Urenregistratie en de AVG, wat doe ik ermee?

Volgens het Hof van Justitie van de Europese Unie moeten Nederlandse werkgevers een objectief, betrouwbaar en toegankelijk systeem hanteren om de aanwezigheid, tijd en toegang van werknemers te registreren. Wat zo’n systeem inhoudt, wordt nergens aangegeven. Hoe dan ook mag het niet te ver gaan omdat het anders indruist tegen de AVG, een ander Europees pareltje dat persoonsgegevens moet beschermen. In het kader van dataminimalisatie raden wij aan om je tot de basis te beperken en een urenregistratie-app te gebruiken.

Gerechtvaardigd belang op registreren van arbeidstijden

Met de uitspraak van het Europees Hof van Justitie heeft het meteen ook een gerechtvaardigd belang gecreëerd, een van de redenen op basis waarvan een verwerker van persoonsgegevens zich kan baseren. Dat is belangrijk want de toestemming (een andere grond waarop de werkgever zich kan baseren) van de werknemer wordt vaak niet aanvaard, vooral omdat zo’n toestemming door de gezagsverhouding zelden vrij is.

Verplichtingen bij het verwerken van persoonsgegevens

Verder blijft het natuurlijk wel belangrijk om de werknemer voldoende te informeren over de verwerking van de geregistreerde gegevens. Hierbij geef je aan wat er wordt verwerkt, met welk doel, hoe lang je de gegevens zal bewaren et cetera. Daarnaast heeft de werknemer ook bepaalde rechten, zoals een inzagerecht. Het is bovendien belangrijk om te weten dat er ook een doelbindingsvereiste is: je mag de persoonsgegevens enkel gebruiken voor het oorspronkelijk verwerkingsdoel. Als je bijvoorbeeld aangeeft dat je de tijden enkel registreert voor het bepalen van rusttijden, mag je ze vervolgens niet zomaar voor een andere reden gebruiken.

Dataminimalisatie als regel

Hoe dan ook mag je niet verder gaan dan wat noodzakelijk is voor de doelstelling of het gerechtvaardigd belang. Een prikklok, een app op de smartphone of een tool waarmee een werknemer in- en uitboekt volstaat. Ga je bijvoorbeeld ook nog eens cameratoezicht houden of een trackingsysteem in de auto installeren? Dan kan je ineens bepalen wat een werknemer doet, wanneer hij dat doet en hoe hij dat doet. Natuurlijk zijn controlesystemen noodzakelijk, bijvoorbeeld om diefstal op het werk of van bedrijfswagens te voorkomen. Echter, dat wil nog niet zeggen dat je deze camera’s en trackers ook om andere redenen mag gebruiken en al zeker niet om de privacy van werknemers te schenden.

Manier van registratie kan ook een privacyschending zijn

Waar veel werkgevers niet over nadenken is dat niet alleen de tijdregistratie een privacyschending kan inhouden maar ook de authenticatiemethode. In pogingen om fraude te voorkomen kunnen werkgevers bijvoorbeeld vragen om zich in te loggen met een vingerafdruk, iets wat via de nieuwste generatie smartphones al mogelijk is. In de Verenigde Staten waar de AVG natuurlijk niet van toepassing is, bestaan zo’n apps al langer.

Een vingerafdruk is echter een biometrisch gegeven en dus ook een persoonsgegeven. Een persoonsgegeven dat bovendien nog beter is beschermd dan eenvoudige persoonsgegevens als een naam of adres. De uitspraak van het Europese Hof van Justitie geeft je geen gerechtvaardigd belang om ineens biometrische persoonsgegevens te verwerken. Zo legde de AP recent nog een boete van 725.000 euro op aan een bedrijf dat onrechtmatig vingerscans gebruikte. Er gelden dan ook strenge regels waaraan bedrijven moeten voldoen en in dat geval is het verkrijgen van een rechtsgeldige toestemming nagenoeg onmogelijk.