AVG werkgevers: personeelsgegevens en monitoring

In één zin. Werkgevers verwerken persoonsgegevens onder een verzwaard regime: AVG plus UAVG plus arbeidsrechtelijke wetten (Arbo, Wet verbetering poortwachter, WOR), waarbij toestemming zelden geldige grondslag is en de AP-richtsnoer werkgever-werknemerrelaties 2024 strikt wordt gehandhaafd.

Belangrijkste punten

• Toestemming werknemer zelden geldig (machtsverhouding).
• Geschikte gronden: arbeidsovereenkomst, wettelijke plicht, gerechtvaardigd belang.
• Ziekteverzuim: gedetailleerd regime, bedrijfsarts versus werkgever.
• Monitoring: DPIA + OR-instemming (WOR art. 27).
• BSN: alleen wettelijke verplichting.
• AP-richtsnoer werkgevers (2024) als toetsingskader.

“Het lidstatelijk recht of een collectieve overeenkomst kan voorzien in nadere regels ter waarborging van de bescherming van de rechten en vrijheden inzake de verwerking (…) in het kader van de arbeidsverhouding (…)” (art. 88 lid 1 AVG, geïmplementeerd in UAVG art. 30)

1. Wettelijk kader HR

• AVG (EUR-Lex, CELEX 32016R0679) (algemeen).
• UAVG art. 9 (BSN), art. 30 (gezondheidsgegevens beperkt).
• Wet op de loonbelasting: BSN verplicht.
• Arbowet en Wet verbetering poortwachter: ziekteverzuim.
• WOR art. 27: instemming OR voor personeelsinformatiesystemen.
• AVG-richtsnoer werkgevers AP 2024.

2. Rechtsgronden personeel

Verwerking	Grondslag
Salarisadministratie	Wettelijke plicht (Wet LB)
Personeelsdossier basis	Overeenkomst (art. 6.1.b)
Sollicitatieprocedure	Precontractueel (art. 6.1.b)
Functioneringsgesprek	Overeenkomst + gerechtv. belang
Ziekteverzuim	Wettelijke plicht (Arbo, WIA)
Pensioen	Wettelijke plicht of overeenkomst
Werkgever-monitoring	Gerechtvaardigd belang + DPIA
Foto’s op intranet	Toestemming (vrijwillig)
Camerabewaking	Gerechtvaardigd belang + DPIA

3. Toestemming en machtsverhouding

De EDPB Guidelines 5/2020 en het AP-richtsnoer werkgevers 2024: vrije toestemming in werkgever-werknemerrelatie is doorgaans niet mogelijk wegens afhankelijkheid. Kies daarom een van de andere rechtsgronden van artikel 6. Uitzonderingen waar toestemming wel kan:

• Echt vrijwillige extra’s (foto op website, social media-vermelding).
• Optionele verzekeringen of voordelen.
• Deelname onderzoeken zonder negatieve consequentie.

NIET geschikt voor: kernactiviteiten (monitoring, performance-data, basis-personeelsbeheer).

4. Sollicitatieprocedure

• Grondslag: precontractueel (art. 6.1.b).
• Bewaartermijn: 4 weken na afwijzing (AP-richtlijn). Met toestemming maximaal 1 jaar (talentenpool).
• Gegevens: CV, motivatie, contact, referenties (met toestemming), assessment-resultaten, VOG bij specifieke functies.
• Niet vragen: leeftijd, gezinssamenstelling, religie, gezondheid (tenzij specifiek functievereiste), social media-screenings ongericht.
• VOG: alleen bij functievereiste, niet preventief.

5. Personeelsdossier

Bevat tijdens dienstverband:

• Contractgegevens, functieomschrijving.
• Salaris en bonusbeslissingen.
• Beoordelingen en functioneringsgesprekken.
• Ontwikkeling/training.
• Verlofregistratie.
• Disciplinaire maatregelen.

Bewaartermijnen na uitdienst: doorgaans 2 jaar voor algemene gegevens. Loonadministratie 7 jaar (AWR). Pensioengegevens tot pensionering. Disciplinaire dossiers maximaal 5 jaar bij goed gedrag.

6. Ziekteverzuim: gelaagd regime

Strikte scheiding:

Bij wie	Welke gegevens	Grondslag
Werkgever	Wel/niet ziek, verwachte duur, beperkingen voor werk	Arbo + AVG art. 9.2.b
Bedrijfsarts	Diagnose, behandeling, medisch	Beroepsgeheim
UWV	Bij langdurig verzuim, claims	Wettelijke plicht

Werkgever mag NIET vragen: wat heeft u, welke medicatie, oorzaak. Wel: wanneer wel/niet beschikbaar, welke aanpassingen helpen.

7. BSN-verwerking

UAVG art. 9: BSN alleen verwerken bij wettelijke verplichting. Voor werkgever: loonbelasting verplicht (Wet LB art. 28). Voor uitzendbureaus, ZZP-platforms: meestal nodig.

Geen BSN nodig voor: marketing, sollicitatie (vóór indiensttreding), klantenbeheer, identificatie generiek. Aparte beveiliging vereist (niet in algemene HR-systemen).

8. Werknemersmonitoring

E-mail, internetgebruik, productiviteitssoftware (Hubstaff, Time Doctor, Microsoft Productivity Score), camera’s, telefonie-opnames. AP-richtsnoer 2024:

• DPIA verplicht.
• WOR-instemming (art. 27 lid 1 sub k).
• Informatieverstrekking aan werknemers vooraf.
• Proportionaliteit: minst ingrijpende middel.
• Geen continue monitoring zonder gegrond vermoeden.
• Resultaten alleen voor het doel waarvoor verzameld.

9. Cameratoezicht op werkvloer

• Doel duidelijk maken (beveiliging, geen prestatiemeting).
• DPIA.
• OR-instemming.
• Bordjes en interne communicatie.
• Geen camera’s in pauzeruimte, kleedkamer, toilet.
• Bewaartermijn 4 weken (max).
• Geen heimelijke camera’s tenzij gerichte verdenking (BBA-norm).

10. CJEU Bărbulescu en gevolgen

EHRM Bărbulescu v Romania (september 2017): werkgever mocht werknemer-instant-messaging niet zonder voorwaarden inzien. Vereisten: voorafgaande informatie, beperkt doel, proportionaliteit, minder ingrijpend alternatief overwogen, ernstige gevolgen voor werknemer gerechtvaardigd. Doorwerking in Nederland: AP-richtsnoer werkgevers 2024 hanteert deze test integraal. Privé-gemarkeerde berichten blijven onschendbaar tenzij dwingende reden. Voor AVG Art. 5 beginselen over rechtmatigheid en behoorlijkheid.

11. E-mail- en internetcontrole

AP-norm:

• Vooraf duidelijk reglement (in personeelshandboek).
• WOR-instemming.
• Steekproefsgewijs en geanonimiseerd primair.
• Persoonsgericht onderzoek alleen bij concrete verdenking.
• Privé-e-mail gemarkeerd “privé” niet lezen (HvJ EU Bărbulescu).

11. Tool-overzicht HR-AVG

Categorie	Voorbeelden	AVG-aandacht
Payroll	Visma, AFAS, Nmbrs, ADP	DPA + BSN-beveiliging
HRIS	AFAS Personeel, Workday, BambooHR	DPA + RBAC
Sollicitatie ATS	Recruitee, Homerun, Workable	Bewaartermijn 4 weken
Tijdregistratie	Hubstaff, Toggl, Clockify	DPIA + OR
Camera	Avigilon, Hikvision	Bewaartermijn 4w + OR
Bedrijfsarts	ArboNed, Zorg van de Zaak	DPA + scheiding medisch

Bij keuze: NL-vestiging of EU-data residency prioriteren, BSN-handling controleren. Zie AVG Art. 32 beveiliging voor TOM-eisen aan HR-tools.

12. OR-instemmingsrecht

WOR art. 27 lid 1 sub k: ondernemingsraad heeft instemmingsrecht voor regelingen op gebied van personeelsinformatiesystemen, registraties, monitoring. Zonder OR-instemming: regeling nietig. Werkt cumulatief met AVG-verplichtingen — beide moeten geregeld zijn.

12. AP-handhavingscases werkgevers

Verantwoordelijke	Jaar	Bedrag	Onderwerp
NS	2024	600 K EUR	Werknemerstoegang reisgegevens
OLVG	2025	440 K EUR	Onbevoegde inzage door medewerkers
H&M (DE BfDI)	2020	35 M EUR	Werknemersmonitoring
Decathlon (CNIL)	2024	350 K EUR	Camera’s op werkvloer
Recruitmentbureau NL	2024	75 K EUR	CV’s doorgegeven zonder grondslag
MKB onderneming Brabant	2023	40 K EUR	E-mailcontrole zonder OR

Sectoraal patroon: monitoring en toegangsbeheer zijn de twee grote risico’s. AP en BfDI (Duitsland) zijn actiefst. Voor AP boetes 2025 volledig overzicht.

13. EU AI Act en HR-systemen

EU AI Act (van toepassing augustus 2026) classificeert HR-AI als hoog-risico (bijlage III):

• Werving en selectie (CV-screening, video-interviews).
• Promotie en ontslag beslissingen.
• Werkverdeling op basis prestaties.
• Performance evaluatie en monitoring.

Vereisten: risk management, datakwaliteit, technische documentatie, transparantie, menselijk toezicht. Cumuleert met AVG art. 22 en art. 35 DPIA. Informeer werknemers + OR voorafgaand aan inzet. Geautomatiseerde ranking systemen moeten uitlegbaar zijn.

14. Veelvoorkomende fouten werkgevers

• Toestemming gevraagd voor monitoring (machtsverhouding).
• Sollicitatiegegevens jaren bewaard zonder toestemming.
• BSN in algemeen HR-systeem (apart beveiligen).
• Bedrijfsarts deelt diagnose met werkgever (beroepsgeheim).
• WhatsApp-groep met collega’s voor HR-info zonder DPA.
• Camera’s in pauzeruimte of kleedkamer.
• E-mail of internetcontrole zonder OR-instemming.
• Personeelsbestand per ongeluk aan hele organisatie gemaild.

15. Datalekken in HR-context

Veel voorkomende HR-datalekken:

• Loonstrook aan verkeerde werknemer.
• Personeelsbestand per ongeluk gedeeld.
• Verloren laptop met HR-data.
• Phishing op HR-account (ransomware).
• Onbevoegde toegang door HR-medewerker buiten taakgebied.

AP-meldplicht zoals art. 33 — bij gevoelige inhoud (salaris, ziekteverzuim, beoordelingen) doorgaans meldingsplichtig.

FAQ

Mag ik toestemming aan werknemers vragen?

Voor kernactiviteit nee (machtsverhouding). Voor echt vrijwillige extra’s (foto, extracurriculair) ja. Voor monitoring: nooit toestemming als grondslag — gerechtvaardigd belang + DPIA + OR.

Hoe lang bewaar ik sollicitatiegegevens?

4 weken na afwijzing (AP-richtlijn). Met expliciete toestemming maximaal 1 jaar voor talentenpool. Aangenomen kandidaat: gegevens worden personeelsdossier.

Mag ik werknemers via Microsoft 365 monitoren?

Productivity Score-functies (zoals MyAnalytics): alleen geaggregeerd, geen individuele monitoring. Actieve monitoring vereist DPIA + OR-instemming + transparantie. AP heeft Productivity Score in 2021 kritisch beoordeeld.

Welke gegevens mag bedrijfsarts delen met werkgever?

Alleen functionele informatie: wel/niet ziek, verwachte duur, beperkingen voor werk, advies aanpassingen. Geen diagnose, behandeling of medische details. Beroepsgeheim arts.

Heb ik een DPA met mijn payroll-leverancier?

Ja. Payroll-leverancier (Visma, AFAS, Nmbrs, ADP) is verwerker — verwerkersovereenkomst onder art. 28 verplicht. Standaard DPA beschikbaar bij grote leveranciers. Zie Verwerkersovereenkomst template voor verplichte elementen.

Welke rechten hebben werknemers onder de AVG?

Dezelfde als andere betrokkenen: inzage (art. 15), rectificatie (16), wissing (17 met uitzondering wettelijke bewaarplichten), beperking (18), bezwaar (21). Specifiek voor werknemers: recht op kopie personeelsdossier, inzage in monitoringgegevens, uitleg geautomatiseerde HR-beslissingen. Termijn 1 maand. AP-boetes voor systematische obstructie (BKR-norm).

Hoe verhoudt dit zich tot de Klokkenluiderswet?

Werknemers die meldingen doen over misstanden zijn beschermd onder Wet bescherming klokkenluiders (per 2023). Verwerking identiteit klokkenluider: vertrouwelijk, beperkte toegang, geen vergelding. Werkgever moet meldkanalen anonimiseren waar mogelijk. Cumuleert met AVG art. 5 (vertrouwelijkheid) en art. 32 beveiliging.

Mag ik AI-tools gebruiken in werving en selectie?

Beperkt en met waarborgen. CV-screening AI (Workable, Hirevue) valt onder EU AI Act hoog-risico vanaf augustus 2026 + AVG art. 22 (geautomatiseerde besluiten). Vereisten: DPIA, menselijke beoordeling, transparantie, mogelijkheid betwisting, geen discriminatie (bias-testing). Recruitmentbureau-boete 2024 (75 K EUR) was deels op gebrekkige AI-uitleg.

Hoe ga ik om met thuiswerk en monitoring?

Thuiswerkmonitoring (Hubstaff, Time Doctor) is intensief — DPIA verplicht, OR-instemming, transparantie, minst ingrijpende middel. Beter: doel-gebaseerd management (deliverables) ipv microtoezicht. AP-richtsnoer 2024 expliciet: continue monitoring zonder gegrond vermoeden disproportioneel. Bij gebruik: geen screenshots, geen toetsenbordregistratie, geaggregeerde metrics.

Zie ook: thuiswerkbeleid en AVG, AVG bij werving en selectie en AVG in transport en logistiek.