GPS-tracking van bedrijfsauto's en de AVG: wat mag wel en niet?

Een GPS-tracker legt vast waar een voertuig is, hoe laat het vertrekt en welke route het rijdt. Zolang die gegevens alleen over een auto gaan, zijn het geen persoonsgegevens. Dat verandert zodra u kunt achterhalen wie er reed. Via een rooster, een vaste berijder of een planning is dat bij bedrijfsauto's bijna altijd mogelijk.

Locatiegegevens die tot een medewerker herleidbaar zijn, vallen onder de Algemene verordening gegevensbescherming (AVG). Ze zeggen veel over iemand: waar de medewerker woont, hoe laat die begint, waar die pauzeert en hoe die rijdt. Daarom gelden er strikte eisen aan het verzamelen en gebruiken ervan.

De werkgever is de verwerkingsverantwoordelijke. U bepaalt het doel en de middelen, en u bent aanspreekbaar als het misgaat. De leverancier van het trackingplatform verwerkt de gegevens in uw opdracht en is doorgaans verwerker. Leg die rolverdeling vast in een verwerkersovereenkomst, zoals artikel 28 AVG voorschrijft.

Voor elke verwerking van persoonsgegevens heeft u een wettelijke grondslag nodig. Toestemming van medewerkers ligt voor de hand, maar is in een arbeidsrelatie meestal geen geschikte grondslag. Toestemming moet vrij gegeven zijn, en een medewerker is afhankelijk van de werkgever.

In de praktijk baseren werkgevers GPS-tracking meestal op gerechtvaardigd belang. Denk aan het beschermen van voertuigen tegen diefstal, het plannen van ritten en serviceafspraken, of de veiligheid van medewerkers die alleen onderweg zijn. Dat belang moet concreet zijn en vooraf zijn vastgelegd. Overheidsorganisaties gebruiken in de regel een andere grondslag (algemeen belang/publieke taak).

Een gerechtvaardigd belang alleen is niet genoeg. U weegt uw belang af tegen de privacy van de medewerker en legt die afweging schriftelijk vast, zodat u haar later kunt verantwoorden. Daarbij horen deze toetsen:

• Noodzaak: is het volgen echt nodig om het doel te bereiken, of is het vooral handig?
• Proportionaliteit: staat de inbreuk op de privacy in verhouding tot het doel? Live meekijken tijdens werktijd weegt zwaarder dan achteraf een rit terugzien.
• Subsidiariteit: kunt u het doel ook bereiken met een minder ingrijpend middel, zoals alleen een melding bij beweging buiten werktijd?
• Doelbinding: gegevens die u verzamelt voor diefstalpreventie, gebruikt u niet zomaar voor een ander doel, zoals het beoordelen van prestaties.

Medewerkers moeten weten dat hun auto wordt gevolgd voordat de tracking begint. Dat volgt uit de informatieplicht van de AVG. Heimelijk volgen verhoudt zich daar niet mee. Alleen in uitzonderlijke situaties, zoals een concreet vermoeden van een strafbaar feit, kan daar ruimte voor zijn; laat u in dat geval juridisch adviseren.

Informeer bij voorkeur schriftelijk, bijvoorbeeld in een autoregeling of een privacyreglement dat medewerkers ontvangen en kunnen nalezen. Een mondelinge mededeling bij de sleuteloverdracht is achteraf lastig aan te tonen.

Neem in die informatie ten minste de volgende onderwerpen op:

• Welke gegevens de tracker vastlegt, zoals locatie, tijd, snelheid en ritten.
• Voor welke doelen u die gegevens gebruikt, en voor welke uitdrukkelijk niet.
• Wie de gegevens kan inzien, zowel live als achteraf.
• Hoe lang u de gegevens bewaart.
• Hoe privégebruik is geregeld, bijvoorbeeld met een privéschakelaar.
• Welke rechten de medewerker heeft, zoals inzage en bezwaar, en bij wie de medewerker daarvoor terechtkan.

Heeft uw onderneming een ondernemingsraad (OR), dan heeft die instemmingsrecht bij een regeling over een personeelsvolgsysteem. Dat staat in artikel 27 lid 1 sub l van de Wet op de ondernemingsraden (WOR), tenzij de regeling al inhoudelijk in een cao is vastgelegd (art. 27 lid 3 WOR). Het gaat om voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van medewerkers. Een GPS-tracker in een bedrijfsauto valt daar doorgaans onder.

Het woord ‘geschikt’ is belangrijk. Ook als u de tracker alleen tegen diefstal wilt inzetten, kan het systeem technisch geschikt zijn om medewerkers te volgen. Daarnaast kan een regeling over de verwerking van persoonsgegevens van medewerkers instemmingsplichtig zijn op grond van artikel 27 lid 1 sub k WOR.

Vraag de instemming voordat het systeem in gebruik gaat. Een besluit dat zonder de vereiste instemming is genomen, kan nietig zijn als de ondernemingsraad zich binnen een maand schriftelijk daarop beroept. Betrek de OR daarom vroeg: bij de keuze van het doel, de instellingen en de bewaartermijnen.

Heeft uw organisatie geen ondernemingsraad, dan blijft de informatieplicht richting medewerkers gewoon gelden. Overleg met medewerkers of met een personeelsvertegenwoordiging helpt om draagvlak te krijgen en onduidelijkheid achteraf te voorkomen.

Mogen medewerkers de bedrijfsauto ook privé gebruiken, dan wordt het volgen gevoeliger. Locatiegegevens buiten werktijd zeggen iets over het privéleven: bezoek aan familie, een arts of een sportclub. Voor de meeste zakelijke doelen heeft u die gegevens niet nodig.

Een privéschakelaar is een voorziening waarmee de berijder aangeeft dat een rit privé is. Afhankelijk van het platform wordt de locatie dan niet of beperkt vastgelegd, of is die niet zichtbaar voor de werkgever. Vraag bij elk platform na hoe de schakelaar precies werkt en wat er tijdens een privérit nog wordt opgeslagen.

Een alternatief is om de tracking buiten werktijd automatisch te beperken. Voor diefstalpreventie kan een melding bij beweging op een ongebruikelijk moment voldoende zijn, zonder dat u de rit zelf volgt.

Let op de samenhang met een rittenregistratie die u voor fiscale doeleinden bijhoudt. Een privéschakelaar verandert wat er wordt vastgelegd. Stem de instellingen daarom af met uw fiscaal adviseur.

De AVG schrijft voor dat u persoonsgegevens niet langer bewaart dan nodig is voor het doel. Een vaste wettelijke termijn voor GPS-gegevens bestaat niet. Bepaal per doel een bewaartermijn, onderbouw die en laat oude gegevens automatisch verwijderen.

Beperk ook wie de gegevens ziet. Een planner heeft misschien live locaties nodig, maar geen ritgeschiedenis van maanden terug. Leg rollen en rechten vast in het platform en gebruik persoonlijke accounts, zodat te herleiden is wie wat heeft bekeken.

Bij verwerkingen met een hoog risico voor betrokkenen is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht op grond van artikel 35 AVG. De Autoriteit Persoonsgegevens (AP) noemt het stelselmatig monitoren van werknemers en het grootschalig of stelselmatig verwerken van locatiegegevens als situaties waarin een DPIA nodig is. Een wagenpark dat standaard wordt gevolgd, valt daar al snel onder.

Twijfelt u, voer de DPIA dan toch uit. Het document helpt ook bij het gesprek met de ondernemingsraad en bij vragen van medewerkers. De AP publiceert op haar website actuele richtlijnen over het volgen van werknemers en over de DPIA.

Carro Automotive bouwt GPS-trackers in bedrijfsauto's en bestelbussen in, in de werkplaats aan de Stavorenweg 4 in Gouda. De tracker wordt verborgen geplaatst en aangesloten op de accu. Via de app ziet u live locaties, ritten en meldingen bij beweging of bij het verlaten van een ingestelde zone.

De keuzes uit dit artikel maakt u als werkgever: het doel, de belangenafweging, de afspraken met de ondernemingsraad en de bewaartermijnen. Leg ze vast voordat de eerste tracker wordt ingebouwd. Na oplevering ontvangt u een overzicht per voertuig van wat er is geplaatst. Dat helpt bij uw eigen administratie.