GPS in de bedrijfsauto: wat mag je als werkgever volgen?

Een zaakauto met een gps-tracker, boordcomputer of black box: bij bedrijven met een wagenpark is het al heel gewoon. Maar mag je als werkgever eigenlijk zien waar je werknemer rijdt, hoe lang hij stilstaat, en hoe hard hij optrekt?

Volgens de Autoriteit Persoonsgegevens (AP) is het antwoord ja, onder voorwaarden. De AP schrijft het zo:

Ja, uw werkgever mag gps plaatsen in uw auto van de zaak. Of een ander track & trace-systeem. Zoals een boordcomputer of black box.

Maar daar hoort direct een beperking bij: het mag alleen als het noodzakelijk is, en je moet je houden aan de regels uit de AVG.

Een gps-tracker in een bedrijfsauto valt onder wat de AP een personeelsvolgsysteem noemt: elk systeem dat ingezet wordt, of ingezet kan worden, om de aanwezigheid, het gedrag of de prestaties van werknemers te volgen. Daaronder vallen niet alleen gps-trackers, maar ook toegangspassen, camera's, software die toetsaanslagen of internetgebruik registreert, en wearables zoals een smartwatch. Zodra zo'n systeem er is - ook als je het nog niet gebruikt om te controleren - gelden de regels voor personeelsvolgsystemen.

Dat betekent niet dat je werknemers continu mag volgen zodra er een zakelijke reden is. Noodzakelijkheid is de kern: kun je het doel ook bereiken met een minder ingrijpende methode, dan moet je die kiezen.

De AVG geeft geen vrijbrief voor volgsystemen, ook niet als je ze zelf nuttig vindt. Je moet eerst vaststellen wat het doel is - bijvoorbeeld planning, brandstofverbruik beperken, of diefstal van de auto voorkomen - en vervolgens beoordelen of gps daarvoor echt nodig is.

Voor dit soort systematische controle van werknemers via track & trace geldt in de praktijk de verplichting om vooraf een data protection impact assessment (DPIA) te maken. Een DPIA is een risicobeoordeling op papier: welke gegevens verzamel je, hoe lang bewaar je ze, wie kan erbij, en wegen de belangen van je bedrijf echt op tegen het privacybelang van de werknemer? Zonder die afweging op papier kun je niet aantonen dat je de AVG hebt gevolgd, en dat is precies waar de AP naar kijkt zodra er een klacht binnenkomt.

Daarnaast geldt een informatieplicht. Werknemers moeten vooraf weten dat er gevolgd wordt, waarom, en wat er met de gegevens gebeurt. Dat regel je doorgaans via een interne regeling of personeelshandboek, niet via een mondelinge mededeling achteraf.

Heimelijk volgen - zonder dat werknemers dit weten - mag in beginsel niet structureel. Dat is alleen onder strenge voorwaarden toegestaan, bijvoorbeeld bij een concreet en onderbouwd vermoeden van fraude of diefstal, en dan nog tijdelijk en met een eigen afweging vooraf.

Hier gaat het vaak mis: bedrijven regelen de AVG-kant, maar vergeten de ondernemingsraad (OR). Dat is een losse, extra horde, naast de AVG, en staat niet in de privacywet maar in het arbeidsrecht.

Artikel 27, eerste lid, onder l, van de Wet op de ondernemingsraden (WOR) geeft de OR instemmingsrecht bij elke regeling voor een personeelsvolgsysteem. Een gps-tracker in de bedrijfsauto valt daar vrijwel altijd onder. Zonder instemming van de OR mag je het systeem in beginsel niet invoeren, ook niet als de AVG verder op orde is. Wil je toch door zonder instemming, dan kun je toestemming vragen aan de kantonrechter op grond van artikel 27, vierde lid, WOR - maar dat is de uitzondering, niet de normale route.

Dit geldt niet alleen voor een nieuw systeem. Ook als je een bestaand systeem anders gaat gebruiken - bijvoorbeeld van alleen planning naar ook functioneringsgesprekken - moet de OR daar opnieuw naar kijken. Het geldt zelfs voor systemen die je nog niet gebruikt om te volgen, maar die dat wel zouden kunnen: de OR mag dan vooraf afspreken onder welke voorwaarden gebruik wel is toegestaan.

Praktisch betekent dit: leg de regeling schriftelijk voor aan de OR voordat je een tracker bestelt of activeert, niet erna. Achteraf instemming vragen voor iets dat al draait, zet de OR voor het blok en is juridisch kwetsbaar.

Veel bedrijven met een paar bestelbussen hebben geen 50 werknemers en dus geen wettelijk verplichte OR. Volgens de Rijksoverheid is een OR pas verplicht vanaf 50 medewerkers. Betekent dat dat de instemmingsregel dan niet geldt? Niet helemaal, en niet in alle gevallen op dezelfde manier.

Bij 10 tot 50 werknemers is een OR niet verplicht, maar is instelling wel toegestaan. Vraagt de meerderheid van de werknemers om een personeelsvertegenwoordiging (PVT), dan is die verplicht, met minimaal drie leden. Is er geen OR en geen PVT, dan moet je als werkgever minimaal twee keer per jaar een personeelsvergadering organiseren waarin het personeel inspraak en informatie krijgt.

De wettelijke instemmingsregel van artikel 27 WOR is geschreven voor de ondernemingsraad. Heb je geen OR, dan heb je niet automatisch diezelfde wettelijke instemmingsplicht via een PVT of personeelsvergadering. Maar de AVG-verplichtingen - een duidelijk doel, noodzaak, een DPIA, en werknemers vooraf informeren - blijven gewoon gelden, met of zonder OR.

In de praktijk is het daarom slim om het volgsysteem ook zonder OR niet zomaar in te voeren. Bespreek het vooraf met je personeel, leg schriftelijk vast waarom je het doet en wat je ermee doet, en wees voorbereid om dat te kunnen laten zien als een werknemer er vragen over stelt. Dat voorkomt een groot deel van de klachten die bij de AP binnenkomen.

Een laatste knelpunt: veel werknemers mogen de zaakauto ook privé gebruiken. Volgen tijdens werktijd is één ding; volgen tijdens het boodschappen doen op zaterdag is iets anders. Bij privégebruik weegt het privacybelang van de werknemer volgens de AP meestal zwaarder dan het belang van de werkgever. In de praktijk lossen veel bedrijven dit op door werknemers de tracker, boordcomputer of black box tijdens privégebruik zelf te laten uitschakelen.

Die keuze heb je niet altijd. Bij een systeem dat wettelijk verplicht is - zoals de tachograaf voor vrachtwagenchauffeurs - mag een werknemer het apparaat niet uitzetten of weigeren. De werkgever moet die gegevens dan wel zorgvuldig beveiligen en verwijderen zodra ze niet meer nodig zijn.

Wil je een gps-systeem invoeren, volg dan deze volgorde: bepaal eerst het concrete doel, toets of een lichtere maatregel ook had volstaan, leg de uitkomst vast in een DPIA, informeer je personeel schriftelijk, en leg de regeling voor aan de OR of PVT voordat je bestelt.

Die volgorde - doel, noodzaak, documentatie, instemming - is precies waar de AP op toetst zodra er een klacht binnenkomt. Omdraaien, en pas achteraf uitleggen waarom het nodig was, is de meest gemaakte fout. Een tracker die je eerst plaatst en daarna pas aanmeldt bij de OR, kost achteraf meer tijd en vertrouwen dan de paar weken die het vooraf regelen in beslag neemt.