Omdat meer werknemers thuiswerken, zijn er meer werkgevers geïnteresseerd in manieren waarop zij (de productiviteit van) hun personeel kunnen monitoren. Onder omstandigheden kunnen werkgevers hiervoor gebruik maken van personeelsvolgsystemen die gericht zijn op het waarnemen van werknemers en hun gedrag. Denk bijvoorbeeld aan cameratoezicht of het registreren van toetsaanslagen. Hierbij kan de privacy van werknemers in het geding komen, namelijk wanneer die personeelsvolgsystemen persoonsgegevens verwerken. Als bij het bedrijf van de werkgever een ondernemingsraad (OR) is ingesteld, speelt deze een grote rol bij de implementatie van personeelsvolgsystemen. Uit de Wet op de Ondernemingsraden (WOR) volgt namelijk dat de OR instemmingsrecht heeft ten aanzien van regelingen als gevolg waarvan persoonsgegevens van het personeel worden verwerkt.

Om de OR ondersteuning te bieden bij het vormen van een oordeel over een regeling waarbij persoonsgegevens worden verwerkt, heeft de Autoriteit Persoonsgegevens (AP) een hulpmiddel ontwikkeld: het OR-privacyboekje.

Het boekje geeft een duidelijke weergave van belangrijke principes uit de WOR en de privacywet, de AVG. Daarnaast biedt het boekje praktische handvatten waarmee de OR de volgende punten kan monitoren en beoordelen.

Is er sprake van een persoonsgegeven?

Een persoonsgegeven in de zin van de AVG is alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Gegevens over medicijngebruik of ziekteverzuim zijn naar hun aard extra gevoelig, en worden daarom als bijzondere persoonsgegevens aangemerkt.

Is er sprake van verwerking van persoonsgegevens?

De verwerking van persoonsgegevens moet ruim worden uitgelegd. In principe valt elke (geautomatiseerde) verwerking hieronder. Denk aan het opschrijven, opslaan, wijzigen, of doorsturen van gegevens.

Wie is er verantwoordelijk voor de verwerking?

Zodra er sprake is van verwerking, is er altijd een verwerkingsverantwoordelijke. Dat is degene die beslist of er persoonsgegevens worden verwerkt en op welke manier. Daarom moet worden vastsgesteld wie als verwerkingsverantwoordelijke kan worden aangemerkt. In arbeidssituaties zal dit vaak de werkgever zijn.

De verwerking van persoonsgegevens moet ruim worden uitgelegd. In principe valt elke (geautomatiseerde) verwerking hieronder.

Moet de OR om instemming worden gevraagd?

De OR heeft een instemmingsrecht wanneer een werkgever voornemens is persoonsgegevens te gaan verwerken, en wanneer een werkgever voornemens is een bestaande regeling met betrekking tot de verwerking van persoonsgegevens te veranderen of in te trekken.

Worden de persoonsgegevens gerechtvaardigd verzameld?

Persoonsgegevens mogen alleen voor een welbepaald en gerechtvaardigd doeleinde worden verzameld. Gegevens die voor een bepaald doel worden verzameld mogen daarom in principe niet gebruikt worden voor een ander doeleinde.

Worden persoonsgegevens op de juiste manier verwerkt?

Persoonsgegevens mogen alleen rechtmatig worden verwerkt. Dit houdt in dat er altijd een geldige reden moet zijn voor de verwerking, bijvoorbeeld als dit noodzakelijk is ter uitvoering van een overeenkomst. Voor bijzondere persoonsgegevens geldt dat de verwerking in principe verboden is, tenzij er een wettelijke uitzondering geldt én de verwerkingsverantwoordelijke een grondslag heeft.

Verder moet de OR onder meer kunnen beoordelen of de werkgever voldoende maatregelen treft om persoonsgegevens te actualiseren, of werknemers in kunnen zien wie hun gegevens precies verwerkt (en met welk doel), of er niet meer gegevens worden verwerkt dan noodzakelijk, en of persoonsgegevens niet worden doorgegeven naar landen waar een lagere gegevensbescherming geldt.

Voor bijzondere persoonsgegevens geldt dat de verwerking in principe verboden is, tenzij er een wettelijke uitzondering geldt én de verwerkingsverantwoordelijke een grondslag heeft.

Is het gebruik van een personeelsvolgsysteem gerechtvaardigd?

Het boekje bevat tot slot een aantal handige toetsvragen die de OR kan stellen om een personeelsvolgsysteem gericht te beoordelen:

• Is er sprake van een personeelsvolgsysteem?
• Is het gebruik van het personeelsvolgsysteem noodzakelijk in de organisatie?
• Worden werknemers van tevoren op de hoogte gesteld van het volgen?
• Wordt de beoordeling van personeel uitsluitend gebaseerd op de gegevens die verzameld zijn door het personeelsvolgsysteem?

De volledige inhoud van het boekje is hier te raadplegen.