Werkgevers hebben een legitiem belang om controlemaatregelen in te zetten, maar werknemers hebben recht op privacy. De balans daartussen is geen grijs gebied, maar een juridisch speelveld met duidelijke spelregels.
Wanneer mag je controleren?
Toezicht op werknemers is niet verboden, maar moet aan strikte voorwaarden voldoen. De basisregels:
- Noodzaak: is de maatregel écht nodig voor het beoogde doel?
- Proportionaliteit: staat het middel in verhouding tot het belang?
- Subsidiariteit: zijn er geen minder ingrijpende alternatieven?
Zonder deze drie pijlers is de controle al snel in strijd met de AVG of het goed werkgeverschap.
E-mail, internet & cameratoezicht
Werkgevers mogen e-mails, internetgebruik of camerabeelden niet zomaar bekijken. Er gelden verschillende eisen:
- Werknemers moeten vooraf duidelijk geïnformeerd zijn
- Controle mag geen standaardprocedure zijn, maar alleen plaatsvinden bij concrete aanleiding
- Cameratoezicht mag niet gericht zijn op individuele gedragingen van werknemers zonder zwaarwegend belang voor de werkgever
- Opslag van beelden of logs moet beperkt blijven tot wat strikt noodzakelijk is
Let op: heimelijke controle (zoals verborgen camera’s of stil meelezen van e-mail) is in principe verboden, tenzij er sprake is van een strafbaar feit en geen andere mogelijkheid bestaat om bijvoorbeeld bewijs te verzamelen.
Gezondheid en medische informatie
Gezondheidsgegevens zijn ‘bijzondere persoonsgegevens’ in de zin van de AVG. Werkgevers mogen deze niet zelf verwerken – ook niet als de werknemer zelf informatie aanlevert.
Wat mag wel?
- De bedrijfsarts mag beperkingen en mogelijkheden vastleggen, maar geen diagnoses delen
- Werkgevers mogen vragen naar de verwachte duur van het verzuim, maar niet naar de oorzaak
- Gegevens over psychische klachten, burn-out of behandelingen horen niet in personeelsdossiers thuis
Toestemming is géén vrijbrief
Veel werkgevers denken dat toestemming alles oplost. Maar in de arbeidsrelatie is toestemming zelden ‘vrij gegeven’. Door de gezagsverhouding is toestemming meestal niet geldig als grondslag voor verwerking. Beter is het om te werken met duidelijke regelingen, gebaseerd op wettelijke uitzonderingen.
Verzuimbeleid & privacy
Verzuimregistratie en re-integratie raken direct aan privacy. Werkgevers willen graag weten wat er speelt, maar mogen nog veel minder dan vaak wordt gedacht. Veelgemaakte fouten:
- Werkgevers die zelf medische gegevens noteren of opvragen (vragen naar de behandeling, vragen of er al een diagnose is gesteld)
- Noteren van diagnoses of behandeltrajecten, ook niet als de werknemer die spontaan deelt
- Medewerkers laten invullen welk ziektebeeld of welke psychische klachten er spelen
- Geen scheiding tussen functionele informatie en persoonlijke informatie
- Te lange bewaartermijnen of onduidelijke protocollen
Een goed verzuimprotocol is juridisch zuiver en praktisch toepasbaar. Een goed privacyproof verzuimbeleid maakt een duidelijk onderscheid tussen medische en functionele gegevens. Het is verstandig om leidinggevenden hier actief over te informeren – veel fouten ontstaan uit onwetendheid of goede bedoelingen.
Tot slot: ook bewaartermijnen zijn van belang. Niet alle informatie mag voor onbepaalde tijd worden opgeslagen. Denk aan:
- Ziekmeldingen: maximaal 2 jaar
- Informatie over beperkingen: alleen zolang deze relevant is voor de re-integratie
- Re-integratiedossiers: zie richtlijnen van het UWV en Autoriteit Persoonsgegevens
Een strak verzuimprotocol voorkomt onnodige risico’s en privacy-inbreuken – en versterkt tegelijk het vertrouwen binnen het team.
Wat moet op papier staan?
Zorg voor een goed vastgelegd privacybeleid. Belangrijke onderdelen:
- Interne protocollen over e-mail, cameratoezicht, IT en Bring Your Own Device (BYOD; gebruiken van privé laptops of telefoons voor werk)
- Privacyverklaring voor personeel
- Verwerkersovereenkomsten met externe dienstverleners
- Register van verwerkingsactiviteiten
Dit is niet alleen verplicht onder de AVG, maar voorkomt ook gedoe als er ooit een geschil ontstaat.
Privacy tegenover collega’s en derden
Werkgevers staan regelmatig voor de vraag wat ze intern of extern mogen delen over werknemers. De grens tussen collegiaal meedenken en een privacy-inbreuk is snel overschreden.
Ziekmelding: wat mag je zeggen tegen collega’s?
- Het is wel toegestaan om te melden dát iemand afwezig is wegens ziekte.
- Het is niet toegestaan om de reden, aard of duur van het verzuim te delen.
- Vermeld in een agenda of rooster liever neutraal: afwezig of niet beschikbaar, in plaats van ziek.
- Bij langdurige afwezigheid kan – mits de werknemer daarmee instemt – een iets uitgebreidere toelichting worden gegeven, maar altijd beperkt en terughoudend. Nooit over medische informatie.
Gegevens delen voor privédoeleinden
- Privégegevens zoals een adres, telefoonnummer of persoonlijke situatie delen met collega’s of klanten mag niet zonder toestemming, ook niet met de beste bedoelingen.
- Wil iemand bijvoorbeeld een geboortekaartje of bloemetje sturen? Vraag dan eerst toestemming aan de werknemer of bied aan om het kaartje namens het team te versturen.
- Ook namen van gezinsleden of foto’s van personeelsuitjes kunnen onder de AVG vallen als ze herleidbaar zijn.
Vuistregel
Alles wat niet strikt noodzakelijk is voor het uitvoeren van de arbeidsovereenkomst, mag alleen met expliciete toestemming worden gedeeld. En die toestemming moet vrij gegeven zijn, specifiek, en aantoonbaar. In een arbeidsrelatie wordt ook gegeven toestemming vaak niet als voldoende gezien. De toestemming moet echt vrij zijn gegeven, zonder enige druk.
Een privacybewuste werkcultuur vraagt om duidelijke spelregels én bewustwording bij leidinggevenden en collega’s. Zo voorkom je ongemakkelijke situaties en juridische risico’s.
Tot slot
Controle en privacy hoeven elkaar niet te bijten – mits de spelregels worden gevolgd. Een helder beleid en zorgvuldige uitvoering zorgen voor rust, naleving én vertrouwen op de werkvloer.
Deze tekst is bedoeld als algemene toelichting. Er worden op dit moment geen juridische diensten aangeboden of opdrachten aangenomen.
Lisanne Vanhommerig 