OR-instemming voor monitoring? Dat is nog geen veilig haven

Na weken vergaderen geeft de ondernemingsraad eindelijk groen licht op het volgsysteem in de bedrijfswagens. Je legt het instemmingsbesluit in de map bij de andere papieren, je leunt achterover en je haalt opgelucht adem: gelukt, ik ben in orde, vanaf nu kan ik rustig slapen. Het is precies de rust van iemand die met een vers rijbewijs het examenbureau uit loopt en denkt dat hij al kan rijden.

Het probleem is dat dat besluit geen vrijbrief is. Het is een toestemming, en een toestemming zegt alleen dat je naar binnen mag, niet dat je daar binnen mag doen wat je wilt. De deur en de kamer zijn twee verschillende dingen, en tussen die twee zit het verschil tussen je in orde voelen en het echt zijn. Het klinkt als een spitsvondigheid voor juristen, tot er een boete langskomt die je eraan herinnert dat er niets spitsvondigs aan is.

Want het instemmingsrecht van de OR uit de Wet op de ondernemingsraden beantwoordt maar een vraag: mag je een systeem invoeren waarmee je gedrag of prestaties van je mensen kunt volgen, ja of nee. Dat overleg hoort er te zijn, sterker nog, het is verplicht. Maar zodra het systeem draait begint een tweede hoofdstuk dat dat besluit niet dekt, en dat hoofdstuk schrijft de AVG. Welke gegevens je verzamelt en welke niet, hoe lang je ze bewaart, of je belang echt zwaarder weegt dan de privacy van je mensen, en bovenal: wat je hun daarover vertelt. Twee verschillende vragen, twee verschillende loketten, en je moet ze allebei tevreden houden.

De goedkeuring is de eerste stap, niet de laatste

Dat de formele stap niet alles afdekt heeft de Autoriteit Persoonsgegevens al pijnlijk duidelijk gemaakt. Een bedrijf liet werknemers in- en uitklokken met hun vingerafdruk, een keurig kloksysteem, en ging ervan uit dat het toestemming had geregeld. De AP legde er in 2020 een boete van 725.000 euro voor op, het hoogste bedrag dat de toezichthouder tot dan toe had uitgedeeld. Niet omdat er geen papier was, maar omdat de toestemming niets waard bleek: veel mensen voelden zich verplicht om mee te doen, en het verzamelen van zoiets gevoeligs als een vingerafdruk was helemaal niet nodig, want het kon makkelijk met een minder ingrijpend middel. Het vinkje was gezet. De afweging eronder ontbrak.

En precies daar zit het punt dat veel werkgevers te goeder trouw ontgaat. De gedachte is: er is een formele stap genomen, dus de rest komt vanzelf goed. Maar het instemmingsrecht regelt of je iets mag invoeren, niet of je het op de juiste manier gebruikt. Je kunt elke vinkje van de wereld hebben en alsnog te veel verzamelen, te lang bewaren en je mensen in het ongewisse laten over wat er met hun gegevens gebeurt. Dat zijn de stukken waar de AVG over gaat, en dat is een ander loket dan de OR. De toezichthouder kijkt niet of de raad ja heeft gezegd, hij kijkt of je verzameling klopt met noodzaak, proportionaliteit en transparantie.

Wat echt telt, voorbij de goedkeuring

De waarborgen die het verschil maken zijn niet ingewikkeld, ze zijn alleen saai, en daarom worden ze overgeslagen. Het minimum verzamelen telt: de locatie dient om te weten dat de klus op die plek is gedaan, niet om uur voor uur te reconstrueren waar iemand is geweest. Niet continu volgen telt: een systeem dat de hele dag de positie pingt verzamelt een berg gegevens die je nooit gebruikt en die, op de dag dat er een klacht binnenkomt, het bewijs tegen jou worden in plaats van voor jou. Weggooien wat je niet meer nodig hebt telt, in plaats van jaren aan sporen op te stapelen in een archief waar niemand naar kijkt tot de verkeerde ernaar kijkt. En bovenal telt de informatie aan je mensen: zwart op wit en in gewone taal uitleggen wat je verzamelt, waarom, en hoe lang.

Heb jij ooit de goedkeuring in handen gehad en nog nooit een regel uitleg aan je eigen mensen geschreven? Het komt vaker voor dan je denkt, en het is precies het gat waar de boetes doorheen glippen. Het OR-besluit beschermt je in dat geval niet, het bewijst eerder dat je wist dat je met gevoelige gegevens bezig was en dat je bij de eerste, papieren stap bent blijven steken en de rest hebt vergeten. Het is als een vergunning voor een terras hebben en denken dat je daarmee ook een goede keuken voert. Het ene papier zegt niets over het andere.

Er speelt ook een misverstand over timing dat veel mensen nekt. De goedkeuring haal je een keer en je legt hem weg, en daarna voelt het als een afgesloten zaak. De waarborgen zijn juist werk dat doorgaat: elke keer dat je van systeem wisselt, een functie toevoegt of nieuwe mensen aanneemt, moet het plaatje worden bijgewerkt en moet de informatie opnieuw. Wie naleving behandelt als een stempel dat eenmaal is gehaald en vergeten, zit jaren later met een systeem dat lukraak is gegroeid en een informatieblad dat over een heel ander bedrijf gaat.

Echt op orde komen

Het goede nieuws is dat je er in orde komen niet betekent dat je alles moet afbreken. Het betekent dat je gereedschap kiest dat is gebouwd om weinig te verzamelen en dat helder te zeggen, en dat je het begeleidt met de juiste documenten. Een systeem dat de locatie alleen vastlegt op het moment van inklokken, bij begin en einde van de dienst, en nooit daartussenin, begint al met de goede voet: het verzamelt het minimum van nature, niet uit goede wil, en dat minimum is precies wat de wet vraagt. Blijft over het schrijfwerk, de verklaring die je mensen op de hoogte stelt, en daar haalt een kant-en-klaar model dat je alleen hoeft in te vullen het excuus weg dat je niet weet waar je moet beginnen.

GeoTapp is precies zo opgezet: de locatie wordt met een tik vastgelegd aan het begin en het einde van de dienst, en daartussen is er geen tracking, want het bewijs van het werk hoeft niemand te schaduwen. De OR geeft je de goedkeuring, de waarborgen geef je jezelf, en daar zit geen sluiproute tussen. Wie ze als een geheel behandelt, en ze echt regelt, hoeft de post niet meer open te maken met de angst dat er een brief van de toezichthouder tussen zit.

De goedkeuring, die heeft bijna iedereen. De geschreven verklaring aan de werknemers, bijna niemand. En het is altijd bij die ene ontbrekende regel dat de AP begint te kijken.

De goedkeuring opent de deur, de verklaring houdt je binnen de wet. Heb je die regel nog niet geschreven, dan begin je het beste bij het juiste document.