Digitale monitoring van werknemers door werkgevers: mag dat eigenlijk wel?
Bent u wel echt aan het werk als u thuiswerkt? Maakt u uw uren wel? Een bericht over het hoofdkantoor van accountantsbureau PwC in Londen, dat zijn werknemers digitaal bespioneert, werpt de vraag op: mag de baas eigenlijk wel monitoren? En dat kan nog over veel meer zaken gaan, zoals privémails of internetten tijdens het werk.
Voorbeeld van hoe het uit de hand kan lopen bij monitoring
PwC in het Verenigd Koninkrijk controleert via wifi en toegangspassen of het personeel wel genoeg op kantoor is. Te weinig aanwezigheid kan leiden tot een waarschuwing, een lagere beoordeling of minder bonus. Een rel over digitale monitoring is geboren.
Maar of dat ook mag, dát is de vraag hier. Het is een discussie die vooral is opgekomen door het hybride werken sinds de lockdowns, vaak de helft van de week of 3 dagen op het werk en de rest thuis. Dat zit niet elke werkgever even lekker. Is die thuiswerker wel aan het werk? Daaraan vooraf zijn lange discussies gevoerd of de werkgever thuiswerken mag weigeren. Maar daarin lijkt nu toch wel een nieuwe situatie van acceptatie te zijn ontstaan. Tegelijkertijd zijn er bedrijven die juist terug willen naar de oude situatie van voor corona. Het is in die sfeer van vertrouwen en wantrouwen waarin monitoring zich bevindt.
Wat zijn de regels in Nederland?
De Autoriteit Persoonsgegevens (AP) hanteert algemene regels voor controle van werknemers. Een werkgever mag alleen monitoren als er een grondslag is in de privacywet (AVG). Meestal is dat een ‘gerechtvaardigd belang’ van de werkgever. Dat kan de veiligheid van het bedrijf betreffen of de bescherming van bedrijfsmiddelen.
En toestemming van de werknemers? Is dat niet al genoeg dan? Vanwege de bestaande machtsverhouding tussen baas en personeel is dat nauwelijks ideaal te noemen als een grondslag. Dat kan men beter niet als uitgangspunt nemen.
Daarnaast gelden volgens de AP 3 criteria
- Noodzaak: het doel kan niet op een minder ingrijpende manier bereikt worden.
- Informatie: de werknemers moeten vooraf weten wat precies wordt gemonitord, waarom, wanneer en hoe.
- Recht op vertrouwelijke communicatie: privégesprekken en e-mails mogen niet zomaar worden meegeluisterd en gelezen.
Zoveel mogelijk anoniem
De AVG vereist ook dat monitoring van internet- of computergebruik zoveel mogelijk anoniem gebeurt. Pas als er serieus wangedrag zichtbaar wordt, mag worden uitgezocht wie erachter zit. Een internetreglement is verplicht en moet duidelijke regels en legitieme doelen bevatten. Bij bedrijven met een ondernemingsraad moet deze geraadpleegd worden. Zonder instemming van de OR mag er geen controle zijn.
Een werkgever kan volgens de rechtspraak niet zomaar privégebruik van internet volledig verbieden. Elke werknemer heeft een ‘redelijk niveau’ van privacy op de werkplek. Checken van uw mail of buienradar op het werk mag; online een nieuwe garderobe kopen niet. In plaats van alles maar te verbieden en te monitoren is uitdagender werk geven, vooral aan werknemers die zich gewoon zitten te vervelen, misschien ook wel een optie.
Legitieme doelen voor monitoring
Wat zijn dan die legitieme doelen waarbij controle van het personeel wél is toegestaan? Dit zijn de belangrijkste 4:
- Beperken van de kosten (bijvoorbeeld internet- of onderhoudskosten).
- Vermijden van beveiligingsrisico’s (virussen, datalekken).
- Bescherming van de reputatie van het bedrijf.
- Voorkomen van juridische risico’s of arbeidsconflicten.
Technische mogelijkheden voor monitoring
Er zijn al allerhande technische mogelijkheden voor digitale monitoring van het personeel. Zo is er volgsoftware, dat het aantal toetsaanslagen registreert. Ook checkt die het in- en uitloggen plus het internetgebruik. Verder kunnen werkgevers gps-trackers plaatsen in bedrijfsvoertuigen, die precies zeggen waar de chauffeur uithangt. Andere hulpmiddelen zijn wearables en apps, cameratoezicht, telefoon- en e-mailcontrole.
Mag heimelijke controle?
Controle zonder dat werknemers het weten is alleen toegestaan als er een ‘redelijke verdenking’ is van strafbaar of verboden gedrag. Wel moeten andere middelen dan niets hebben opgeleverd. Ook mag dit soort controle uitsluitend tijdelijk gebeuren met een informatieplicht aan de werkgever achteraf. Vooraf moet er eerst een DPIA privacy-onderzoek zijn uitgevoerd. Dat is een data protection impact assessment, een controle om te kijken hoe hoog het risico van monitoring is voor de privacy van de werknemer(s).
Bij een bedrijf dat een functionaris gegevensbescherming (FG) in dienst heeft, moet de werkgever deze FG om advies vragen bij zo’n DPIA. Als daaruit naar voren komt dat de controle een hoog risico op inbreuk van de privacy vormt, dan is de volgende stap naar de AP gaan. Anders mag een bedrijf absoluut geen controle van het personeel uitvoeren.
Mag volgen van het personeel via wifi of toegangspas in ons land?
In Nederland is het volgen van personeel via wifi of toegangspas, zoals PwC in het VK doet, niet toegestaan. Volgens de wet is dit disproportioneel en in strijd met de privacy en goed werkgeverschap. De rechter kijkt in voorkomende gevallen vooral of er schade of ernstig misbruik is, maar niet naar klein privégebruik. Privacy-vriendelijkheid staat altijd voorop.
(Bron: AP, De Telegraaf, NRC, Financial Times, archief. Foto: ANP).
Mag een werkgever uw sociale media screenen als u solliciteert of er al werkzaam bent?