Monitoring van werknemers: wat mag wel en wat mag niet?

Is monitoring van medewerkers toegestaan?

Controle van werknemers is toegestaan, mits je rekening houdt met de privacy. 

Bij monitoring van medewerkers kun je denken aan:

• Gebruik van social media bij het aantrekken van nieuw personeel.
• Gebruik van social media bij het controleren van oud-personeel.
• Gebruik van cameratoezicht in kantoorruimten.
• Gebruik van volgsoftware die registreert wat medewerkers op hun computer doen (zoals in- en uitloggen, toetsaanslagen, gebruik van e-mail en internet);
• Gebruik van een track & trace-systeem in bedrijfswagens (zoals een gps-tracker of black box);
• Gebruik van apps of wearables (zoals een smartwatch) die de gezondheid meten.

Voor alle vormen van controle van werknemers gelden dezelfde algemene regels uit de privacywetgeving. De belangrijkste voorwaarden voor de controle van personeel staan in de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG).

Bepaal het doel waarom monitoring noodzakelijk is

Voordat je besluit te starten met het monitoren van je werknemers, is het noodzakelijk je doel te bepalen. Ga na waarom controle noodzakelijk is. Doe dit voordat je de gegevens gaat verwerken. De doelen bepalen namelijk de omvang van de controle en de wijze waarop je dit mag doen.

Bij verwerkingsdoelen kun je bijvoorbeeld denken aan:

• Bescherming van bedrijfseigendommen;
• Netwerkbeveiliging;
• Opsporing en bestrijding van diefstal of verduistering.

Waar moet je op letten bij het verwerken van gegevens? 

Ga je gegevens verwerken? Onderzoek dan eerst of het controlemiddel dat je wilt gebruiken noodzakelijk is en of er mogelijk andere (minder ingrijpende) alternatieven beschikbaar zijn. Zijn er inderdaad andere (minder ingrijpende) alternatieven? Dan moet je voor een dergelijk alternatief controlemiddel kiezen.

Naast het bepalen van het doel, is het belangrijk dat je een gegronde reden (grondslag) hebt voor het inzetten van een controlemiddel. De grondslag “gerechtvaardigd belang” is doorgaans het meest geschikt voor de verwerking van persoonsgegevens van werknemers. Deze grondslag vereist een belangenafweging tussen jouw werkgeversbelang en de (grond)rechten van jouw werknemers, waaronder het privacyrecht. Afhankelijk van de specifieke situatie moeten de belangen van beide partijen afgewogen worden.

Daarnaast is het belangrijk dat jij jouw werknemers vooraf duidelijk informeert over tot het inzetten van het controlemiddel.

• Op welke manier wordt gecontroleerd?
• Wat wordt wel en wat wordt niet gecontroleerd?
• Waarom wordt gecontroleerd?
• Wanneer wordt gecontroleerd?
• Om wat voor gegevens gaat het?
• Hoelang worden bepaalde gegevens bewaard?

Kortom, tal van zaken waarover jij jouw werknemers moet informeren voordat je overgaat tot het inzetten van het controlemiddel. Je kunt je werknemers informeren door middel van interne richtlijnen, zoals gedragsregels of een protocol.

Tijdens de inzet van het controlemiddel is het belangrijk dat je rekening houdt met het recht op vertrouwelijke informatie van jouw werknemers. Dit is vooral belangrijk als je het controlemiddel inzet voor bijvoorbeeld monitoring van e-mail en/of telefoongegevens. Zo mag je geen telefoongegevens en/of e-mails lezen die duidelijk privé zijn.

Beschikt jouw organisatie over een ondernemingsraad (OR)? Dan ben je verplicht om op grond van de Wet op de Ondernemingsraden (WOR) instemming van de OR te vragen voor besluiten over:

• Regelingen betreffende het verwerken en beschermen van de persoonsgegevens van personeel (artikel 27 lid 1 sub k), en
• Regelingen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van personeel (artikel 27 lid 1 sub l).

Leg je voornemen tot controle daarom tijdig voor aan de ondernemingsraad.

Welke controlemiddelen voor monitoring mag je wel of niet inzetten?

De inzet van bepaalde controlemiddelen of verwerkingen is niet altijd toegestaan. In onderstaande gevallen weegt de privacy van de werknemer altijd zwaarder:

• Monitoring in gevoelige ruimten, zoals sanitaire-, religieuze- en pauzeruimten.
• Geautomatiseerde beslissingen over bijvoorbeeld prestaties.
• Continu monitoren in plaats van steekproefsgewijs.
• Heimelijke opnames mogen alleen in zeer uitzonderlijke gevallen, zoals bij een gegronde verdenking van een strafbaar feit of het lekken van bedrijfsgeheimen.

DPIA

Wil je grootschalige verwerkingen en/of stelselmatige monitoring van persoonsgegevens inzetten om activiteiten van jouw werknemers te controleren? Zoals controle van e-mail en internetgebruik, gps-trackers in (vracht)auto’s van werknemers of cameratoezicht om diefstal en fraude te bestrijden? Dan moet je eerst een data protection impact assessment (DPIA) uitvoeren. Bij een DPIA kijk je wat de privacyrisico’s zijn van het monitoringssysteem. Zodat je maatregelen kunt nemen om de risico’s te verkleinen. Heeft jouw organisatie een functionaris gegevensbescherming (FG)? Dan moet je de FG om advies vragen bij het uitvoeren van de DPIA.

Komt uit de DPIA naar voren dat de beoogde controle een hoog risico oplevert? En lukt het je niet om maatregelen te vinden om dit risico te beperken? Dan moet je met de Autoriteit Persoonsgegevens (AP) overleggen voordat je met de controle van personeel start. Dit wordt een voorafgaande raadpleging genoemd. Heb je een FG, dan kan die adviseren over de vraag of een voorafgaande raadpleging nodig is.

Meer weten?

aaff is graag overal van betekenis. De juristen van aaff hebben uitgebreide kennis en ervaring op het gebied van ICT- en privacyrecht. Neem voor meer informatie of advies contact op met onze jurist ondernemingsrecht en ICT-recht.