Inklokken met gps is geen toezicht. Nooit uitzetten wel

Vraag rond of je je ploegen mag laten inklokken met hun locatie erbij, en het antwoord komt altijd op hetzelfde neer. Pas op, dat is toezicht, de Autoriteit Persoonsgegevens valt over je heen, leg het eerst voor aan een jurist. Dus laat je het zitten en ga je door met de presentielijst bij de ingang, die niemand ooit heeft betwist omdat er niets in staat dat de moeite van het betwisten waard is.

Ondertussen belt iemand anders je op om precies het tegenovergestelde te verkopen. Elke bus live op de kaart, kilometers, stilstand, een score voor het rijgedrag van je monteur. Iedereen doet het, zeggen ze, helemaal volgens de regels, en je tekent.

Beide gesprekken zitten er op dezelfde manier naast. Ze behandelen gps als het probleem. Dat is het nooit geweest. De vraag is wanneer het ding kijkt.

De ondernemingsraad beslist mee, en dat is geen formaliteit

In Nederland ligt de echte drempel niet alleen in de AVG maar in de Wet op de ondernemingsraden. Artikel 27 WOR geeft de ondernemingsraad instemmingsrecht bij regelingen over voorzieningen die gericht zijn op waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers. Geen instemming betekent in beginsel geen systeem.

Dat voelt lastig, maar het is de goedkoopste juridische toets die je kunt krijgen. Een OR die vooraf meekijkt kost een paar vergaderingen. Een systeem dat zonder instemming draait kost je het vertrouwen op de werkvloer, en in het ergste geval de bruikbaarheid van elk gegeven dat je hebt verzameld.

Wat de toezichthouder werkelijk aanpakt

Het bekendste Nederlandse voorbeeld gaat niet over gps maar over aanwezigheidsregistratie, en juist daarom is het zo bruikbaar. De Autoriteit Persoonsgegevens legde een boete op van 725.000 euro aan een bedrijf dat werknemers hun vingerafdruk liet scannen om de tijd te registreren. Biometrische gegevens vallen onder artikel 9 AVG, en toestemming van een werknemer geldt daar zelden als vrij gegeven, juist vanwege de gezagsverhouding.

Eerlijk erbij: die boete is in november 2020 in bezwaar verlaagd naar 50.000 euro, vanwege de beperkte draagkracht van het bedrijf tijdens de coronacrisis. Het bedrag veranderde, het oordeel niet. Te veel verzamelen voor iets wat ook met minder kan, dat is wat wordt afgestraft.

De grens zit in het wanneer

Een systeem dat de locatie twee keer per dag vastlegt, bij het begin en het einde van de klus, en daartussen blind blijft, documenteert werk. Het beantwoordt een enkele vraag, is de klus gedaan waar en wanneer dat moest, en daarna zwijgt het.

Een systeem dat elke minuut meet beantwoordt een heel andere vraag, waar is deze persoon nu, en het blijft die beantwoorden. Waar iemand geluncht heeft, welke route hij naar huis neemt, hoe lang hij voor het stoplicht stond. Niets daarvan factureer je aan een opdrachtgever, en alles daarvan moet je ooit verantwoorden, tegenover de werknemer, tegenover de OR of tegenover de AP.

Dezelfde satellieten, dezelfde app, dezelfde stip op de kaart. Het verschil is een instelling, en iemand in jouw bedrijf heeft die gekozen. Was dat de standaardinstelling van de leverancier, dan heeft de leverancier een juridische beslissing voor je genomen, en draag jij hem.

---

Vier vragen voordat je tekent

Hoe vaak legt het systeem een positie vast, en is dat aan te passen? Kan iemand op kantoor een voertuig live zien rijden, en zo ja, wie precies? Hoe lang worden locatiegegevens bewaard, en op grond van welke redenering in plaats van uit gewoonte? En laat de registratie zich uitzetten buiten werktijd en tijdens pauzes?

Vier vragen, geen ervan technisch. Het zijn organisatorische keuzes vermomd als parameters, en in de meeste bedrijven belanden ze bij degene die de software installeert, simpelweg omdat niemand ze eerder heeft opgeeist. Bij systematische monitoring hoort daar ook een DPIA bij, en die is precies de plek waar de antwoorden zwart op wit komen te staan.

Waarom het gereedschap bewust wegkijkt

Zodra je gps in een werk-app stopt, is de makkelijke weg alles verzamelen. Elke update voegt een functie toe, elke functie een gegeven, en de ene stille update na de andere weet je waar iemand zijn zaterdagavond doorbracht. GeoTapp is de andere kant op ontwikkeld, een tik opent de dienst, een tik sluit hem, de positie wordt alleen op die twee momenten vastgelegd en daartussen niets. Het zit zelfs in de naam, geolocatie plus een tap plus een app.

Jarenlang was dat het lastige deel van het verkoopgesprek, want afzien van functies die de concurrent op de voorkant zet lijkt op zwakte. Dat lijkt het precies zolang tot een ondernemingsraad aan tafel vraagt wat het systeem tussen twee klokmomenten eigenlijk registreert.

Dezelfde kaart, twee richtingen

Werkbewijs en iemand volgen gebruiken dezelfde techniek. Wat ze scheidt is een menselijke beslissing over waar je stopt met kijken.

Stopt jouw systeem bij het hek van de klant, dan heb je bewijs voor de opdrachtgever die zweert dat er niemand is geweest. Stopt het nooit, dan heb je een archief waarover iemand ooit verantwoording vraagt. En op die dag antwoordt niet degene die het je verkocht. Hoe lang stel je digitale urenregistratie al uit omdat niemand je kon vertellen waar de grens lag?

Bronnen

Autoriteit Persoonsgegevens, boete van 725.000 euro voor het verwerken van vingerafdrukken van werknemers voor aanwezigheidsregistratie, in bezwaar in november 2020 verlaagd naar 50.000 euro wegens beperkte draagkracht. Wet op de ondernemingsraden, artikel 27. Algemene verordening gegevensbescherming, artikelen 5, 9, 13 en 35.