Computer van de werknemer volgen: de juridische grenzen

Een van de vragen die werkgevers het vaakst stellen luidt: „mag ik de bedrijfscomputer van mijn werknemer volgen?" Het korte antwoord: ja, onder bepaalde voorwaarden. Maar wie die voorwaarden overslaat, verandert een productiviteitsmiddel in een juridisch risico.

Dit artikel is algemene informatie en vervangt geen juridisch advies. Raadpleeg altijd een jurist voordat u iets concreet invoert.

Het juridische kader: wat zegt de AVG?

De AVG en de Uitvoeringswet AVG erkennen dat de activiteit van een werknemer op bedrijfsapparatuur ook persoonsgegevens kan zijn. Volgens de Autoriteit Persoonsgegevens moet controle op de werkvloer bovendien een gerechtvaardigd belang dienen, noodzakelijk zijn en de toets van proportionaliteit en subsidiariteit doorstaan.

• Rechtmatigheid en behoorlijkheid: de controle mag niet heimelijk of verhuld zijn, maar moet op een bekende en gerechtvaardigde grondslag rusten.
• Welbepaald en gerechtvaardigd doel: geen „voor het geval dat", maar een concreet doel als informatiebeveiliging, productiviteit of een wettelijke plicht.
• Proportionaliteit: er mogen niet meer gegevens worden verzameld dan voor het doel nodig is (de inhoud van privéberichten lezen is doorgaans onevenredig).
• Opslagbeperking: gegevens mogen niet langer worden bewaard dan voor het doel nodig is.

Informatie en instemming: de twee meest kritieke stappen

De rechtspraak en de richtsnoeren van de Autoriteit Persoonsgegevens wijzen dezelfde kant op: de werknemer moet vooraf en uitdrukkelijk over de controle worden geïnformeerd. Gegevens uit niet-aangekondigde monitoring kunnen onrechtmatig worden geacht en hun bewijswaarde in een procedure verliezen.

• Voorafgaande informatie (art. 13 en 14 AVG): welke gegevens, met welk doel, hoelang en met welk middel worden verwerkt, moet schriftelijk worden meegedeeld.
• Instemming van de ondernemingsraad: op grond van artikel 27 van de Wet op de ondernemingsraden is voor een personeelsvolgsysteem instemming van de OR vereist.
• Intern beleid: de reikwijdte van de controle hoort te worden vastgelegd in een bijlage bij de arbeidsovereenkomst of in een ICT-gebruiksbeleid.
• Gegevensbeveiliging (art. 32 AVG): toegang tot de monitoringgegevens moet beperkt blijven tot bevoegde personen en de gegevens moeten versleuteld worden bewaard.
• Alleen bedrijfsapparatuur: het volgen van een privéapparaat van een werknemer kent veel strengere voorwaarden; blijf als regel bij apparatuur van het bedrijf.

Hoe ziet evenredige monitoring er in de praktijk uit?

Het proportionaliteitsbeginsel betekent „het gebruikspatroon zien" in plaats van „de inhoud lezen". Zien hoeveel tijd in welke toepassing wordt doorgebracht en hoeveel op niet-werkgerelateerde sites volstaat bijvoorbeeld voor de meeste doelen; toegang tot de inhoud van privéberichten is daarentegen doorgaans onevenredig.

• Kies voor rapportage gericht op duur en categorie, niet op inhoud.
• Controle die tot de werktijd beperkt blijft, is evenrediger dan controle rond de klok.
• Beperk de toegang tot bevoegde personen en bewaar de gegevens versleuteld.

Spektio op een rechtmatige grondslag gebruiken

Op bedrijfsapparatuur rapporteert Spektio per categorie de app-, web- en gametijden en de schermtijd; het levert zicht op gebruik, niet op inhoud. Dat past bij een controlemodel dat het proportionaliteitsbeginsel respecteert.

De verantwoordelijkheid goed inrichten is aan u: gebruik Spektio uitsluitend op apparatuur van het bedrijf, informeer werknemers vooraf en leg het vast in uw interne beleid. Bepaal wie bevoegd is de gegevens in te zien en welke bewaartermijnen redelijk zijn.