AVG en privacy bij bezettingssensoren

Nederlandse context

De Autoriteit Persoonsgegevens (AP) heeft in meerdere adviezen en sanctiebesluiten geoordeeld over de grenzen van monitoring op de werkvloer. Cameratoezicht valt expliciet onder het AP-toezichtskader. De Wet op de ondernemingsraden (WOR) geeft de ondernemingsraad instemmingsrecht bij de invoering van personeelsvolgsystemen, waar bezettingssensoren onder kunnen vallen.

Kernbegrippen

Persoonsgegeven

Alle informatie die direct of indirect herleidbaar is tot een geïdentificeerde of identificeerbare persoon. Bezettingsdata wordt dit wanneer het met andere bronnen te koppelen is.

DPIA

Data Protection Impact Assessment. Een verplichte privacyeffectbeoordeling bij verwerkingen met een hoog privacyrisico, zoals grootschalige monitoring van werkplekken.

Rechtsgrondslag

De wettelijke basis waarop persoonsgegevens mogen worden verwerkt. Bij werkpleksensoren is dit doorgaans 'gerechtvaardigd belang' met een belangenafweging.

Dataminimalisatie

Het AVG-principe dat niet meer data mag worden verzameld dan noodzakelijk voor het doel. Aggregeer waar mogelijk: bezettingspercentages in plaats van individuele detecties.

Instemmingsrecht OR

Het recht van de ondernemingsraad om in te stemmen met regelingen voor het waarnemen van of controle op medewerkers. Geldt wanneer sensoren individueel gedrag zichtbaar kunnen maken.

Wat de wet vereist

De AVG is van toepassing zodra bezettingsdata herleidbaar is tot personen. Een anonieme telling van het aantal mensen op een verdieping is doorgaans geen persoonsgegeven. Een desk-sensor die registreert of een specifieke, aan een persoon toegewezen werkplek bezet is, levert wel persoonsgegevens op. De grens is niet altijd scherp en hangt af van de context en beschikbare koppelingsmogelijkheden.

Bij verwerkingen met een hoog privacyrisico — zoals systematische monitoring van werkplekbezetting — is een DPIA verplicht. Deze beoordeling beschrijft het doel, de noodzaak, de risico's voor betrokkenen en de maatregelen om die risico's te beperken. Betrek de functionaris voor gegevensbescherming (FG) bij het opstellen.

Praktische maatregelen om privacy te waarborgen: aggregeer data naar ruimte- of verdiepingsniveau, bewaar geen individuele detectiemomenten langer dan nodig, beperk toegang tot ruwe data en informeer medewerkers transparant over welke sensoren hangen, wat ze meten en waarvoor de data wordt gebruikt. Betrek de ondernemingsraad vooraf — achteraf instemming vragen is juridisch riskant en schaadt het vertrouwen.