Mag je thuiswerkend personeel controleren met ‘gluursoftware’?

Zo veel mogelijk thuiswerken is nog steeds het credo in deze crisistijd. Veel grote werkgevers vermoeden dat het thuiswerken ook na afloop van de crisistijd een structureel karakter zal krijgen.

Vorige week berichtte de NOS dat in toenemende mate door werkgevers ‘gluursoftware’ wordt aangeschaft en wordt geïnstalleerd om zo werknemers tijdens het thuiswerken te kunnen volgen. Is dit toegestaan?

Monitoren van personeel

In principe is het controleren van werknemers niet verboden, maar er gelden wel strikte voorwaarden voor het controleren van personeel. Het zogenaamd “heimelijk” monitoren van personeel is in veel omstandigheden niet toegestaan, tenzij voldaan is aan aanvullende voorwaarden.

Met het monitoren van personeel is vaak sprake van verwerking van persoonsgegevens. Zo ook bij het inzetten van ‘gluurapparatuur’. Deze software registreert namelijk het aantal toetsaanslagen, muisbewegingen en de tijd dat een werknemer is ingelogd. Hierop is de AVG (Algemene Verordening Gegevensbescherming) en de UAVG van toepassing.

Daarnaast kan artikel 7:611 BW van belang zijn: werkgever en werknemer zullen zich als goed werkgever en werknemer dienen te gedragen. In dat verband zal de werkgever ook de persoonlijke levenssfeer van de werknemer moeten respecteren. Het is belangrijk om voor ogen te houden dat een werknemer ook tijdens werktijd enige tijd aan privé zaken mag en moet kunnen besteden.

Heeft werkgever een legitieme reden?

Om personeel te kunnen controleren door middel van bijvoorbeeld een personeelsvolgsysteem, zal de werkgever op grond van de AVG een verwerkingsgrondslag moeten hebben.

Een daarvan is een gerechtvaardigd belang, ofwel een legitieme reden. Denk bijvoorbeeld aan het onderzoeken van fraude of bedrijfsdiefstal, dan wel het opsporen en voorkomen van verboden gedrag of gebruik. Dit belang moet zwaarder wegen dan het privacybelang van haar personeel. De belangrijkste vragen daarvoor zijn: Is het op deze wijze volgen van het personeel noodzakelijk? En: zijn er eventuele andere, minder ingrijpende manieren om hetzelfde doel te bereiken?

Heimelijke en/of gerichte controle door middel van gluurapparatuur of gluursoftware is in principe niet toegestaan. De werkgever zal altijd eerst anoniem en steekproefsgewijs het computergebruik moeten monitoren. Pas als de werkgever een concreet vermoeden heeft van “wangedrag” tijdens het thuiswerken, zal werkgever een gerechtvaardigd belang kunnen hebben om tot een gerichte controle over te gaan.

Voor het bepalen van het gerechtvaardigd belang en in het kader daarvan de belangenafweging is ook het type software waarmee gecontroleerd wordt van belang. Werkgever zal dus duidelijk moeten hebben wat de betreffende software precies “controleert”. Wordt bijvoorbeeld alleen de schermtijd gemeten, dan zal dat minder ingrijpend zijn, dan wanneer de software automatisch om de zoveel tijd screenshots maakt van openstaande pagina’s. In het eerste geval zal de belangenafweging eerder ten voordele van werkgever kunnen uitvallen.

Mag een werkgever controleren op basis van toestemming?

Een andere verwerkingsgrondslag betreft toestemming. Maar ‘toestemming’ als verwerkingsgrondslag voor het inzetten van een personeelsvolgsysteem, zoals ‘gluursoftware’, is niet geldig. In de arbeidsrelatie tussen werkgever en werknemer kan immers geen “vrijelijke toestemming” worden gegeven. Dit in verband met de ondergeschiktheidsrelatie die nu eenmaal bestaat tussen werknemer en werkgever.

Overige verplichtingen van werkgever

In alle gevallen zal de werkgever zijn personeel vooraf moeten hebben geïnformeerd dat een controle via software kan plaatsvinden en met welk doel die controle kan plaatsvinden. Daarbij zal de werkgever ook moeten aangeven welke persoonsgegevens worden verwerkt, hoelang deze worden bewaard en wat de rechten van de werknemer zijn. Dit kan bijvoorbeeld via een personeelshandboek en/of een privacyverklaring en/of een reglement computer- en internetgebruik.

Zoals hiervoor al aangegeven: heimelijke controle is dus alleen toegestaan als er een redelijke verdenking is van strafbaar of verboden gedrag en wanneer die controle slechts incidenteel en gericht is.

Een van de aanvullende voorwaarden is dat de werknemer ook na de heimelijke controle moet worden geïnformeerd dat een heimelijke controle heeft plaatsgevonden.

Als sprake is van stelselmatige monitoring of heimelijk controle, zal de werkgever vooraf een zogenaamde “DPIA” moeten uitvoeren. Dat is een uitgebreide risicobeoordeling. Komt uit de DPIA naar voren dat de voorgenomen controle een hoog risico oplevert? En lukt het werkgever niet om maatregelen te vinden om dat risico te beperken, dan zal de werkgever vooraf de Autoriteit Persoonsgegevens moeten raadplegen.

Daarnaast zal de werkgever altijd voorafgaande instemming van de Ondernemingsraad moeten vragen, voordat hij zogenaamde gluursoftware of een vergelijkbaar controlesysteem (personeelsvolgsysteem) wil invoeren.

Slot

Kortom, aan het inzetten van ‘gluursoftware’ kleven juridische haken en ogen. Werkgever zal aan de voorwaarden uit de AVG, UAVG en medezeggenschap moeten voldoen.

Thuiswerken zal straks vaker en meer structureel voorkomen dan voor de coronacrisis. De werkgever dient voor hiertoe te beslissen de afweging te maken of een inzet van zulke software past bij haar visie en bedrijfscultuur. Een groot deel van het personeel zal hier niet warm voor lopen. Vervolgens zal werkgever aan de criteria uit de AVG en UAVG moeten voldoen.

Het privacy team van Hekkelman, waarvan Chantal Grouls deel uitmaakt, kan de werkgever daarmee helpen. Bij vragen kan je altijd contact opnemen.