Een toegangspasje op de werkvloer: schending privacy?

Een toegangscontrolesysteem op de werkvloer: hoe zit dat met de privacy?

De Algemene Verordening Gegevensbescherming (AVG) – in het Engels bekend onder de naam GDPR – is inmiddels van toepassing. Deze verordening zorgt ervoor dat in de hele EU dezelfde privacywetgeving geldt. De Wet bescherming persoonsgegevens (Wbp) geldt niet meer.

De AVG is van invloed op talloze (juridische) gebieden binnen organisaties. Hoewel veel onderwerpen al onder de Wet Bescherming Persoonsgegevens geregeld moesten zijn, maakt de AVG behoorlijk wat lawaai op het gebied van privacy. De AVG komt in beeld indien, kort gezegd, verwerking van persoonsgegevens plaatsvindt. Persoonsgegevens – alle gegevens die betrekking hebben op een natuurlijk persoon – komen bij uitstek binnen werkgevers- en werknemersrelaties voor.

Toegangscontrolesystemen

Veel bedrijven kennen of hebben het: een systeem dat werkgevers in staat stelt te bepalen wie hun pand en/of een bepaald gebied binnen dit pand kan betreden. Denk aan een geautoriseerd pasje of (persoonsgebonden) wachtwoord om het pand te betreden, of te verlaten. Hoewel dit soort systemen al een aantal jaren bestaat, worden nieuwe technologieën die zijn bedoeld om toegang te verschaffen ook veelal breder ingezet om het volgen van de activiteiten van werknemers mogelijk te maken. Bijvoorbeeld om te controleren of werknemers tijdig op werk verschijnen. Maar mag dat zomaar? 

Mag u persoonsgegevens verwerken?

Onder de AVG mogen persoonsgegevens niet zomaar verwerkt worden. Daar moet een wettelijke grondslag voor zijn. Ten aanzien van ‘gewone’ persoonsgegevens mogen deze alleen worden verwerkt, als dat gebaseerd kan worden op een in de AVG genoemde wettelijke grondslag. Voor de toegangscontrolesystemen is de grondslag “de gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen” de meest logische. Wil de gegevensverwerking op de grondslag ‘gerechtvaardigd belang’ worden gebaseerd, dan moet worden voldaan aan drie voorwaarden:

  1. Er moet een gerechtvaardigd belang zijn;
  2. Deze moet noodzakelijk zijn, en;
  3. Er dient een afweging plaats te vinden tussen de belangen van werkgever en die van de werknemer.

Voorbeeld

Een werkgever onderhoudt een serverruimte waarin bedrijfsgevoelige gegevens en persoonlijke gegevens met betrekking tot werknemers en klanten worden opgeslagen in digitale vorm. Om deze gegevens te beveiligen tegen ongeoorloofde toegang, heeft de werkgever een toegangscontrolesysteem geïnstalleerd dat de binnenkomst en het vertrek van werknemers registreert en controleert of zij de juiste autorisatie hebben. Mocht een onderdeel van het systeem plotseling ontbreken, iemand zich ongeautoriseerd toegang heeft verschaft, informatie verloren is gegaan of is gestolen, kan de werkgever via het toegangscontrolesysteem nagaan wie op dat moment toegang had tot de ruimte.

Is het de werkgever toegestaan een dergelijk systeem op die wijze te gebruiken? De werkgever heeft een gerechtvaardigd belang, namelijk het beveiligen van de gegevens en voorkomen dat onbevoegd personeel het pand van de werkgever betreedt. Hoewel dit systeem inbreuk maakt op de privacy van de werknemer, is deze verwerking van persoonsgegevens noodzakelijk. Niet bedacht kan worden hoe deze verwerking van persoonsgegevens op een andere, minder inbreuk op de privacy makende manier zou kunnen worden ingericht. Daarnaast kan gezegd worden dat de belangenafweging in het voordeel van de werkgever uitvalt: het gerechtvaardigd belang tot bescherming en beveiliging van deze gegevens weegt zwaarder dan de (geringe) inbreuk op privacy van de werknemer.

Aangezien er een gerechtvaardigd belang is, de verwerking noodzakelijk is en de belangenafweging in het voordeel van de werkgever uitvalt, kan deze verwerking van persoonsgegevens legitiem worden verricht.

Let wel: als aan bovengenoemde 3 voorwaarden is voldaan, moeten werknemers over deze verwerking van persoonsgegevens worden geïnformeerd. Dit kan bijvoorbeeld worden opgenomen in een bepaling in de arbeidsovereenkomst, of in een privacy protocol. Wij raden u dan ook aan een dergelijk protocol op te stellen.

Verder mogen de persoonsgegevens alleen worden gebruikt voor het doel waarvoor ze zijn verzameld (doelbinding). Het voortdurend monitoren van exacte in- en uitlooptijden van de werknemers kan dus bijvoorbeeld niet worden gerechtvaardigd als deze gegevens ook voor een ander doel worden gebruikt, zoals de evaluatie van de werknemersprestaties. De verzamelde persoonsgegevens mogen niet oneindig worden bewaard. Vergeet daarom ook niet de bewaartermijn in de gaten te houden.

N.B. Als degene van wie persoonsgegevens worden verwerkt hiervoor toestemming geeft, is dat volgens de AVG ook een wettelijke grondslag. De Autoriteit Persoonsgegevens geeft aan dat in werkgevers- werknemersrelaties in principe dit geen geldige grondslag kan zijn, en slechts in uitzonderingsgevallen mogelijk is, omdat een gezagsverhouding tussen werkgever en werknemer  bestaat. Dat maakt het implementeren van de AVG binnen de arbeidsrechtelijke verhoudingen tussen werkgever en werknemer dan ook tot een uitdaging.

Arnold Birkhoff, advocaat Arbeidsrecht & Rogier van Huussen, advocaat Arbeidsrecht

Op de hoogte blijven?

Schrijf je in en ontvang de laatste nieuwsupdates, artikelen, blogs en evenement notificaties.