Track & trace in de auto van de zaak: wat mag de werkgever volgens de AVG?

Een werkgever mag een auto van de zaak alleen volgen met track & trace als daar een concreet, gerechtvaardigd doel voor is, er geen minder ingrijpend alternatief bestaat en de ondernemingsraad heeft ingestemd. Continue tracking, ook buiten werktijd, is onder de AVG bijna nooit te verantwoorden.

In dit artikel leest u welke regels gelden (AVG, artikel 27 WOR, DPIA), wat u met privégebruik moet doen, hoe lang u gegevens mag bewaren en hoe u in zes stappen een volgsysteem invoert zonder conflict met de OR of de Autoriteit Persoonsgegevens. Aan het eind ziet u hoe u kilometers en verbruik bijhoudt zonder dat u als werkgever ooit de locatie van een bestuurder ziet, zoals Voltaback dat doet.

Mag een werkgever de auto van de zaak volgen?

Ja, maar alleen onder voorwaarden. Locatiegegevens van een auto die aan één werknemer is toegewezen, zijn persoonsgegevens: via het kenteken zijn ze direct herleidbaar tot een persoon. De AVG is dus volledig van toepassing.

Een werkgever kan zich meestal niet beroepen op toestemming van de werknemer, omdat die in een arbeidsrelatie niet vrij gegeven wordt. De gebruikelijke grondslag is het gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Dat vraagt een toets in drie stappen:

1. Doel: is er een concreet en legitiem belang, zoals diefstalpreventie, ritplanning van servicemonteurs of het onderbouwen van een rittenregistratie?
2. Noodzaak: is het volgen van de locatie echt nodig voor dat doel, of kan het met minder gegevens?
3. Afweging: wegen de belangen van de werkgever zwaarder dan de privacy van de werknemer?

Bij continue tracking, zeker als die doorloopt in de avond en het weekend, valt die afweging bijna altijd negatief uit. De Autoriteit Persoonsgegevens (AP) benadrukt dat een werkgever werknemers niet structureel mag controleren als dat niet nodig is voor een duidelijk doel. Bron: Autoriteit Persoonsgegevens, controle van werknemers.

Legitieme doelen en minder ingrijpende alternatieven

Bijna elke vraag die een wagenparkbeheerder heeft, is te beantwoorden zonder te weten wáár iemand is geweest. Dat is precies het criterium dat de AVG hanteert.

Wanneer is volgen wel te verantwoorden?

Er zijn situaties waarin locatie wel een rol kan spelen, mits beperkt tot werktijd en tot het doel:

• Diefstal en terugvinden van de auto: de locatie is alleen opvraagbaar na een melding, niet standaard zichtbaar.
• Veiligheid van alleenwerkers: een monteur die 's nachts storingen oplost, kan met een noodknop zijn positie doorgeven.
• Planning van een buitendienst: de planner ziet tijdens dienst wie het dichtst bij een spoedklus is.
• Aantonen van geleverde diensten: bij facturatie op basis van bezoeken of uren bij de klant.
• Waardevolle lading: bij transport van geld, medicijnen of dure apparatuur.

In al deze gevallen geldt: alleen de gegevens die voor dat doel nodig zijn, alleen de mensen die ze nodig hebben, en alleen zolang het doel bestaat.

Wat mag niet

Ook met een goed doel zijn sommige toepassingen vrijwel nooit te verantwoorden:

• Continu volgen buiten werktijd, in de avond, het weekend en op vakantie.
• Live meekijken door leidinggevenden zonder concrete aanleiding.
• Rijgedrag of werktijden beoordelen met data die voor een ander doel zijn verzameld.
• Volgen van werknemers die hun werk zelf indelen, zoals accountmanagers, puur om te zien waar ze zijn.
• Heimelijk een tracker plaatsen zonder concreet vermoeden van ernstig misbruik.
• Locatiedata delen met derden die er geen rol in hebben, zoals een leasemaatschappij of verzekeraar, zonder grondslag.

Welke systemen zijn er, en wat leggen ze vast?

Het verschil zit niet in de techniek, maar in wat er bij de werkgever terechtkomt. Een systeem dat de locatie wel registreert maar nooit aan de werkgever toont, is voor de AVG en de OR een heel ander gesprek dan een kaart met live posities. Vraag een leverancier dus niet alleen wat het systeem kan, maar ook wat het standaard doorgeeft en of dat uit te zetten is.

Leaseauto en verbonden auto: wie is verantwoordelijk?

Bij een leaseauto zijn vaak drie partijen betrokken: de werkgever, de leasemaatschappij en de fabrikant van de auto. Moderne auto's sturen zelf data naar de fabrikant. Wie bepaalt waarvoor de gegevens van de bestuurder worden gebruikt, is verwerkingsverantwoordelijke en moet aan de AVG voldoen. Gebruikt de werkgever een dienst die data uit de auto haalt, dan is de werkgever verantwoordelijk voor wat hij met die data doet, en de dienstverlener meestal verwerker. Leg vast welke gegevens de dienstverlener ophaalt, welke hij aan u doorgeeft en welke niet.

Instemmingsrecht van de ondernemingsraad

Heeft uw organisatie een ondernemingsraad, dan heeft u voor een volgsysteem diens instemming nodig. Artikel 27 lid 1 WOR noemt twee onderdelen die hier allebei van toepassing zijn:

• onderdeel k: een regeling over het verwerken en beschermen van persoonsgegevens van werknemers;
• onderdeel l: een regeling over voorzieningen die gericht zijn op of geschikt zijn voor controle op aanwezigheid, gedrag of prestaties van werknemers.

Let op het woord geschikt. Ook een systeem dat u "alleen voor de kilometers" invoert, valt eronder als het technisch geschikt is om bestuurders te volgen.

Neemt u het besluit zonder instemming, dan is het nietig zodra de OR daar schriftelijk een beroep op doet, binnen een maand nadat de OR het besluit heeft gezien of de uitvoering heeft gemerkt. Gegevens die u in die periode verzamelt, staan dan op een wankele basis. Bron: Wet op de ondernemingsraden, artikel 27.

De AP heeft voor ondernemingsraden het OR-privacyboekje gepubliceerd, met een uitgewerkt voorbeeld van een werkgever die gps-trackers in bedrijfsauto's wil plaatsen. Het is ook voor HR en de wagenparkbeheerder een nuttige leidraad. Bron: Autoriteit Persoonsgegevens, OR-privacyboekje.

Geen ondernemingsraad?

Organisaties met minder dan 50 werknemers hebben meestal geen OR. Dan vervalt het instemmingsrecht, maar niet de AVG: doel, noodzaak, DPIA, informatie en bewaartermijnen gelden onverkort. Bespreek het systeem in dat geval met de medewerkers of een eventuele personeelsvertegenwoordiging voordat u het invoert. Dat voorkomt discussie achteraf.

DPIA en informatieplicht

Een DPIA vooraf

Systematisch volgen van werknemers is een verwerking met een hoog privacyrisico. De AP vraagt in dat geval een data protection impact assessment (DPIA, artikel 35 AVG) uit te voeren vóórdat u het systeem aanzet. In het OR-privacyboekje noemt de AP de DPIA uitdrukkelijk als stap bij het plaatsen van een gps-tracker in een auto.

Een DPIA beschrijft onder meer:

• welke gegevens u verzamelt, met welke frequentie;
• voor welk doel, en waarom dat doel niet met minder gegevens te bereiken is;
• wie toegang heeft;
• hoe lang u de gegevens bewaart;
• welke maatregelen de risico's beperken.

Blijft het risico na maatregelen hoog, dan moet u de AP vooraf raadplegen.

Informatieplicht

Elke bestuurder moet vooraf weten dat de auto wordt gevolgd, welke gegevens worden vastgelegd, waarvoor en hoe lang. Heimelijk volgen is alleen in uitzonderlijke situaties toegestaan, bij een concreet vermoeden van ernstig misbruik en voor korte duur. Dat is een uitzondering, geen beheersmodel.

Wat staat er in de informatie aan de bestuurder?

Een korte, schriftelijke toelichting die elke bestuurder krijgt bij de uitgifte van de auto, en bij elke wijziging van het systeem:

1. dat de auto is uitgerust met een systeem dat gegevens vastlegt, en welk systeem;
2. welke gegevens: kilometers, verbruik, ritten, locatie, rijgedrag;
3. waarvoor, per doel, en op welke grondslag;
4. wanneer: alleen tijdens werktijd, of ook daarbuiten, en hoe de privémodus werkt;
5. wie toegang heeft;
6. hoe lang de gegevens worden bewaard;
7. hoe de bestuurder inzage vraagt, bezwaar maakt of een klacht indient bij de AP;
8. contactgegevens van de functionaris gegevensbescherming, als die er is.

Privégebruik: de privéknop

De meeste leaserijders gebruiken hun auto van de zaak ook privé. In de avond, in het weekend en op vakantie heeft de werkgever geen legitiem belang bij de locatie van de werknemer.

Een volgsysteem dat aan de AVG voldoet, biedt daarom een privéknop of privémodus: tijdens privéritten wordt geen locatie zichtbaar voor de werkgever. Het OR-privacyboekje laat zien dat het onderscheid tussen zakelijke en privékilometers een wezenlijk onderdeel van de afweging is.

Fiscaal: een verbod op privégebruik moet controleerbaar zijn

Hier ontstaat een spanning met de fiscale kant, in twee richtingen.

Rijdt een werknemer met een verklaring geen privégebruik, of geldt er een verbod op privégebruik, dan moet de werkgever aannemelijk kunnen maken dat het verbod ook wordt nageleefd. Een verbod op papier is niet genoeg. In een zaak bij het Gerechtshof Amsterdam woog het mee dat juist de betreffende auto's géén gps-controle hadden, terwijl andere auto's die wel hadden; de bijtelling bleef staan. Bron: SRA, privégebruik auto van de zaak moet te controleren zijn

Dat betekent niet dat u elke auto moet volgen. Het betekent dat de controle aantoonbaar moet zijn: sleutelbeheer, kilometerstanden die passen bij het zakelijke rooster, steekproeven, en waar nodig een registratie. Een kilometerstand die automatisch uit de auto komt, laat al snel zien of er in een weekend honderden kilometers zijn gereden, zonder dat iemand weet waar.

De rittenregistratie hoort bij de bestuurder

De andere kant: wie geen bijtelling wil betalen, moet met een rittenregistratie aantonen dat hij niet meer dan 500 km privé rijdt, met vertrek- en aankomstadressen per rit. Die adressen zijn nodig voor de Belastingdienst, maar hoeven niet bij de werkgever te liggen. De bestuurder kan zijn registratie zelf bijhouden en alleen bij een controle overleggen. Hoe dat werkt, leest u in ons artikel over de rittenregistratie voor de auto van de zaak.

Hoe lang mag u locatiegegevens bewaren?

De AVG noemt geen vaste termijn voor locatiegegevens. De regel is: niet langer dan nodig voor het doel. Concreet:

Leg de termijnen per doel vast in de DPIA en in de regeling waarmee de OR instemt, en zorg dat het systeem gegevens automatisch verwijdert.

Twee varianten naast elkaar: wat de DPIA laat zien

Dezelfde vraag, "hoeveel kilometers rijden onze auto's en wat verbruiken ze?", met twee systemen. Een DPIA maakt het verschil zichtbaar:

De conclusie volgt uit de AVG zelf: als het doel met minder gegevens te bereiken is, is de zwaardere variant niet noodzakelijk.

Vragen die u een leverancier stelt

Voordat u een telematica- of volgsysteem inkoopt:

1. Welke gegevens haalt het systeem op, en welke daarvan ziet de werkgever standaard?
2. Kan de locatie volledig worden uitgeschakeld, of alleen verborgen?
3. Hoe werkt de privémodus, en kan de bestuurder die zelf bedienen?
4. Waar worden de gegevens opgeslagen, en zijn er subverwerkers buiten de EU?
5. Welke certificering heeft de leverancier voor informatiebeveiliging, bijvoorbeeld ISO 27001?
6. Hoe worden gegevens na de bewaartermijn verwijderd, en is dat aantoonbaar?
7. Levert de leverancier een verwerkersovereenkomst en input voor de DPIA?

Welke rechten heeft de bestuurder?

De AVG geeft elke werknemer rechten die u vooraf moet kunnen waarmaken:

• Inzage (artikel 15 AVG): de bestuurder mag opvragen welke locatie- en ritgegevens over hem zijn vastgelegd, met welk doel en hoe lang ze worden bewaard. U antwoordt binnen een maand.
• Rectificatie en verwijdering: onjuiste gegevens corrigeren, gegevens verwijderen die niet meer nodig zijn.
• Bezwaar (artikel 21 AVG): bij een verwerking op basis van gerechtvaardigd belang kan de werknemer bezwaar maken vanwege zijn persoonlijke situatie. De werkgever moet dan dwingende redenen hebben om door te gaan.
• Klacht bij de AP: als de werknemer vindt dat de verwerking niet deugt.

Leg in de regeling vast hoe een verzoek loopt en wie het afhandelt, meestal HR samen met de functionaris gegevensbescherming.

Wat riskeert de werkgever?

De boete is het uiterste. In de praktijk is de grootste kostenpost meestal een gestrand project: een systeem dat is ingekocht en uitgerold, en daarna weer uit moet.

Mag u gegevens gebruiken voor sancties of ontslag?

Gegevens die u voor één doel verzamelt, mag u niet zomaar voor een ander doel gebruiken. Heeft u een systeem ingevoerd "voor de kilometeradministratie", dan staat u zwak als u dezelfde data later gebruikt om een werknemer op zijn rijgedrag of werktijden aan te spreken. Dat doel moet dan expliciet in de regeling staan, met instemming van de OR en vooraf gecommuniceerd aan de werknemers.

Rechters kijken in arbeidszaken naar de manier waarop bewijs is verkregen: was het systeem bekend, was de OR akkoord, was het gebruik proportioneel? Is dat niet het geval, dan kan het bewijs minder zwaar wegen of kan de werkgever zelf onrechtmatig hebben gehandeld. Laat bij twijfel een arbeidsjurist meekijken voordat u data als bewijs gebruikt.

Stappenplan: volgsysteem invoeren in 6 stappen

1. Formuleer het doel zo concreet mogelijk, en schrijf op waarom minder ingrijpende middelen niet volstaan.
2. Voer een DPIA uit en neem daarin toegang, bewaartermijnen en de privémodus op.
3. Leg een regeling ter instemming voor aan de OR (artikel 27 lid 1 k en l WOR) en wacht de instemming af.
4. Informeer elke bestuurder schriftelijk, ook nieuwe medewerkers bij indiensttreding.
5. Beperk toegang tot de personen die het doel uitvoeren, en log wie welke gegevens bekijkt.
6. Evalueer jaarlijks: is het doel nog actueel, kan het met minder data, worden gegevens echt verwijderd?

Werkt u met een externe leverancier, sluit dan een verwerkersovereenkomst (artikel 28 AVG) en controleer waar de gegevens worden opgeslagen, wie bij de leverancier toegang heeft en of er subverwerkers buiten de EU zijn.

Wat staat er in een goede volgregeling?

De regeling waarmee de OR instemt, is ook het document dat u aan bestuurders geeft. Neem minimaal op:

• het doel of de doelen, uitputtend;
• welke gegevens worden vastgelegd, en welke uitdrukkelijk niet (bijvoorbeeld: geen locatie buiten werktijd);
• wie toegang heeft, per doel;
• de bewaartermijn per soort gegeven;
• de werking van de privémodus;
• of en wanneer gegevens voor beoordeling of sancties mogen worden gebruikt;
• hoe een werknemer inzage vraagt of bezwaar maakt;
• de jaarlijkse evaluatie met de OR. Voor de IT- en securitykant hebben we een overzicht voor de IT-verantwoordelijke.

Kilometers en verbruik zonder de bestuurder te volgen

De meeste wagenparken willen geen locaties weten. Ze willen weten hoeveel kilometer er gereden is, wat het verbruik is, wanneer onderhoud nodig is en of de leasecontracten binnen het kilometrage blijven. Dat kan zonder track & trace.

Voltaback haalt die gegevens rechtstreeks uit de verbonden auto, zonder kastje, voor meer dan 48 automerken. De werkgever ziet kilometerstanden, verbruik, eco-rijgedrag, waarschuwingen en onderhoudsmeldingen, maar nooit de locatie van de bestuurder. Daarmee verdwijnt het grootste privacyrisico bij de bron, en is het gesprek met de OR een stuk eenvoudiger. Voltaback is ISO 27001-gecertificeerd en AVG-conform.

Voorbeeld: een buitendienst van 40 auto's

Een installatiebedrijf wil drie dingen: weten hoeveel kilometers elke auto rijdt (lease en WPM), storingen op tijd zien, en de dichtstbijzijnde monteur kunnen inzetten bij een spoedklus.

• Kilometers en storingen: rechtstreeks uit de auto, zonder locatie. Geen volgsysteem nodig.
• Spoedklus: de planner ziet alleen tijdens dienst, en alleen bij een spoedmelding, welke monteur het dichtst bij is.
• Privétijd: geen enkele locatie, en dat is technisch afgedwongen in plaats van alleen afgesproken.

Het OR-traject gaat dan over één beperkte toepassing in plaats van over permanente tracking van 40 mensen.

Lees verder over de toepassingen:

• kilometerregistratie voor het wagenpark, bijvoorbeeld voor leasekilometers en de WPM-rapportage;
• eco-rijden in het wagenpark, met rijgedrag zonder locatie;
• onderhoudsmeldingen voor het wagenpark, zodat storingen niet pas bij de dealer opvallen.

Wagenparkdata zonder privacyrisico

Een volgsysteem invoeren kost tijd: DPIA, OR-traject, communicatie, beheer van toegangsrechten. Vaak is dat niet eens nodig, omdat de vraag van de organisatie over kilometers, verbruik en onderhoud gaat, niet over locaties.

Bekijk hoe telematica zonder kastje werkt, of reken uit wat het oplevert met de simulator telematica-besparing. Wilt u weten hoe dit past binnen uw OR-afspraken? Neem contact op met ons telematica-team.