Mag je bijhouden wat je medewerkers op hun computer doen?

Meekijken is één klik verwijderd

Je hebt mensen die thuis of onderweg werken. Je wilt weten of het werk loopt en hoeveel uur er aan een klant zit. Dan kom je al snel uit bij software die het voor je bijhoudt: welke programma's openstaan, hoe lang iemand actief is, soms zelfs elke toetsaanslag en muisbeweging.

Installeren is zo gebeurd. Maar wat je daarmee verzamelt, zijn persoonsgegevens van je eigen medewerkers. En daar zijn de regels strenger dan veel ondernemers denken.

Wat er deze week gebeurde bij Scale AI

Op 27 oktober diende de Oostenrijkse privacyorganisatie noyb vijf klachten in tegen Scale AI, het bedrijf dat via zijn platform Outlier duizenden mensen laat werken aan het trainen van AI-modellen. Eén van die klachten ligt bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens.

De beschuldigingen, zoals Reuters ze samenvatte:

• tot 19 trackers volgen de werkers tijdens hun werk, inclusief het vastleggen van toetsaanslagen en muisbewegingen;
• werkers moeten herhaaldelijk een identiteitsbewijs en een video van hun gezicht aanleveren bij een verificatiebedrijf;
• verzoeken om inzage in de eigen gegevens bleven maandenlang onbeantwoord.

Scale AI noemt de beschuldigingen onjuist en zegt dat werkers worden geïnformeerd en toestemming geven. Een toezichthouder heeft nog niets beslist. Toch is de zaak leerzaam voor elk bedrijf met personeel, omdat precies dezelfde soort software ook bij kleine bedrijven draait.

Wat de AVG zegt over medewerkers volgen

Monitoren van werknemers is niet verboden. De Autoriteit Persoonsgegevens zegt dat zelf ook. Wel moet je als werkgever kunnen laten zien dat het nodig is en dat het niet met minder kan. Daar komt het op neer:

1. Je hebt een goede reden nodig. Voor een werkgever is dat bijna altijd een gerechtvaardigd belang, zoals beveiliging of het kunnen factureren van uren. "Ik wil weten wat ze doen" is geen reden.
2. Het moet in verhouding staan. Kun je hetzelfde doel bereiken met iets dat minder ver gaat, dan moet je dat kiezen. Doorlopend alles vastleggen houdt zelden stand.
3. Je medewerkers moeten het weten, vooraf en in begrijpelijke taal. Stiekem meekijken is vrijwel nooit toegestaan.

Toestemming van de medewerker lijkt een makkelijke uitweg. Dat valt tegen: een medewerker is afhankelijk van jou, dus een "ja" is zelden echt vrijwillig. Toestemming is daarom meestal geen geldige grondslag in een arbeidsrelatie. Dat is ook precies waar noyb Scale AI op aanvalt.

Waar het bij kleine bedrijven misgaat

Drie situaties die we in de praktijk tegenkomen.

Tijdregistratie die stilletjes meer doet. Veel urenregistratietools hebben een optie voor screenshots of activiteitsniveau. Die staat soms standaard aan. Dan registreer je opeens veel meer dan uren, zonder dat iemand daar bewust voor koos.

Inloggen met je vingerafdruk of gezicht. Dat voelt modern en veilig. Maar biometrische gegevens zijn bijzondere persoonsgegevens en mag je alleen gebruiken als het echt nodig is voor beveiliging. Een vingerafdrukscanner om aanwezigheid bij te houden ging in 2020 mis bij een bedrijf dat daarvoor 725.000 euro boete van de Autoriteit Persoonsgegevens kreeg.

AI-tools die meekijken. Nieuwe AI-assistenten kunnen je scherm lezen, vergaderingen samenvatten en bijhouden wie wat zei. Handig voor jezelf. Zet je ze in op het werk van een ander, dan ben je net zo goed gegevens over die persoon aan het verzamelen. Dezelfde vragen als bij klantgegevens gelden dan ook voor je eigen team; hoe je die vragen voor klantdata beantwoordt, staat in AVG en AI: wat mag je wel en niet met klantdata.

Heb je een ondernemingsraad of meer dan 50 mensen?

Heeft je bedrijf een ondernemingsraad, dan heeft die instemmingsrecht bij systemen waarmee je aanwezigheid, gedrag of prestaties van personeel kunt volgen (artikel 27 van de Wet op de ondernemingsraden). Zonder die instemming mag je zo'n systeem niet invoeren.

Daarnaast staat het grootschalig of stelselmatig volgen van werknemers op de lijst van de Autoriteit Persoonsgegevens met verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is. Dat is een vast stappenplan waarin je vooraf de risico's op papier zet. Klinkt zwaar, maar het dwingt je om de vragen hieronder echt te beantwoorden.

Vijf vragen voor je iets aanzet

Loop deze vragen langs voordat je software installeert die medewerkers volgt, of als je wilt weten of wat er al draait in orde is.

1. Welk probleem los je ermee op? Schrijf het in één zin op. Lukt dat niet, dan heb je het waarschijnlijk niet nodig.
2. Kan het lichter? Uren die medewerkers zelf invullen, een wekelijks overleg of afspraken over bereikbaarheid lossen vaak hetzelfde op.
3. Wat legt de tool precies vast? Kijk in de instellingen. Zet screenshots, toetsaanslagen en locatie uit als je ze niet nodig hebt.
4. Weten je medewerkers het? Leg het vast in je personeelshandboek of AI- en privacybeleid en vertel wie de gegevens ziet en hoe lang ze bewaard blijven.
5. Wie kan erbij en hoe lang? Beperk de toegang tot één of twee mensen en stel een bewaartermijn in. Gegevens die je niet meer nodig hebt, verwijder je.

Kom je bij vraag twee al uit op "ja, het kan lichter", dan heb je je antwoord. Dat scheelt je niet alleen een privacyrisico. Het scheelt ook vertrouwen, want mensen die weten dat elke toetsaanslag wordt geteld, werken meestal niet harder. Ze werken vooral voorzichtiger.

Wat wij aanraden

Gebruik software om werk zichtbaar te maken en niet om mensen te volgen. Een automatische urenregistratie die per klant of project bijhoudt hoeveel tijd erin zit, levert je factureerbare informatie op zonder dat je weet wanneer iemand koffie haalt. Een gedeeld overzicht van wat er af is, vertelt je meer over voortgang dan een activiteitsmeter.

En draait er al iets? Kijk dan deze week even in de instellingen van je urenregistratie en je beveiligingssoftware. Vaak staat er meer aan dan je denkt. Zet uit wat je niet gebruikt en vertel je team wat er overblijft.

Benieuwd wat dit voor jouw bedrijf betekent? We kijken het graag samen met je door.