Werkgever schendt privacy werknemer

Zodra u vermoedt dat uw leidinggevende of de organisatie waar u werkt uw persoonlijke levenssfeer heeft geschonden, zoals het lezen van uw privéberichten of het volgen van uw locatie buiten werkuren, verzamel dan onmiddellijk bewijs. Maak schermafbeeldingen, bewaar e-mails en noteer tijdstippen. Dien daarna een klacht in bij de Autoriteit Persoonsgegevens (AP). Deze toezichthouder kan een boete opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet bij ernstige overtredingen van de Algemene Verordening Gegevensbescherming (AVG).

De wet biedt u als individu sterke waarborgen. Op grond van artikel 6 van de AVG heeft u het recht om bezwaar te maken tegen elke vorm van monitoring die niet noodzakelijk is voor de uitoefening van uw functie. Een werkrelatie impliceert nooit een vrijbrief voor onbeperkte controle. Een recente uitspraak van het Gerechtshof Arnhem-Leeuwarden (2023) bevestigde dat heimelijke camera’s in een bedrijfsruimte, gericht op het bureau van een medewerker, onrechtmatig waren omdat het doel (diefstalpreventie) met minder ingrijpende middelen kon worden bereikt.

U kunt ook een civiele procedure starten op basis van onrechtmatige daad (artikel 6:162 Burgerlijk Wetboek). De rechtspraak hanteert hierbij drie toetsstenen: is er een gerechtvaardigd doel, is de maatregel proportioneel en is het middel het minst ingrijpende alternatief? Een concrete casus uit 2024: een transportbedrijf dat gps-trackers in de privéauto’s van chauffeurs had geplaatst zonder hen te informeren, moest een schadevergoeding van 500 euro per chauffeur betalen voor immateriële schade. Het hof oordeelde dat het enkele feit dat de apparatuur aanwezig was, al een inbreuk vormde op de persoonlijke vrijheid, ongeacht of de data daadwerkelijk werd gebruikt.

Voorkomen is beter dan procederen. Vraag uw OR of personeelsvertegenwoordiging om een actueel register van verwerkingsactiviteiten op te vragen. Dit register moet elke inbreuk, zoals cameratoezicht, logbestandsanalyse of biometrische toegang, vermelden met een wettelijke grondslag. Als dit register ontbreekt of onvolledig is, is dat op zichzelf een overtreding van artikel 30 AVG. Eis daarnaast inzage in alle verzamelde gegevens over u (artikel 15 AVG). De organisatie heeft maximaal één maand de tijd om deze te verstrekken. Weigert men dit, dan volgt een dwangsom van 100 euro per dag, met een maximum van 2.000 euro.

Mag uw werkgever uw WhatsApp- en e-mailberichten op een werktelefoon uitlezen?

Nee, niet zonder meer. Een onderneming mag alleen inzage nemen in uw zakelijke communicatie als daar een zwaarwegend bedrijfsbelang voor bestaat én u vooraf duidelijk bent geïnformeerd. Het stiekem of stelselmatig controleren van uw chatgesprekken of mailbox is in strijd met de Telecommunicatiewet en de Algemene Verordening Gegevensbescherming. Concreet betekent dit: een algemene disclaimer in het personeelshandboek dat "berichten gecontroleerd kunnen worden" is onvoldoende. De toezichthouder (Autoriteit Persoonsgegevens) eist dat de controle specifiek, noodzakelijk en proportioneel is, bijvoorbeeld bij een vermoeden van een datalek of het overtreden van een concurrentiebeding.

Zelfs wanneer uw leidinggevende een legitieme aanleiding heeft, zoals een intern onderzoek naar wangedrag, mag hij niet uw volledige WhatsApp-geschiedenis of alle e-mailcorrespondentie doorzoeken. De wet verplicht tot het gebruik van het minst ingrijpende middel. Dat houdt in dat de controle beperkt moet blijven tot de periode van het vermeende incident, gericht op specifieke contacten of trefwoorden die relevant zijn voor de zaak. Een cruciaal detail is dat de rechter in verschillende uitspraken (onder meer bij de rechtbank Midden-Nederland) heeft bepaald dat de inhoud van privégesprekken in een zakelijke chatapp – bijvoorbeeld over ziekteverzuim of relationele problemen – niet als bewijs mag worden gebruikt. Die gegevens vallen onder het brief- en telefoongeheim, dat ook binnen een arbeidsrelatie geldt. Uitzondering is wanneer u zelf de inhoud van die berichten openbaar heeft gemaakt of wanneer er sprake is van een strafbaar feit.

Voor e-mail geldt een iets genuanceerder beeld. Berichten die u via een bedrijfsaccount verstuurt, worden in de regel als zakelijk beschouwd, maar nog steeds geldt dat uw leidinggevende niet zomaar uw persoonlijke map met het label "privé" mag openen. In een baanbrekende uitspraak van het Europese Hof voor de Rechten van de Mens (Bărbulescu tegen Roemenië) werd vastgesteld dat een forse opzegging op basis van privé-e-mails onrechtmatig was, omdat het bedrijf geen duidelijke richtlijn had over het verbod op persoonlijk gebruik. De les voor u: sta uw e-mails expliciet toe voor persoonlijke doeleinden, dan kunt u zich na een controle beroepen op een schending van uw recht op privéleven. Noteer daarbij dat een werkgever wél altijd het verzendingslogboek (tijdstip, adressaat, onderwerpregel) mag raadplegen om productiviteit te meten – dit valt buiten de inhoudelijke bescherming.

Tot slot: een opvallende nuance geldt voor werktelefoons die u ook privé gebruikt. Wanneer u een 'bring your own device'-regeling heeft (BYOD), zijn de regels aanzienlijk strenger. Het bedrijf mag dan alleen bedrijfsgerelateerde apps op afstand wissen, maar geen volledige back-up van het apparaat maken of WhatsApp-gesprekken uitlezen die via uw persoonlijke telefoonnummer verlopen. In dat geval heeft u recht op een volledig transparant controleprotocol. Weigert de directie u toegang tot het bewijs van een legitieme controle (bijvoorbeeld de namen van gecontroleerde berichten), dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens, die boetes kan opleggen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Wettelijke grenzen per communicatiemiddel

Veelgestelde vragen:

Mijn werkgever heeft mijn WhatsApp-gesprekken met een collega gelezen zonder mij te waarschuwen. Mag dat zomaar?

Nee, dat mag niet zomaar. De werkgever mag alleen controle uitoefenen op privécommunicatie als daar een zwaarwegend bedrijfsbelang voor bestaat, er een concrete aanleiding is (bijvoorbeeld een vermoeden van strafbare feiten of ernstig wangedrag) en de controle proportioneel is. Het stiekem lezen van een heel gesprek zonder voorafgaande melding of protocol is meestal onrechtmatig. De werkgever moet eerst een minder ingrijpend middel proberen, zoals een gesprek. Ook moet er een duidelijke privacyregeling zijn. Als er geen beleid is, mag de werknemer verwachten dat zijn communicatie privé blijft. De rechter weegt af: het recht op privacy van de werknemer tegen het belang van de werkgever. In de praktijk verliest de werkgever vaak als hij niet kan bewijzen dat hij vooraf heeft gewaarschuwd en een procedure heeft gevolgd. U kunt een klacht indienen bij de Autoriteit Persoonsgegevens of een civiele procedure starten.

Mijn baas gebruikt een keylogger op mijn bedrijfslaptop waarmee hij alles ziet wat ik typ, ook privéberichten in mijn lunchpauze. Is dit toegestaan?

Het gebruik van een keylogger is een zeer ingrijpend middel en wordt bijna altijd als disproportioneel beoordeeld. De werkgever mag niet systematisch en heimelijk alle toetsaanslagen registreren. Dat schendt artikel 8 van het EVRM (recht op privéleven) en de UAVG. Een keylogger is alleen in uitzonderlijke situaties toegestaan, bijvoorbeeld bij een concreet vermoeden van bedrijfsspionage, en dan nog alleen voor een korte periode en met een gerichte opdracht. De werkgever moet in zijn privacybeleid expliciet vermelden dat dergelijke software wordt gebruikt en wat de reikwijdte is. Als hij dat niet heeft gedaan, zijn de verzamelde gegevens niet bruikbaar als bewijs in een ontslagprocedure. U kunt de werkgever verzoeken de keylogger te verwijderen. Weigert hij, dan kunt u naar de kantonrechter stappen voor een verbod op het gebruik. De rechter kan ook een billijke vergoeding toekennen als u hierdoor schade lijdt, bijvoorbeeld als u ontslagen bent op basis van die gegevens.

Op mijn werk moeten we een app installeren die onze locatie de hele dag trackt, ook buiten werktijd. Ik voel me gevolgd. Wat kan ik doen?

Dit raakt aan een belangrijk onderscheid: binnen werktijd en op de werkplek mag de werkgever in bepaalde gevallen locatiegegevens verzamelen, maar buiten werktijd is dat alleen in zeer uitzonderlijke omstandigheden toegestaan, zoals bij functies met een expliciete GPS-plicht (bijv. koeriers of monteurs die op locatie werken). Voor een kantoorfunctie is continu tracken buiten werktijd vrijwel nooit proportioneel. De werkgever moet aantonen dat de tracking noodzakelijk is voor de bedrijfsvoering en dat er geen minder ingrijpend alternatief bestaat. Ook moet hij de werknemers informeren over het doel, de opslagtermijn en wie toegang heeft. De app verplicht stellen zonder instemmingsmogelijkheid is in strijd met de beginselen van subsidiariteit en proportionaliteit. U kunt bezwaar maken op grond van de AVG, de werkgever verzoeken de tracking uit te schakelen buiten de werkuren, en een klacht indienen bij de toezichthouder. Een werkgever die dit weigert, riskeert een boete en aansprakelijkheid voor eventuele schade.

Na een conflict met mijn leidinggevende heeft hij mijn persoonlijke e-mails op mijn werkaccount doorgestuurd naar zichzelf en uitgeprint. Hij zegt dat het bedrijfseigendom is. Klopt dat?

Een werkaccount is in principe eigendom van de werkgever, maar dat geeft geen vrijbrief om zonder restricties alles te lezen en te kopiëren. De werkgever moet een duidelijk beleid hebben waaruit blijkt dat persoonlijk gebruik van het werkaccount is toegestaan of juist verboden. Als er geen verbod is, mag de werknemer een zekere mate van privacy verwachten, ook op een werkaccount. Het doorsluizen van complete e-mails naar een privéadres van de leidinggevende en het uitprinten daarvan is een vorm van gegevensverwerking die alleen mag als er een gerechtvaardigd doel is, bijvoorbeeld een formele klachtenprocedure. Zonder een concrete grond en zonder toestemming is dit onrechtmatig. De werkgever mag ook niet zomaar e-mails delen met derden. U heeft recht op inzage in welke gegevens zijn verwerkt (AVG artikel 15). Als blijkt dat de werkgever uw e-mails heeft gebruikt buiten de bedrijfsdoeleinden om, kunt u een klacht indienen en eventueel een schadevergoeding eisen wegens schending van uw privacy.