | Nodig voor een regeling over personeelsgegevens en voor volgsystemen | Art. 27 lid 1 sub k en l WOR |
| DPIA bij hoog risico | Vooraf de privacyrisico’s in kaart brengen bij systematische controle | Art. 35 AVG |
Toestemming van de werknemer is in de regel geen geldige grondslag. Werknemers zijn afhankelijk van hun werkgever en kunnen daardoor meestal niet in vrijheid toestemmen. Een handtekening onder een “akkoordverklaring” maakt een controle dus niet zonder meer rechtmatig.
Wat mag per controlemiddel?
De basisregels zijn steeds dezelfde, maar de afweging valt per middel anders uit. Hoe ingrijpender het middel, hoe zwaarder de rechtvaardiging moet zijn.
| Middel | Meestal toegestaan | Grens |
|---|---|---|
| Cameratoezicht | Tegen diefstal of ter bescherming van personeel en bezoekers, met duidelijke bordjes | Niet in toiletten of kleedruimtes; niet gebruiken om prestaties te beoordelen; beelden niet langer bewaren dan nodig |
| Verborgen camera | Tijdelijk, bij een concreet vermoeden van diefstal of fraude, na een DPIA | Nooit structureel |
| E-mail en internet | Regels stellen en naleving controleren, eerst via verkeersgegevens of steekproeven | Geen onbeperkte toegang tot privéberichten |
| Volgsoftware op de computer | In- en uitlogtijden, gebruikte programma’s | Permanente registratie van toetsaanslagen of schermen is voor een gewone beoordeling in de regel te zwaar |
| Gps in de bedrijfsauto | Voor planning, veiligheid of diefstalpreventie | Privéritten alleen volgen als dat echt nodig is; liefst uit buiten werktijd |
| Wearables en gezondheidsmetingen | Zelden | Gezondheidsgegevens zijn bijzondere persoonsgegevens (art. 9 AVG) |
| Alcohol- en drugstests | Alleen waar een wet het regelt, zoals voor piloten, schippers en machinisten | In andere functies in de regel niet toegestaan |
Thuiswerken
Thuis weegt een inbreuk op uw privacy vaak zwaarder, omdat werk en privé door elkaar lopen. Werktijden registreren of geleverd werk beoordelen is minder ingrijpend dan permanent meekijken via scherm of webcam. Ook voor een systeem om thuiswerkers te volgen heeft de werkgever instemming van de ondernemingsraad nodig.
Uw e-mail: de Bărbulescu-criteria
Het Europees Hof voor de Rechten van de Mens oordeelde in Bărbulescu tegen Roemenië (Grote Kamer, 5 september 2017, nr. 61496/08) dat het controleren van berichten van een werknemer een inbreuk op zijn privacy kan zijn. Van belang is onder meer:
- of de werknemer vooraf is geïnformeerd over de mogelijkheid en de omvang van controle;
- hoe ver de controle ging: alleen verkeersgegevens of ook de inhoud;
- of er een legitieme reden was;
- of een minder ingrijpend middel mogelijk was;
- wat de gevolgen voor de werknemer waren en welke waarborgen er waren.
Een algemeen verbod op privégebruik van bedrijfsmiddelen maakt onbeperkte controle niet automatisch rechtmatig.
Wat moet de werkgever vooraf regelen?
De ondernemingsraad heeft instemmingsrecht over een regeling voor de verwerking en bescherming van personeelsgegevens (art. 27 lid 1 sub k WOR) en over voorzieningen die geschikt zijn om aanwezigheid, gedrag of prestaties te controleren (sub l). Denk aan camera’s, toegangspasjes, gps-systemen en software die computergebruik registreert. Voert de werkgever zo’n regeling in zonder instemming, dan kan de ondernemingsraad de nietigheid inroepen.
Bij systematische controle van personeel voert de werkgever vooraf een DPIA uit. Blijft het risico daarna hoog, dan raadpleegt hij eerst de Autoriteit Persoonsgegevens (art. 36 AVG). Hij moet u ook vertellen hoe lang hij de gegevens bewaart (art. 13 lid 2 sub a AVG). Leg dit vast in een controle- of ICT-reglement dat voor iedereen toegankelijk is, en beperk de toegang tot de gegevens tot wie ze echt nodig heeft. Werkt een systeem met algoritmen die prestaties of gedrag beoordelen, dan zijn extra waarborgen nodig tegen fouten en ongelijke behandeling.
Mag bewijs uit een onrechtmatige controle meetellen?
In een civiele procedure, zoals een ontslagzaak, wordt onrechtmatig verkregen bewijs niet automatisch buiten beschouwing gelaten. De Hoge Raad oordeelde op 18 april 2014 dat het belang dat de waarheid aan het licht komt in de regel zwaarder weegt. Alleen bij bijkomende omstandigheden laat de rechter het bewijs buiten beschouwing (ECLI:NL:HR:2014:942). In die zaak mocht het hof de resultaten van een persoonlijk onderzoek door een verzekeraar terzijde leggen, omdat dat onderzoek in strijd was met de gedragscode voor zulk onderzoek.
Een slordig opgezette controle kan een werkgever wel opbreken. De kantonrechter in Utrecht wees op 16 december 2021 een ontbindingsverzoek af na monitoring van het e-mailverkeer van een werknemer (ECLI:NL:RBMNE:2021:6071). Een melding bij het inloggen dat gebruikers gemonitord kunnen worden, was onvoldoende. Het was onduidelijk hoe ver de monitoring ging en of die proportioneel was. Daardoor kon de rechter het verzoek niet goed beoordelen, en de werkgever moest de proceskosten betalen.
Voor beide partijen geldt dus: een zorgvuldige, vooraf bekende controleregeling voorkomt veel discussie.
Uw rechten en hoe u ze gebruikt
| Uw recht | Wat het inhoudt | Hoe u het gebruikt |
|---|---|---|
| Inzage (art. 15 AVG) | Weten welke gegevens over u zijn verzameld, ook uit controle | Schriftelijk verzoek; antwoord binnen één maand, bij complexe verzoeken met twee maanden te verlengen (art. 12 lid 3 AVG) |
| Bezwaar (art. 21 AVG) | Bezwaar tegen verwerking op grond van gerechtvaardigd belang | Schriftelijk bezwaar met uw redenen |
| Verwijdering (art. 17 AVG) | Onrechtmatig verzamelde gegevens laten wissen | Verzoek aan de werkgever |
| Klacht (art. 77 AVG) | Een toezichthouder laten kijken | Klacht bij de Autoriteit Persoonsgegevens |
| Schadevergoeding (art. 82 AVG) | Vergoeding van materiële en immateriële schade | Aansprakelijkstelling; zo nodig via de rechter |
Stappen als u vindt dat uw werkgever te ver gaat
- Vraag het controle- of ICT-reglement op en ga na of doel, methode en bewaartermijn erin staan.
- Doe een inzageverzoek, zodat u weet welke gegevens er zijn.
- Vraag de ondernemingsraad of hij met het volgsysteem heeft ingestemd.
- Maak schriftelijk bezwaar bij de werkgever.
- Dien een klacht in bij de Autoriteit Persoonsgegevens of stap naar de rechter.
Noteer steeds wanneer en hoe u over de controle bent geïnformeerd, en bewaar berichten daarover. De Autoriteit Persoonsgegevens kan de werkgever een verwerkingsverbod opleggen (art. 58 lid 2 sub f AVG) of een boete. Ervaart u voortdurende controle als een belasting, bespreek dat dan ook met de vertrouwenspersoon of de ondernemingsraad. Meer over privacy op het werk leest u in ons artikel over wat uw werkgever van u mag weten.
Een controleregeling opstellen als werkgever
- Leg doel, methode, toegang en bewaartermijn schriftelijk vast.
- Kies het minst ingrijpende middel en leg vast waarom een lichter middel niet volstaat.
- Vraag instemming van de ondernemingsraad waar art. 27 WOR dat vereist.
- Voer bij systematische controle eerst een DPIA uit.
- Informeer werknemers vooraf en concreet, niet alleen met een melding bij het inloggen.
- Evalueer de regeling regelmatig.
Een open aanpak is ook goed voor de werksfeer. Strikte controle zonder uitleg leidt tot wantrouwen en meer prestatiedruk.
Hoe wij helpen bij controle op de werkvloer
- Wij toetsen een controle aan de AVG: grondslag, noodzaak, proportionaliteit en voorafgaande informatie.
- Wij stellen een controle- of ICT-reglement op en begeleiden de instemmingsaanvraag bij de ondernemingsraad.
- Wij stellen voor werknemers een inzageverzoek of bezwaar op.
- Wij beoordelen in een ontslagzaak of bewijs uit een controle mag meewegen.
Meer over hoe Law & More u hierbij helpt, leest u op de pagina arbeidsrecht advocaat.
