Je personeel controleren, mag dat?

Vertrouwen is goed, controle is beter. Deze veelgehoorde kreet geldt in grote mate ook voor jouw werknemers. Want als werkgever wil je jouw werknemers natuurlijk kunnen controleren op zaken als:

• Welke websites bezoeken ze?
• Gebruiken ze de werktelefoon voor de juiste doeleinden?
• Vertonen ze onrechtmatig gedrag?

De controle van werknemers is aan strenge regels gebonden, omdat werknemers recht hebben op privacy, ook op de werkvloer. Het doel van dit artikel is om je als werkgever na te laten denken over de verschillende controles die je wilt uitvoeren (e-mail, internet en cameratoezicht) en hoe je dat kunt aanpakken. Een werkgever die zijn personeel wil controleren, moet voldoen aan de regels uit de Wet bescherming persoonsgegevens ('Wbp') en vanaf 25 mei 2018 aan de Algemene verordening gegevensbescherming ('AVG').

Thijs van Liempd, advocaat bij onze partner DVAN, zet hieronder eerst kort de werkingssfeer van de Wbp uiteen. Vervolgens zal hij concreet ingaan op de vereisten om een werknemer te mogen controleren.

Werkingssfeer Wbp
De Wbp is pas aan de orde als sprake is van een (geheel of gedeeltelijk) geautomatiseerde verwerking van persoonsgegevens of van een niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn of worden opgenomen. Denk hierbij aan personeelsdossiers, een inbox met e-mails of een map met personeelsinformatie in de cloud.

Er gelden nog uitzonderingen op de toepasselijkheid van de Wbp, maar het reikt te ver om die hier allemaal te bespreken.

De Wbp gaat - zoals de naam al doet vermoeden - over persoonsgegevens. Dit zijn alle gegevens die te herleiden zijn tot een natuurlijke persoon. Een voorbeeld: als niet direct de naam van een werknemer ergens staat, maar wel een personeelsnummer, is sprake van een persoonsgegeven. Personeelsdossiers vallen daarom ook onder de reikwijdte van de Wbp.

De Wbp is in eerste instantie van toepassing op de 'verantwoordelijke'. De verantwoordelijke is degene die het doel en de middelen van de verwerking van persoonsgegevens vaststelt. Een werkgever is dat meestal zelf.

Het is overigens goed om te weten dat als je een derde inschakelt voor de betaling van het salaris - bijvoorbeeld een salarisadministrateur - een zogenaamde bewerkersovereenkomst moet worden gesloten.

Controle van personeel
Grondslag
Om een werknemer te mogen controleren moet je als werkgever een 'grondslag' voor deze verwerking hebben. Deze zijn:

• Ondubbelzinnige toestemming werknemer
• Noodzakelijk voor de uitvoering van de arbeidsovereenkomst
• Wettelijke verplichting
• Vrijwaring vitaal belang betrokkene
• Vervulling publiekrechtelijke taak bestuursorgaan
• Gerechtvaardigd belang verantwoordelijke

In arbeidsverhoudingen verband zullen voornamelijk grondslagen 2, 3 en 6 aan de orde kunnen zijn.

Toestemming van de werknemer kan niet (snel) worden gebruikt, omdat de werknemer zijn toestemming niet 'vrijelijk' kan geven. De werknemer is namelijk afhankelijk van de werkgever en zal daardoor sneller instemmen met een verwerking van een persoonsgegeven, terwijl hij dat in andere situaties mogelijk niet zo snel zou doen. Een ander nadeel van toestemming is dat deze weer kan worden ingetrokken. En als dat gebeurt, kan niet alsnog op een andere grondslag worden teruggevallen.

Controle kenbaar maken
1. Vastleggen
De werknemers moeten weten dat zij gecontroleerd kunnen worden en waarop. Dit kan bijvoorbeeld door middel van (een):

• privacy statement
• personeelshandboek of
• gedragsregels

Het is belangrijk dat je in het reglement uiteenzet met welk doel je de werknemers controleert en welke persoonsgegevens je daarbij verwerkt. Als werkgever moet je daarbij altijd voor de minst zware optie kiezen. Dit betekent dat er geen andere minder zware middelen beschikbaar zijn om werknemers te controleren. Een voorbeeld: Is cameratoezicht echt noodzakelijk en kan ik mijn doel niet op een andere manier bereiken?

2. Onder de aandacht brengen
Als je een en ander in duidelijke en begrijpelijke taal voor jouw werknemers hebt vastgelegd in een reglement, dan is het natuurlijk van belang om deze regels bij jouw werknemers onder de aandacht te brengen. Het is daarbij aan te raden de werknemers in ieder geval het reglement 'voor gezien' te laten tekenen en de inhoud van het reglement regelmatig onder de aandacht te brengen. Werknemers kunnen zich dan niet meer achter onwetendheid verschuilen.

3. Sancties
In het reglement zullen ook de mogelijke sancties bij een geconstateerde overtreding helder gecommuniceerd moeten worden.

Als je bovenstaande punten opvolgt, dan heb je alle kaarten in handen om werknemers in het geval van een overtreding te controleren, daarop aan te spreken of zelfs te ontslaan.

Ondernemingsraad
Voor werkgevers die een ondernemingsraad hebben ingesteld, geldt dat ook instemming aan de ondernemingsraad moet worden gevraagd om de regeling in te voeren.

Controle uitoefenen
Als je daadwerkelijk gebruik maakt van jouw bevoegdheid tot controle, zijn nog een aantal zaken van belang:

• De controle moet in overeenstemming zijn met het doel dat in het reglement is vastgelegd; doelbinding.
• Per individueel geval is een concrete afweging noodzakelijk, de grondslag moet steeds getoetst worden.
• De controle van privégegevens moet zoveel mogelijk vermeden worden.
• De controle moet gemeld worden aan de Autoriteit Persoonsgegevens, tenzij sprake is van een vrijstellingsregeling zoals bijvoorbreeld de loonadministratie, de interne controle en de bedrijfsbeveiliging.

Geheime controle
Voor een geheime controle gelden daarnaast nog extra voorwaarden, te weten:

• Je hebt een redelijke verdenking dat een of meerdere werknemers een strafbaar feit plegen of andere verboden overtreden.
• Onder bepaalde voorwaarden moet de Autoriteit Persoonsgegevens eerst zelf een onderzoek doen naar de geheime controle voordat je daarmee begint. Denk bijvoorbeeld aan heimelijke observatie (lees: controle door eigen waarneming).
• Voor geheim cameratoezicht geldt bijvoorbeeld dat een reglement (zie hiervoor) moet worden opgesteld en aan de Autoriteit Persoonsgegevens moet worden voorgelegd. Keurt de Autoriteit Persoonsgegevens het reglement goed, dan hoeft niet iedere individuele controle vooraf te worden gemeld;

Je bent gehouden de betrokken werknemer(s) achteraf te informeren over de geheime controle, ook als uit die controle niets is voortgekomen.

Conclusie
Kortom, aan de controle van personeel zitten nogal wat haken en ogen en een delicate afweging is noodzakelijk.

Thijs wil je adviseren om deze regels nauwlettend in het oog te houden en in acht te nemen. Een schending van de Wbp kan namelijk tot forse boetes leiden. Bovendien heb je als werkgever in een mogelijke ontslagzaak een sterker verhaal als het vergaren van bewijs volgens de regels van de Wbp is verlopen.

Vragen?
Heb je vragen over dit artikel? Neem dan contact op met Thijs van Liempd via +31 (0)30 - 285 03 04 of per e-mail via thijs.van.liempd@dvan.nl.

Bron: DVAN Advocatuur & Notariaat