Beoordeelt de Ondernemingsraad (OR) personeelsvolgsystemen, dan kan de OR volgens de Wet op de ondernemingsraden (WOR) de voorgestelde regeling op onderstaande vier punten toetsen. Heeft de organisatie een functionaris gegevensbescherming (FG)? Dan kan die de OR met advies terzijde staan.
Vraag 1. Is sprake van een personeelsvolgsysteem?
Je hebt als OR instemmingsrecht als ‘een voorziening is gericht op – of geschikt is voor – waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen’. Dergelijke ‘voorzieningen’ staan wel bekend als personeelsvolgsystemen.
Verwerking persoonsgegevens
Is sprake van een personeelsvolgsysteem, dan mag je ervan uitgaan dat ook sprake is van verwerking van persoonsgegevens. Vaak blijkt uit de opzet van een systeem dat het gericht is op het volgen van personeel. De wet voegt als criterium toe dat de instemming van de OR ook vereist is als een systeem daarvoor geschikt is. Er moet dus naar de mogelijke effecten van zo’n systeem worden gekeken.
Kan het personeel worden gevolgd, ook al gebeurt dat in de praktijk (nog) niet? Dan is het toch een personeelsvolgsysteem.
Voorbeelden personeelsvolgsystemen
Voorbeelden van personeelsvolgsystemen zijn:
- een systeem dat aanwezigheid, tijd en toegang registreert;
- een track & trace-systeem in (vracht)auto’s, zoals een gps-tracker, black box of boordcomputer;
- software die bijvoorbeeld toetsaanslagen, e-mailverkeer en/of internetgebruik van werknemers registreert;
- cameratoezicht op de werkplek;
- wearables, zoals een smartwatch;
- een systeem waarin klantcontacten worden bijgehouden;
- een systeem dat ondersteunt bij het afhandelen van werkzaamheden (workflow- of zaaksysteem);
- een voorziening binnen een systeem die inzage in (gevoelige) dossiers door werknemers registreert (logging);
- een systeem dat een pas of badge gebruikt om de aanwezigheid en/of plaats binnen een gebouw van een werknemer te registreren.
Vraag 2. Is het nodig een personeelsvolgsysteem te gebruiken?
De volgende vraag die je als OR moet stellen, is of het gebruik van een personeelsvolgsysteem wel nodig is in de onderneming. Pas als het antwoord ja is, komt de manier waarop aan de orde.
- Over de noodzaak van personeelsvolgsysteem kan de OR onder meer de volgende vragen stellen:
- Waarom is de werkgever van plan om deze voorziening te gebruiken? Of waarom wordt de voorziening gebruikt?
- Is er sprake van een wettelijke of contractuele verplichting? Zo niet, is het om een andere reden noodzakelijk om de voorziening in te voeren of te gebruiken?
- Is er geen van buiten komende noodzaak, kan de werkgever dan aantonen dat hij een legitieme reden (gerechtvaardigd belang) heeft om de voorziening te gebruiken?
- Hoe verhoudt het belang van de werkgever zich tot de belangen van de werknemers?
o Hoe indringend is de observatie?
o Komen de belangen van de werknemers in het gedrang?
o Is het mogelijk om het doel dat de werkgever voor ogen heeft te bereiken op een voor de werknemers minder ingrijpende wijze?
Inbreuk privacy
Een personeelsvolgsysteem gebruiken is altijd een inbreuk op de privacy van werknemers. Hier moet niet te lichtvaardig over worden gedacht. Van belang is of de voorziening redelijk is in verhouding tot het beoogde doel. En of de werkgever ook met minder ingrijpende middelen kan volstaan. De voorziening kan zo indringend zijn dat je als OR – vanuit de belangen van de werknemers en gelet op het doel – niet met de regeling wil instemmen. Of alleen onder voorwaarden. Dergelijke voorwaarden voor het gebruik van de voorziening kunnen in de regeling worden opgenomen.
DPIA uitvoeren
Is de werkgever van plan om grootschalig en/of systematisch persoonsgegevens te verwerken om activiteiten van werknemers te monitoren? Dan moet de werkgever eerst een data protection impact assessment (DPIA) uitvoeren voordat hij kan beginnen met het verwerken van gegevens.
Een DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. Een DPIA is verplicht wanneer een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen.
Vraag 3. Worden werknemers vooraf geïnformeerd over de observatie?
De werknemers moeten vooral informatie krijgen over:
- het doel van de observatie;
- het tijdschema en gebruik van de verzamelde gegevens;
- bewaartermijnen.
De werknemers moeten in elk geval hiervan op de hoogte worden gesteld op het moment dat het systeem wordt ingevoerd. Dit kan bijvoorbeeld met gedragsregels of een protocol.
Vragen die hierbij onder meer van belang zijn:
- Op welke wijze worden de persoonsgegevens ingezet?
- Wat zijn de eventuele gevolgen hiervan voor werknemers?
- Wie heeft er toegang tot de persoonsgegevens die worden verwerkt?
- Op welke manier wordt ongeoorloofde toegang gecontroleerd?
Heimelijke controle
Structurele heimelijke observatie is niet toegestaan. Incidenteel kan heimelijke controle gerechtvaardigd zijn, mits aan strenge (extra) voorwaarden is voldaan. Er moet sprake zijn van een redelijke verdenking over een of meer werknemers die de inzet van zo’n zware controle rechtvaardigt. Hierbij is vereist dat andere middelen zijn uitgeput. En dat er een zwaarwegend belang van de onderneming in het geding is. Werknemers moeten weten dat in uitzonderlijke situaties heimelijk een personeelsvolgsysteem kan worden ingezet. Voor het heimelijk controleren van werknemers geldt een DPIA-verplichting.
Vragen die de OR kan stellen over heimelijke monitoring:
- Is in de organisatie bekend welk gedrag niet wordt getolereerd en zijn werknemers hiervoor gewaarschuwd?
- Heeft de werkgever op een andere manier geprobeerd om het schadelijke gedrag te voorkomen of te achterhalen?
- Is voldoende gewaarborgd dat de voorziening niet lichtvaardig wordt ingezet?
Vraag 4. Wordt personeelsbeoordeling alleen gebaseerd op gegevens die met persoonsvolgsystemen zijn verzameld?
Van belang is dat gegevens niet zomaar worden vastgelegd in de personeelsadministratie. En dat niet uitsluitend op grond hiervan personeelsbeoordeling plaatsvindt. Verder moeten werknemers kort na de observatie door het personeelsvolgsysteem de kans krijgen om te reageren op de resultaten. Hun visie hierop moet bij de resultaten worden gevoegd.
Bron: OR-privacyboekje van Autoriteit Persoonsgegevens
