GPS van werknemers volgen: de regel die zelfs Amadeus raakte

De bestelbus staat om kwart over zeven voor de eerste klant, en ergens op kantoor licht op een scherm een stipje op dat de hele dag blijft meebewegen. Pauze bij de snackbar, omweg langs de apotheek voor een privé-receptje, vijf minuten stilstand omdat het verkeer vastzit. Alles wordt vastgelegd, alles wordt bewaard, en niemand heeft ooit echt uitgelegd waarom. De werkgever denkt dat hij gewoon zijn voertuigen in de gaten houdt. Wat hij in werkelijkheid aan het bouwen is, is een gedetailleerd dagboek van iemands leven, en dat dagboek heeft een eigenaar die toevallig ook degene is die je salaris betaalt.

Daar wringt het, en het wringt al jaren. De Autoriteit Persoonsgegevens herhaalt het in elke richtlijn over volgsystemen alsof het een gebedje is: een werkgever mag geolocatie verwerken, maar alleen als het echt nodig is, alleen voor een vooraf bepaald doel, en alleen op een manier die zo min mogelijk in iemands privéleven snijdt. De toezichthouder noemt zelfs een heel concreet voorbeeld van wat proportioneel betekent: het apparaat moet uitgezet kunnen worden zodra het voertuig buiten werktijd wordt gebruikt. Want de chauffeur die na vijven boodschappen doet, is geen werknemer meer. Hij is gewoon een burger met een auto, en die heeft net zoveel recht op een onbespied weekend als jij.

En dan is er die andere reflex, de gevaarlijkste van allemaal: toestemming vragen. De werkgever legt een formulier op tafel, de werknemer zet een handtekening, en iedereen denkt dat het daarmee geregeld is. Behalve dat het dat niet is. Toestemming die je geeft omdat je anders je baan kwijtraakt, is geen vrije toestemming, en in een arbeidsrelatie is bijna geen enkele toestemming echt vrij. De grondslag moet dus ergens anders vandaan komen, uit een aantoonbaar gerechtvaardigd belang dat opweegt tegen de privacy van de mensen die je volgt. Toestemming als vluchtroute is een deur die alleen van binnenuit lijkt te openen.

Het terugkerende principe: doelgebonden, minimaal, transparant

Wie de richtlijnen van de toezichthouder naast elkaar legt, ziet steeds dezelfde vier woorden terugkomen, zoals het refrein van een liedje dat je niet meer uit je hoofd krijgt. Doelgebonden: je legt vooraf vast waarvoor je de locatie nodig hebt, en je gebruikt hem voor niets anders. Minimaal: je verzamelt alleen wat strikt noodzakelijk is, niet alles wat technisch mogelijk is, want die twee zijn zelden hetzelfde. Transparant: de werknemer weet dat hij geregistreerd wordt, weet waarom, en is daarover geïnformeerd voordat het systeem aangaat, niet drie maanden later via een wandelgang. En een echte grondslag, geen afgedwongen handtekening op een formulier dat hij niet durft te weigeren.

Daar komt in Nederland nog een schakel bij die werkgevers graag overslaan: de ondernemingsraad. Een personeelsvolgsysteem valt onder het instemmingsrecht van artikel 27 van de Wet op de ondernemingsraden, zowel als regeling voor de verwerking van persoonsgegevens als omdat het de aanwezigheid en het gedrag van mensen registreert. Geen instemming van de OR betekent dat de regeling niet uitgevoerd mag worden, punt. Het is geen formaliteit die je achteraf even regelt, het is een rem die ingebouwd zit in de wet, precies omdat de wetgever begreep dat een werkgever die alles mag volgen vroeg of laat alles gaat volgen.

Dezelfde regel beboette een gigant, de schaal verandert, de kern niet

Je zou kunnen denken dat dit alleen geldt voor de kleine ondernemer met drie busjes, dat de echt grote bedrijven met hun legers aan juristen wel weten hoe het zit. De Spaanse toezichthouder dacht daar anders over. In een besluit met dossiernummer EXP202315175 legde de AEPD aan Amadeus IT Group een boete op die oorspronkelijk op achttien miljoen euro stond en na vrijwillige betaling uitkwam op veertien komma vier miljoen. De aanleiding was dat Amadeus boekingsgegevens uit 2019, opgebouwde reserveringshistorie van reizigers, opnieuw inzette om profielen te bouwen tot drie jaar na de oorspronkelijke boeking. Twee overtredingen, netjes verdeeld: geen rechtsgrond voor die verwerking onder artikel 6 van de AVG, en geen tijdige informatie over het nieuwe doel onder artikel 14.

Lees die twee overtredingen nog eens, want ze zijn exact dezelfde die de bestelbus-werkgever maakt. Gegevens gebruiken voor een doel waar geen geldige grondslag voor bestaat. Mensen niet vertellen wat er met hun gegevens gebeurt. De schaal verschilt enorm, een internationaal boekingsplatform tegenover een ondernemer met een handvol voertuigen, maar de kern van de fout is identiek. En dat is geruststellend en verontrustend tegelijk. Verontrustend omdat het laat zien hoe makkelijk je de fout maakt. Geruststellend omdat het ook betekent dat de oplossing voor iedereen dezelfde vorm heeft, ongeacht je omvang.

Die oplossing zit niet in betere bewaking, maar in minder. Daar is GeoTapp omheen gebouwd. De app legt de locatie alleen vast op het moment dat iemand inklokt en het moment dat hij uitklokt, één tik om te starten, één tik om te stoppen, en daartussen gebeurt er niets. Geen spoor dat de hele dag meebeweegt, geen kaart vol stipjes, geen coördinaten die ergens blijven liggen voor het geval iemand er ooit nog eens iets mee wil. Het hulpmiddel is bewust zo ontworpen dat het continue surveillance weigert uit te voeren, en de werknemer weet precies wat er geregistreerd wordt, omdat hij het zelf met een tik in gang zet. Doelgebonden, minimaal, transparant, met een eerlijke grondslag: niet als juridische afvinklijst achteraf, maar als het ontwerp zelf.

Dus de vraag is niet of je de uren van je mensen mag bijhouden, want dat mag, en moet vaak zelfs. De vraag is of je daarvoor hun hele dag in een dossier wilt veranderen of alleen het begin en het einde van hun werk wilt vastleggen. Wat zou jij kiezen als het jouw bestelbus was?