GPS-tracking van Werknemers: Wat Mag Wel en Niet onder de GDPR?

GPS-gegevens zijn persoonsgegevens

Zodra locatiegegevens gekoppeld kunnen worden aan een identificeerbaar persoon, zijn het persoonsgegevens onder de GDPR. Bij bedrijfsvoertuigen is dat vrijwel altijd het geval: het voertuig is toegewezen aan een specifieke werknemer, dus de locatie van het voertuig = de locatie van die persoon.

Dit geldt voor:

• GPS-trackers in bedrijfswagens
• Locatiegegevens van bedrijfstelefoons
• Route-registratie via boordcomputers
• Apps die de locatie van buitendienstmedewerkers bijhouden

Omdat locatiegegevens gedetailleerd inzicht geven in iemands gedrag en bewegingen, behandelt de GDPR ze als bijzonder gevoelig.

Twee Belgische waarschuwingsverhalen

Arbeidsrechtbank Leuven: 24/7 tracking is onrechtmatig

Een werkgever plaatste GPS-trackers in bedrijfsvoertuigen en volgde werknemers continu, ook buiten werkuren. Het voertuig werd zowel professioneel als prive gebruikt. De rechtbank oordeelde:

• 24/7 tracking is een onevenredige inmenging in het privéleven
• De werkgever had geen duidelijk, gerechtvaardigd doel voor continue surveillance
• Werknemers waren onvoldoende geinformeerd over de gegevensverwerking

Resultaat: de verwerking was onrechtmatig. De werkgever verloor de zaak.

GBA-boete: transportbedrijf (2022)

Een transportbedrijf verzamelde GPS-gegevens van chauffeurs via boordcomputers. De Gegevensbeschermingsautoriteit (GBA) stelde vast:

• Geen duidelijke verwerkingsgrondslag (niet goed onderbouwd als gerechtvaardigd belang, geen geldige toestemming)
• Geen intern privacybeleid over het gebruik van de GPS-gegevens
• Onvoldoende informatie aan de chauffeurs over wat er met hun gegevens gebeurde

Resultaat: administratieve boete wegens transparantiegebrek.

Wanneer is GPS-tracking WEL toegestaan?

GPS-tracking is niet verboden, maar je moet aan strikte voorwaarden voldoen:

1. Je hebt een duidelijk, specifiek doel Voorbeelden van geldige doelen:

• Routeoptimalisatie en planning
• Diefstalpreventie van voertuigen
• Facturatie op basis van gereden kilometers
• Veiligheid van werknemers in risicogebieden

“Controleren of werknemers echt aan het werk zijn” is zelden een geldig doel.

2. Je kiest de juiste grondslag

• Gerechtvaardigd belang is de meest gebruikte grondslag voor GPS-tracking, maar je moet een belangenafweging maken en documenteren
• Toestemming is problematisch in een werkrelatie vanwege de machtsverhouding; een werknemer kan moeilijk “vrij” toestemming geven

3. Je beperkt de tracking tot wat nodig is

• Alleen tijdens werkuren, niet 24/7
• Alleen de gegevens die je echt nodig hebt (bijv. begin- en eindpunt, niet elke seconde de positie)
• Geen tracking van privéverplaatsingen

4. Je informeert je werknemers

• Vermeld de GPS-tracking in je personeelsprivacybeleid
• Leg uit: welke gegevens, waarvoor, hoe lang bewaard, wie toegang heeft
• Informeer werknemers voordat je de tracking activeert, niet achteraf

5. Je voert een DPIA uit Bij systematische, grootschalige tracking is een Data Protection Impact Assessment (DPIA) verplicht. Documenteer de risico’s en de maatregelen die je neemt.

Do’s en don’ts

Wat je WEL moet doen

• Documenteer GPS-gebruik in je verwerkingsregister en personeelsprivacybeleid
• Beperk de tracking tot werkuren tenzij je een specifieke rechtvaardiging hebt
• Beperk de toegang tot GPS-gegevens tot leidinggevenden die het echt nodig hebben
• Voer een DPIA uit bij grootschalige tracking
• Pas pseudonimisering toe waar mogelijk (bijv. voertuig-ID in plaats van werknemersnaam)
• Stel bewaartermijnen in en verwijder oude GPS-gegevens automatisch

Wat je NIET moet doen

• 24/7 tracking zonder dwingende noodzaak
• Tracking baseren op algemene toestemming (“je hebt het arbeidscontract getekend, dus je stemt in”)
• GPS-gegevens gebruiken voor andere doeleinden dan waarvoor je ze verzamelt (bijv. verzameld voor routeplanning, gebruikt voor prestatiebeoordeling)
• GPS-gegevens langer bewaren dan nodig
• De meldplicht bij datalekken negeren als GPS-gegevens gelekt worden

Wat moet je nu doen?

1. Inventariseer of je GPS-gegevens verwerkt (bedrijfsvoertuigen, telefoons, apps)
2. Documenteer het doel, de grondslag en de bewaartermijn in je verwerkingsregister
3. Controleer of je werknemers geinformeerd zijn via het personeelsprivacybeleid
4. Beperk de tracking tot werkuren en noodzakelijke gegevens
5. Voer een DPIA uit als je systematisch locatiegegevens verwerkt
6. Stel bewaartermijnen in en verwijder oude GPS-data automatisch