Big Brother is watching: toezicht en privacy op de werkvloer

2 maart 2023 | Leestijd: 4 minuten

Onlangs was weer in het nieuws dat werkgevers hun (thuiswerkende) medewerkers steeds vaker controleren. Door middel van monitoring van internet -en emailgebruik, maar ook met cameratoezicht. Het is dan ook geen toeval dat de Autoriteit Persoonsgegevens al jaren een stijgend aantal klachten ontvangt over privacy schendingen. Ook rechters krijgen in ontslagprocedures steeds vaker te maken met vermeende privacy schending op de werkvloer. Maar wat mag er wel en wat niet?

Wettelijke basis

De regels rondom privacy hebben een wettelijke basis in meerdere reglementen. Op Europees niveau is er de AVG (Algemene verordening gegevensbescherming) en het EVRM (Europees Verdrag voor de Rechten van de Mens). In Nederland heeft het recht op privacy een basis in de Grondwet en in artikel 7:611 van het Burgerlijk Wetboek (goed werkgeverschap).

Grondslagen van de AVG

De AVG beschrijft zes redenen waarom persoonsgegevens mogen worden verwerkt:

- De persoon heeft toestemming gegeven;
- Verwerking is nodig om een overeenkomst uit te voeren;
- Er is een wettelijke verplichting om de gegevens te verwerken;
- Verwerking is nodig om iemands leven te beschermen;
- Verwerking is nodig om een taak van algemeen belang of openbaar gezag uit te voeren;
- Verwerking is nodig om legitieme belangen te behartigen.

Legitiem doel

Bij conflicten tussen werkgever en werknemer over privacy, gaat het meestal om de vraag of de werkgever een gerechtvaardigd belang heeft bij de privacy schending. De werkgever moet daarbij een zogenaamd ‘legitiem doel’ hebben. De gegevens die worden verwerkt, moeten voldoende worden beschermd en mogen niet langer worden bewaard dan nodig. Verder moeten zo weinig mogelijk mensen toegang hebben tot deze gegevens en heeft de werknemer heeft recht op informatie over de manier waarop zijn gegevens worden verwerkt. Die informatie moet toegankelijk en duidelijk zijn. Er moet kort samengevat voldaan zijn aan de eisen van proportionaliteit en subsidiariteit.

Proportionaliteit
Proportionaliteit draait om de vraag: staat het belang dat wordt gediend in verhouding tot de inbreuk die op het recht op privacy wordt gemaakt?

Subsidiariteit
Voor subsidiariteit geldt: is de manier waarop de inbreuk wordt gemaakt de beste, enige manier om het doel te bereiken? Of is er een minder ingrijpende manier?

Heimelijke controle

In bepaalde gevallen mag de werkgever een werknemer controleren, zonder dat die op de hoogte is. Voor zo’n zogeheten heimelijke controle gelden een aantal extra eisen:
• De werkgever moet een redelijke verdenking hebben;
• De inbreuk op de privacy van de werknemer moet zo klein mogelijk blijven
• Achteraf moet de werkgever de controle bekendmaken
• Voorafgaand aan de heimelijke controle moet de werkgever een zogeheten DPIA (Data Protection Impact Assessment) uitvoeren.

Combinatie van rechtsgronden

Bij privacy zaken gebruiken juristen vaak een combinatie van de AVG, EVRM werkgeverschap als rechtsgrond. Dit omdat de verschillende regelen ieder hun beperkingen hebben. Zo kunt u alleen een beroep doen op de AVG als er sprake is van de verwerking van gegevens. Als medewerkers bijvoorbeeld bezwaar willen maken tegen cameratoezicht waarbij geen beelden worden opgeslagen, dan is de AVG niet van toepassing maar kunnen ze wel een beroep doen op artikel 8 van de EVRM, het recht op privacy, of op goed werkgeverschap volgens artikel 7:611 van het Burgerlijk wetboek.

Rechtspraak op basis van artikel 8 EVRM

Zowel de Europese als de Nederlandse rechter gebruikt artikel 8 EVRM om te toetsen of er sprake van een legitiem doel, noodzakelijkheid, proportionaliteit en subsidiariteit.

Dat betekent concreet het volgende: de controle door de werkgever mag niet verder gaan dan noodzakelijk is om een gerechtvaardigd doel te bereiken. Er moet een concrete aanleiding zijn voor de controle. Bovendien mag de inbreuk op de privacy van de werknemer niet onevenredig zijn in verhouding tot het doel van de gegevensverwerking. Ook moet duidelijk zijn dat de werkgever het doel niet op een andere, minder ingrijpende manier (dus zonder controle van de werknemer) kan bereiken.

Acties en gevolgen bij een privacy schending

Als een werknemer te maken krijgt met een schending van zijn privacy en er worden gegevens verwerkt, dan kan de werknemer een melding maken bij de Autoriteit Persoonsgegevens. Bovendien kan de werknemer mogelijk aanspraak maken op een (immateriële) schadevergoeding.

Soms kan een werkgever informatie die hij heeft verkregen door het schenden van de privacy toch gebruiken in een ontslagprocedure, omdat het belang van de waarheid zwaarder kan wegen dan de bescherming van de privacy. De rechter kan echter beslissen om deze informatie niet mee te nemen in zijn besluit. Vaak wordt de privacy-schending wel meegewogen bij het bepalen van de hoogte van een eventuele ontslagvergoeding voor de werknemer.

Uitspraak kantonrechter
Zo besloot de kantonrechter in Tilburg in een recente uitspraak dat een werkgever niet mocht eisen dat een thuiswerkende werknemer de hele dag de camera van zijn computer aan moest laten. Het argument dat een werknemer op kantoor ook continu gezien wordt, werd verworpen. Met als gevolg dat de werkgever een forse vergoeding aan de werknemer moest betalen.

Conclusie: meer schendingen, ondanks wettelijke waarborgen

Hoewel er wetten zijn om de privacy van werknemers te beschermen, lijkt het aantal gevallen van schendingen toe te nemen. Dit kan komen doordat werkgevers onvoldoende bekend zijn met de wet- en regelgeving. Een werkgever moet per geval beoordelen of een inbreuk op de privacy van de werknemer voldoet aan de eisen van de wet en de rechtspraak. Het is belangrijk om een duidelijk beleid te hebben dat bekend is bij het personeel. Werknemers moeten zich ervan bewust zijn dat er controles plaatsvinden en dat het gebruik van digitale apparaten tijdens werktijd beperkt moet blijven tot zakelijk gebruik.