GPS tracking schoonmaakpersoneel: wat de AP en het OR-instemmingsrecht echt toestaan

Het is dinsdagavond, tien voor elf. U zit aan de keukentafel van uw rijtjeshuis in Houten, een halfvolle mok thee koud naast de laptop, en u scrollt door de nieuwsbrief van uw accountant. Halverwege ziet u een kader. Kop: “Autoriteit Persoonsgegevens beboet schoonmaakbedrijf met 525.000 euro voor onrechtmatige GPS-monitoring werknemers”. U leest de samenvatting twee keer. Vijfhonderdvijfentwintigduizend euro. Het bedrag blijft in uw hoofd hangen terwijl u de lichten uitdoet, naar boven loopt en in bed gaat liggen. Uw vrouw zegt dat u die telefoon eens moet wegleggen. U hoort het niet eens meer.

En toch wilde u dat GPS-systeem nu juist écht invoeren. U leidt een schoonmaakbedrijf met zesentwintig medewerkers in vaste dienst en negen oproepkrachten, verdeeld over tweeëndertig objecten tussen Utrecht, Nieuwegein en Amersfoort. Elke maandagochtend zit u te kijken naar handgeschreven werkbriefjes van de voorlieden die ongeveer evenveel met de werkelijkheid van doen hebben als een weersvoorspelling van twee weken vooruit. Pauzes naar beneden afgerond, vroeg vertrokken zonder melding, of soms juist gefantaseerde overuren. Uw accountant zegt het bij elke kwartaalrapportage al twee jaar: “Meneer De Vries, zonder een objectief tijdregistratiesysteem krijgt u dit nooit in de hand, en sinds het CJEU-arrest over arbeidstijden bent u er sowieso toe verplicht.” Maar dat kader in de nieuwsbrief zit nu in uw maag. En uw branchegenoot, met wie u vorige week op de OSB-bijeenkomst sprak, zei letterlijk het tegenovergestelde: “Laat dat GPS zitten, de AP staat met de boete klaar en de OR fileert je.”

Het probleem is dat ze allebei maar een halve waarheid vertellen. GPS tracking van schoonmaakpersoneel in Nederland is niet verboden en ook niet vogelvrij. Er is een ruim, helder afgebakend gebied waarin het volledig rechtmatig is, dat standhoudt bij de kantonrechter en u zelfs helpt bij factuurgeschillen met opdrachtgevers. En er is een smalle strook eromheen waarin u die zes cijfers van de AP-boete tegenkomt. Het verschil zit niet in GPS zelf, het zit in de manier waarop u het implementeert.

Wat AVG, UAVG en het AP-richtsnoer personeelsvolgsystemen echt zeggen

Onder de AVG heeft elke verwerking van persoonsgegevens van uw medewerkers een grondslag uit artikel 6 nodig. In een arbeidsrelatie is toestemming vrijwel nooit de juiste grondslag, de Autoriteit Persoonsgegevens en het Europees Comité voor gegevensbescherming herhalen al jaren dat toestemming in een gezagsverhouding niet werkelijk vrij gegeven is. De grondslag die u in de praktijk gebruikt is gerechtvaardigd belang volgens artikel 6 lid 1 sub f, gecombineerd met de toetsing die het AP-richtsnoer Controle van werknemers en het richtsnoer over personeelsvolgsystemen voorschrijven. Die toetsing kent drie stappen: u benoemt het gerechtvaardigde belang (correcte urenregistratie, accurate facturering naar de opdrachtgever, bewijs van geleverde prestatie, veiligheid van alleenwerkenden in vroege diensten), u toetst de noodzaak (kunt u dat doel redelijkerwijs zonder GPS bereiken?), en u maakt de belangenafweging tegen de privacy en redelijke verwachtingen van de werknemer.

Het AP-richtsnoer trekt de grens scherp. Locatiegegevens mogen worden vastgelegd voor duidelijk omschreven, gerechtvaardigde doeleinden, en niet meer dan voor die doeleinden strikt nodig is. Punctuele locatievastlegging op het moment van in- en uitklokken op de werkplek wordt door de AP herhaaldelijk gekwalificeerd als proportioneel voor de doelen tijdregistratie en bewijs van aanwezigheid. Continue locatievastlegging gedurende de hele dienst, waardoor een minuut-voor-minuut bewegingsprofiel ontstaat, wordt door de AP doorgaans als bovenmatig aangemerkt en bestraft, ook in de schoonmaaksector. De AP-boetes die het nieuws halen, zoals die uit 2021 tegen een bekend logistiek bedrijf, gaan vrijwel allemaal over drie patronen: doorlopend volgen zonder rechtvaardiging, gebrekkige informatieverstrekking aan de werknemer, en bewaartermijnen die buiten proportie zijn.

Daarbovenop komt sinds het CMS Vox arrest van het Hof van Justitie van mei 2019 en de daarop volgende Nederlandse praktijk de plicht om als werkgever een objectief, betrouwbaar en toegankelijk systeem te hebben voor de registratie van dagelijkse arbeidstijd. Boek 7 van het Burgerlijk Wetboek (artikel 7:611 over goed werkgeverschap) en de Arbeidstijdenwet vereisen sluitende administratie. Een goed geïmplementeerde GPS-klok voldoet aan deze plichten in één keer en vormt tegelijk uw verdediging bij factuurdiscussies en arbeidsgeschillen. Wat u dus moet doen om andere wettelijke verplichtingen te vervullen, beschermt u tegelijkertijd. De AVG verbiedt dat niet, die eist alleen dat u het proportioneel doet.

Wat u concreet wel en niet mag

U mag de GPS-coördinaten van de schoonmaker op het exacte moment vastleggen waarop hij of zij op de telefoon op “Dienst starten” en “Dienst beëindigen” tikt, om te verifiëren dat het klokken ook werkelijk op het object plaatsvindt en niet vanaf de bank thuis. U mag dat gegeven bewaren gedurende de periode die nodig is voor salarisverwerking, facturering en eventuele juridische verdediging, doorgaans twee jaar voor arbeidstijdadministratie op grond van de Arbeidstijdenwet, zeven jaar voor de fiscale bewaarplicht waar relevant, met goed gemotiveerde uitloop bij concrete geschillen. U mag dat gegeven inbrengen bij de kantonrechter of bij een opdrachtgever die een factuur betwist, en het heeft daar volledige bewijskracht. U mag geaggregeerde, geanonimiseerde rapportages gebruiken om routes en planning te optimaliseren.

Wat u niet mag is GPS op de achtergrond laten meelopen gedurende de hele dienst zodat u kunt zien in welke ruimte de schoonmaker bezig is of welke route hij tussen twee objecten neemt. Dat is een bewegingsprofiel en dat sneuvelt op proportionaliteit. U mag geen locatiegegevens verzamelen buiten werktijd, ook niet “voor de veiligheid”. U mag de gegevens niet voor onbepaalde tijd bewaren “voor het geval dat”, want artikel 5 lid 1 sub e AVG eist opslagbeperking. U mag aan de eindopdrachtgever geen individuele, naar persoon herleidbare locatiegegevens doorgeven, alleen geaggregeerde informatie. En u mag het systeem niet aanzetten zonder voorafgaande Data Protection Impact Assessment (DPIA), omdat de AP systematische monitoring van werknemers expliciet op de lijst van hoog-risicoverwerkingen heeft staan en het achterwege laten van de DPIA op zichzelf al beboetbaar is, los van eventuele inhoudelijke gebreken.

Een concreet voorbeeld maakt de lijn scherp. Esra Yıldız, 39 jaar, schoonmaker op uw object van een advocatenkantoor aan de Maliebaan in Utrecht, opent om 18:00 de app op haar werktelefoon, tikt op “Start”, de app leest de coördinaten, bevestigt dat ze op het juiste adres is, registreert de tijd. Om 20:30 tikt ze op “Einde”, zelfde procedure. Tussen 18:00 en 20:30 staat de locatieservice uit, de app weet niet waar mevrouw Yıldız is en vraagt het ook niet. Deze opstelling is netjes, audit-bestendig, verdedigbaar tegenover de AP. Zou de app daarentegen elke drie minuten haar locatie pingen en uw locatiemanager een melding sturen dat ze “zes minuten stilstaat” in de gang, dan schrijft u zelf de motivering van een AP-boete.

Werknemersinformatie en instemmingsrecht van de OR (artikel 27 WOR)

Zodra uw bedrijf vijftig of meer werknemers heeft en er dus een ondernemingsraad is, komt artikel 27 van de Wet op de ondernemingsraden hard in beeld. Lid 1 onder l van dat artikel geeft de OR instemmingsrecht over elk voorgenomen besluit tot vaststelling, wijziging of intrekking van een regeling omtrent voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van de werknemers. Een GPS-klok valt daar onverkort onder. Zonder positieve instemming van de OR, of een vervangende uitspraak van de kantonrechter, mag u het systeem niet invoeren, en doet u het toch, dan is het besluit nietig. De OR kan dus daadwerkelijk de invoering blokkeren totdat overeenstemming is bereikt over reikwijdte, bewaartermijnen, toegangsrechten, anonimisering en het uitsluiten van disciplinair gebruik buiten een afgesproken kader.

Dat klinkt zwaar, is in de praktijk routine. OSB (Ondernemersorganisatie Schoonmaak- en Bedrijfsdiensten) heeft modelregelingen en voorbeeld-DPIA’s beschikbaar voor leden, afgestemd op het AP-richtsnoer en op recente kantonrechterzaken. Een gespecialiseerde arbeidsrechtadvocaat past die modellen in een halve dag aan uw situatie aan. De onderhandeling met de OR neemt twee tot zes vergaderingen, en eindigt in verreweg de meeste gevallen met een gedragen instemming, vooral als u open de kaart legt: punctuele klok, geen doorlopend volgen, harde bewaartermijnen, geen toegang voor leidinggevenden buiten de loonadministratie. Bij bedrijven onder de OR-grens vervangt zorgvuldige schriftelijke werknemersinformatie en een gemodereerde personeelsbijeenkomst deze stap; juridisch geen instemmingsrecht, maar evengoed onderdeel van uw compliance-dossier voor een eventueel AP-onderzoek.

Naast de OR-route blijft de individuele AVG-informatie aan elke werknemer verplicht volgens artikel 13 AVG: in begrijpelijke taal, vóór ingebruikname, met de gebruikelijke verplichte onderdelen over doel, grondslag, ontvangers, bewaartermijn, rechten van betrokkenen en klachtrecht bij de AP. Plus de DPIA volgens artikel 35 AVG. Plus de opname in het register van verwerkingsactiviteiten volgens artikel 30. Plus de verwerkersovereenkomst met uw softwareleverancier volgens artikel 28. Klinkt veel; is in werkelijkheid een standaardpakket dat een externe FG of privacy consultant in twee dagen voor u opzet.

---

Het scenario als u uit angst blijft afzien

Uw marge lekt onzichtbaar door. De uren die u doorbelast aan opdrachtgevers komen niet overeen met de werkelijk gewerkte uren, niet uit kwade trouw, maar omdat niemand precies weet of de donderdagronde om 17:50 of om 18:15 begon, en de werkbriefjes royaal worden afgerond. De oplettende opdrachtgevers merken de drift en gaan creditfacturen eisen. De betrouwbare schoonmakers, die op tijd komen en netjes de afgesproken uren maken, zien dat de collega die structureel een halfuur te laat is hetzelfde salaris meeneemt, en haken na een paar maanden mentaal af of stappen over naar het schoonmaakbedrijf hiernaast dat al lang op GPS draait. Wanneer een opdrachtgever een factuur betwist met “vrijdag was er niemand”, heeft u niets in handen en geeft u tegen heug en meug de creditnota af. Wanneer een oud-medewerkster bij de kantonrechter aanvoert dat ze “niet uitbetaalde overuren” had, heeft u geen objectief bewijs en uw advocaat adviseert een schikking. Allemaal omdat een kader in een nieuwsbrief en een halfgeïnformeerde branchegenoot u hebben overtuigd dat GPS verboden zou zijn, terwijl in werkelijkheid alleen één bepaalde toepassing dat was.

Het scenario als u het netjes uitrolt

Doorbelaste uren sluiten aan op werkelijk gewerkte uren, met een paar minuten verschil die ruis is. De marge per object loopt tussen drie en acht procent van de totaaluren op, simpelweg omdat de niet-geregistreerde halve uren niet langer uit het systeem lekken. Klantbetwistingen worden in dertig seconden afgehandeld met een PDF in uw huisstijl die coördinaten, tijden en een foto van het object laat zien. De betrouwbare schoonmakers voelen zich eindelijk gezien, op tijd komen loont weer, en wie sjoemelt komt daar niet meer mee weg. Potentiële kantonrechterzaken verdampen voordat ze beginnen, omdat beide partijen weten dat er objectief bewijs is en de discussie zich verplaatst van wederzijdse beweringen naar cijfers. De OR, die u in het begin met argusogen volgde, verdedigt het systeem na enkele maanden vaak zelf, omdat het óók de medewerkers beschermt, tegen onterechte beschuldigingen van zowel klanten als leidinggevenden.

Wat u concreet nodig heeft om daar te komen

U heeft een klokmodule nodig met punctuele GPS bij de tap, niet doorlopend tijdens de dienst, draaiend op een werk- of privételefoon. U heeft een platform nodig dat de werknemersinformatie, het DPIA-sjabloon, de OR-instemmingsdocumentatie, de bewaartermijnenmatrix en de automatische verwijdering na ommekomst van die termijn beheert. U heeft een leverancier nodig die als verwerker volgens artikel 28 AVG optreedt met een nette verwerkersovereenkomst, met servers binnen de EU, en die op een inzageverzoek een leesbare AVG-conforme export levert. U heeft een dienst-PDF nodig die standhoudt tegenover een opdrachtgever, en een maandelijks geaggregeerd rapport dat standhoudt tegenover uw salarisadministrateur.

GeoTapp is in het veld ontwikkeld, in gesprek met eigenaren van Nederlandse schoonmaakbedrijven die precies uw dilemma kenden: ik wil GPS, ik wil geen brief van de AP. Punctuele GPS-klok bij de tap, geen doorlopend volgen, geautomatiseerde werknemersinformatie en DPIA-sjablonen, instelbare bewaartermijnen, standaard verwerkersovereenkomst, EU-servers, AVG-conforme export. Bekijk hoe het werkt en stel u de volgende salarisafsluiting voor, op basis van objectieve data in plaats van royaal afgeronde briefjes.

En u? Heeft u weleens een tracking-project laten liggen omdat een artikel of adviseur u bang maakte voor AP-boetes? Vertel het in de reacties, die angst houdt heel veel eigenaren van Nederlandse schoonmaakbedrijven tegen, en uw verhaal helpt collega’s om los te komen.

Stel je voor dat de OR-instemmingsbrief, de privacyverklaring en het OR-besluit op donderdagavond al in dezelfde map zitten als de eerste GPS-timer.