Instemming van de OR voor je schermopnamesoftware invoert: WOR artikel 27 in de praktijk

De securityreview is rond, de functionaris gegevensbescherming heeft getekend en inkoop heeft het contract naar een redelijk bedrag gepraat. Dan vraagt iemand in de ondernemingsraad of die nieuwe documentatietool vastlegt wat medewerkers op hun scherm doen, en ligt de pilot vier maanden stil.

Bijna niemand in deze softwarecategorie schrijft hierover: de leveranciers die de markt domineren zijn Amerikaans en kennen thuis geen vergelijkbare regel. In Nederland komt de medezeggenschapsvraag vóór de productvraag.

Volledige openheid: wij bouwen Loopyback, een in de EU gehoste documentatietool met een browserextensie die klikken en schermafbeeldingen vastlegt zodra de gebruiker zelf opneemt. Dit is geen juridisch advies: het doel is dat je je jurist en je OR op tijd de juiste vragen stelt.

Nederland: instemming, niet advies

Dit loopt via de ondernemingsraad en het instemmingsrecht van artikel 27 van de Wet op de ondernemingsraden. Twee onderdelen zijn relevant, en ze werken onafhankelijk van elkaar.

Lid 1 onder k vraagt instemming voor elke regeling omtrent het verwerken en de bescherming van persoonsgegevens van in de onderneming werkzame personen. Een tool die schermafbeeldingen en klikpaden opslaat, valt daaronder zodra je er beleid omheen maakt, en dat moet je sowieso.

Lid 1 onder l vraagt instemming voor voorzieningen die "gericht zijn op of geschikt zijn voor" waarneming van of controle op aanwezigheid, gedrag of prestaties. Let op die formulering. De Nederlandse wetgever zette de geschiktheidstoets in de wettekst zelf, waar Duitsland dezelfde gedachte via rechtspraak bereikt: het Bundesarbeitsgericht leest "bestimmt" in §87(1)(6) BetrVG als objectief geschikt, bevestigd op 16 juli 2024 (1 ABR 16/23). De Nederlandse formulering is daarmee eerder ruimer dan die Duitse toets: ze vangt het bedoelde én het onbedoeld bruikbare. Een tool die een tijdgestempelde klikvolgorde en schermafbeeldingen produceert, herleidbaar tot een met naam bekende medewerker, is dus geschikt om gedragsinformatie te genereren. Of je hem ooit zo zou gebruiken, is een andere vraag dan of de regel geldt. En praat je jezelf uit (l), dan land je in (k).

Dit is instemming, geen advies. Na een negatief advies mag de bestuurder alsnog beslissen; zonder instemming, en zonder vervangende toestemming van de kantonrechter, is er simpelweg geen geldig besluit.

Het handhavingsmechanisme staat in lid 5: het besluit is nietig als de OR daar schriftelijk een beroep op doet, binnen één maand na de kennisgeving van het besluit, of, als die uitbleef, binnen één maand nadat de OR merkt dat de bestuurder het besluit uitvoert. Nietig betekent: het besluit heeft nooit bestaan, ook niet voor een uitrol die al draait. Lid 6 laat de OR bovendien de kantonrechter vragen de bestuurder te verbieden dat nietige besluit uit te voeren.

Een OR is verplicht vanaf 50 in de onderneming werkzame personen. Zonder OR valt er geen instemmingsrecht uit te oefenen, maar blijven de AVG-verplichtingen gelden.

De Autoriteit Persoonsgegevens gaat er tot slot van uit dat er sprake is van een personeelsvolgsysteem zodra medewerkers gevolgd kunnen worden, ook als dat niet gebeurt: "wij kijken er nooit in" is geen argument om de vraag over te slaan. De AP heeft daarnaast een eigen DPIA-lijst, waarvan het onderdeel over medewerkers grootschalige én stelselmatige monitoring vraagt.

Wat je in andere landen verschuldigd bent

Heb je een Vlaamse vestiging, dan heet het orgaan daar ook ondernemingsraad, maar geldt CAO nr. 39 van 13 december 1983: informatie en raadpleging, geen instemming, en de klok van drie maanden loopt alleen bij belangrijke collectieve gevolgen. Een uitrol naar een supportteam van zes haalt die drempel waarschijnlijk niet. CAO nr. 81 gaat over onlinecommunicatiegegevens die over het netwerk gaan en is dus aantoonbaar niet direct van toepassing op lokale schermopname: een inschatting, geen vaststaand recht.

Daarbuiten legt richtlijn 2002/14/EG de bodem: ondernemingen met minstens 50 werknemers, of vestigingen met 20, informeren en raadplegen over besluiten die de arbeidsorganisatie ingrijpend kunnen veranderen.

Helpt het dat de medewerker zelf op opnemen drukt?

Voor de uitkomst wel, voor het proces niet. Er is geen gepubliceerde uitspraak over opname die de medewerker zelf start en alleen het eigen scherm vastlegt, dus wie hier stellig antwoordt, gokt. Zelf starten is een zwak argument dat er niets verschuldigd is, en een sterk argument over wat er in de regeling moet staan. Een OR die een stille achtergrondmonitor zou bevechten, stemt meestal snel in met een druk-op-opnemen-tool. Wat het niet oplevert, is toestemming in de zin van de AVG: volgens opinie 2/2017 van de Artikel 29-werkgroep kunnen werknemers vrijwel nooit vrijelijk toestemming geven of intrekken. Gebruik artikel 6(1)(f) met een vastgelegde belangenafweging.

Wat in de instemmingsaanvraag hoort

Zes toezeggingen komen terug in de aanvragen die snel getekend worden: doelbinding op schrift, dus opnames voor werkinstructies en niet voor beoordeling; geen aggregatie over medewerkers heen; regie bij de gebruiker, die zelf start en vóór het delen kan verwijderen; anonimisering standaard aan; een bewaartermijn met vernietigingsregel; en opslaglocatie en subverwerkers, met naam genoemd.

Dat laatste is de eerlijke versie van onze salespitch. Hosting in België schrapt het hoofdstuk internationale doorgifte, maar ontslaat niemand van artikel 27 WOR.

Moet er een DPIA komen?

Waarschijnlijk wel, al is het een grensgeval. Geen nationale lijst vangt dit netjes: de CNIL-post vraagt monitoring "de manière constante", de AP-lijst grootschalige én stelselmatige monitoring, de Duitse DSK-lijst omvangrijke verwerking van gedragsgegevens. Episodische, door de gebruiker gestarte opname haalt die drempels geen van alle. Maar onder de WP248-criteria scoort de tool op criterium 3 (stelselmatige monitoring), 7 (werknemers als kwetsbare betrokkenen) en 8 (innovatief gebruik van nieuwe technologie), en twee criteria wijzen al op een DPIA. Doe hem dus: je OR vraagt er toch om. Ons stuk over beveiligingsprocedures documenteren onder NIS2 behandelt documentatie die zelf gevoelig is.

Veelgemaakte fouten

De OR pas benaderen na ondertekening. De instemming moet er zijn voordat het besluit valt, niet voordat de uitrol begint.

Een pilot als uitzondering zien. Een pilot met 20 mensen is invoering en gebruik van de technologie, en de verplichting hangt aan de invoering.

Leunen op toestemming van medewerkers. De meest gemaakte fout, en de fout die een toezichthouder het snelst ziet.

Aannemen dat het Duitse beeld stabiel is. §26(1) BDSG geldt na arrest C-34/21 breed als niet toepasbaar, een vervangende wet is in oktober 2024 ontworpen en weer losgelaten, en C-65/23 bevestigde dat een Betriebsvereinbarung als grondslag zelf aan de artikelen 5, 6 en 9 AVG moet voldoen.

Hosting te laat uitzoeken. Staan de gegevens in een Amerikaanse regio, dan heb je een doorgiftediscussie toegevoegd aan een medezeggenschapsdiscussie. Onze vergelijking van Europese SOP- en documentatiesoftware zet de leveranciersvragen op een rij.

Wat Loopyback niet doet

Wij bieden geen stille opname of opname op de achtergrond, en een beheerder kan geen opname starten op andermans scherm. Er is geen registratie van inactieve tijd, geen activiteitenanalyse en geen gebruiksdashboard per medewerker. Dat is een productkeuze, en hij kost ons deals. We leveren ook geen juridisch getoetste modelregeling; wat we wel doen is vooraf schriftelijk de feitelijke vragen beantwoorden die je OR stelt.

Veelgestelde vragen

Wat hoort er in de instemmingsaanvraag?

Een beschrijving van wat wanneer wordt vastgelegd, een datastroom van browser naar server met vermelding van het land, de bewaarregel, wie toegang heeft, de DPIA en de concept-doelbinding. Die zes meenemen naar het eerste overleg verkort het traject.

Wij hebben 30 medewerkers en geen OR. Zijn we klaar?

Artikel 27 WOR veronderstelt een OR. Is die er niet, dan valt er geen instemmingsrecht uit te oefenen. De AVG-verplichtingen gelden wel, ongeacht het aantal medewerkers.

Ontkomen we aan het OR-traject met een in de EU gehoste tool?

Nee. Waar de gegevens staan is een gegevensbeschermingsvraag, medezeggenschap een arbeidsrechtelijke. België beantwoordt alleen de eerste.

---

We beantwoorden de vragenlijst van je OR over ons eigen product schriftelijk voordat je je ergens aan verbindt. Het gratis plan is genoeg voor een technische pilot; betaalde plannen beginnen bij 16 euro per maand, 24 euro per gebruiker voor teams. Details op de prijzenpagina.