Employee-monitoring-apps: de volledige gids

Een app die registreert dat een monteur op locatie is aangekomen, is planning. Dezelfde app die registreert hoelang hij op elke locatie was en dat vergelijkt met zijn collega's, is toezicht. De techniek is identiek; het doel en het gebruik niet.

Een employee-monitoring-app is toelaatbaar als hij een concreet doel dient dat niet anders te bereiken is, en ontoelaatbaar zodra hij meer vastlegt dan dat doel vraagt.

De vormen lopen uiteen. Aanwezigheid en tijd: wie is wanneer ingelogd of ingeklokt. Locatie: waar is het voertuig of de telefoon. Systeemgebruik: welke applicaties, welke bestanden, welk e-mailverkeer. Productiviteit: hoeveel handelingen, hoeveel output, hoeveel pauze. Veiligheid: een alleenwerker die niet beweegt, een chauffeur die te lang rijdt. Elk van die vormen raakt de persoonlijke levenssfeer van de medewerker, en de vraag is telkens of het belang van de werkgever zwaarder weegt.

De gebruikers zijn de werkgever, de leidinggevende, de medewerker zelf en de ondernemingsraad. Dat de medewerker en de OR gebruikers zijn, is geen beleefdheid maar ontwerp: een app die de medewerker niet laat zien wat over hem is vastgelegd, en een OR die het ontwerp niet heeft gezien, zijn beide een reden om de app niet in gebruik te nemen.

De toepassingen waar organisaties om vragen, zijn vaak anders dan de toepassingen die standhouden. Gevraagd wordt: wie werkt thuis echt, wie is het productiefst, wie zit op welke website. Wat standhoudt, is: de alleenwerker die veilig thuiskomt, de urenregistratie die klopt, de toegang tot vertrouwelijke gegevens die aantoonbaar is, het voertuig dat bij diefstal wordt teruggevonden. Deze gids gaat over hoe u van het eerste naar het tweede komt.

De juridische lat ligt hoog en is goed beschreven. Wie hem kent, ontwerpt anders: niet 'wat willen we weten' maar 'wat mogen we weten, en hoe leggen we dat uit'.

Grondslag

het gerechtvaardigd belang van de werkgever, afgewogen tegen de privacy van de medewerker; toestemming geldt niet, omdat die in een arbeidsrelatie niet vrij is

DPIA

een gegevensbeschermingseffectbeoordeling is verplicht bij systematisch en grootschalig volgen van medewerkers, vóórdat de verwerking begint

OR

de ondernemingsraad heeft instemmingsrecht op voorzieningen die geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties

Heimelijk

verborgen controle mag alleen bij een concrete verdenking, tijdelijk, gericht en als andere middelen niet werken; nooit als vaste functie

De afweging is het document dat de app bepaalt. Welk belang heeft de werkgever, is dat belang concreet, is de meting noodzakelijk om het te dienen, is er geen minder ingrijpende manier, en weegt het belang zwaarder dan de inbreuk. Die vijf vragen, eerlijk beantwoord, leveren de functielijst op. Een meting die een van de vijf niet haalt, hoort niet in de app, hoe eenvoudig hij technisch ook is.

De DPIA en de OR zijn geen vertraging maar een filter. De DPIA dwingt om de afweging op te schrijven en de risico's te benoemen; de OR dwingt om het ontwerp uit te leggen aan wie ermee moet werken. Organisaties die de app eerst bouwen en dan de OR informeren, krijgen een gesprek over wantrouwen; wie het ontwerp met de aggregatieregels laat zien vóór de bouw, krijgt een gesprek over nut.

Dezelfde app kan twee doelen dienen waarvan er één standhoudt en één niet. De rittenregistratie die de kilometers voor de fiscus vastlegt, is een ander doel dan de rittenregistratie die de chauffeur op zijn pauzes aanspreekt.

Het verschil zit in vier dingen: het doel is concreet, de meting is beperkt tot wat dat doel vraagt, de gegevens worden niet bewaard of gebruikt buiten dat doel, en de medewerker weet ervan. Een app die aan die vier voldoet, is uit te leggen aan een OR, een toezichthouder en een rechter. Een app die er een mist, is dat niet, hoe goed de bedoeling ook was.

Productiviteit is het doel waar de meeste vraag naar is en waar de afweging het slechtst uitpakt. Wat een medewerker oplevert, is te meten aan het werk: afgeronde orders, beantwoorde tickets, opgeleverde onderdelen. Dat zijn werkcijfers uit de systemen die het werk registreren, en die mag een leidinggevende zien. Wat een medewerker doet tussen die cijfers door, is geen werkcijfer maar gedrag, en daar houdt de grondslag op.

Proportionaliteit is geen juridisch woord voor voorzichtigheid maar een set ontwerpregels die in de app zitten. Een app die ze afdwingt, beschermt de werkgever net zo goed als de medewerker.

De uitzondering op aggregatie is de procedure. Er zijn situaties waarin een persoon moet worden bekeken: een concreet incident, een verdenking van fraude, een klacht. De app kent daarvoor een route die niet in de gewone schermen zit: een verzoek, een goedkeuring door een tweede persoon, een vastgelegde reden, en een logboek van wie wat heeft ingezien. Zo is de uitzondering mogelijk zonder dat hij de regel wordt.

Voor de medewerker is de app een venster, niet een camera. Hij ziet zijn eigen uren, zijn eigen ritten, zijn eigen meldingen, en wat daarvan naar wie gaat. Dat venster is ook de plek waar hij een fout kan melden of bezwaar kan maken. Een app die de medewerker niets laat zien, vraagt hem te vertrouwen op wat hij niet kan controleren, en dat vertrouwen is er in een arbeidsrelatie niet vanzelf.

Een organisatie heeft al tien systemen die iets over medewerkers weten. Het gevaar van een monitoring-app is niet de nieuwe meting maar de combinatie van bestaande metingen tot een beeld dat geen enkel systeem apart mocht maken.

De rechterkolom is waar het meestal misgaat, en het gaat mis met goede bedoelingen. De koppeling is technisch triviaal en het argument klinkt redelijk: we hebben de gegevens toch al. Maar elk gegeven is verzameld voor een doel, en het gebruik voor een ander doel vraagt een nieuwe afweging. De app moet die grens in zijn architectuur hebben: bronnen die elkaar niet kennen, tenzij de procedure ze bij elkaar brengt.

Bestaande leveranciers zijn een aparte aandacht. Voertuigvolgsystemen, tijdregistratie en werkplekbeheer komen met eigen dashboards die vaak meer tonen dan de afweging toestaat. De app die u laat bouwen, kan die dashboards vervangen door een laag die alleen toont wat mag; wat u niet moet doen, is de leveranciersdashboards laten staan naast een keurige eigen app.

Een app die uren en locaties toont, is snel gebouwd. Een app die alleen toont wat de afweging toestaat, een procedure voor uitzonderingen afdwingt en de medewerker zijn eigen venster geeft, is vooral ontwerp, en dat ontwerp begint vóór de eerste regel code.

Afweging

de grondslagtoets en de DPIA zijn werk van de organisatie met een jurist; zonder die twee is elke bouw voorbarig

Bronnen

elke bron is een koppeling met een eigen doel en een eigen bewaartermijn, en een muur naar de andere bronnen

Procedure

de uitzonderingsroute met verzoek, goedkeuring en logboek is een eigen module met eigen rollen

Venster

het scherm voor de medewerker met zijn eigen gegevens, de uitleg en de mogelijkheid tot bezwaar

Wat meestal meevalt: de techniek. Wat tegenvalt: het gesprek. De OR, de jurist en de leidinggevenden die om een productiviteitsscherm vroegen, moeten het eens worden over wat de app wel en niet doet, en dat gesprek duurt langer dan de bouw. Wie het overslaat, bouwt een app die na de eerste klacht wordt uitgezet.

Vraag ook of u de app nodig heeft. De veiligheidssensor, de rittenregistratie en de urenregistratie bestaan al als aparte apps met een eigen doel. Een monitoring-app die die apps samenbrengt, is precies de combinatie waar de afweging het moeilijkst wordt. Vaak is het antwoord: houd de doelen apart, in aparte apps, en bouw geen laag die ze bij elkaar brengt.

De volgorde hieronder begint niet bij de bouw maar bij het doel, en de eerste drie stappen zijn van de organisatie. Wie ze overslaat en bij stap vier begint, bouwt tweemaal.

1. Doel benoemenEén zin per meting: wat willen we bereiken, en waarom kan dat niet zonder. Metingen zonder zin vervallen hier al.
2. Grondslag toetsenDe vijf vragen van het gerechtvaardigd belang, per meting, op papier, met een jurist. Wat de toets niet haalt, gaat uit het ontwerp.
3. DPIA uitvoerenDe risico's voor de medewerker, de maatregelen, de bewaartermijnen. Met de functionaris gegevensbescherming als die er is.
4. OR en medewerkersHet ontwerp met de aggregatieregels, de procedure en het venster aan de OR voorleggen. Instemming vóór de bouw, niet erna.
5. Eerste bron en vensterEén bron, één doel, het medewerkersvenster erbij. Een kwartaal draaien; elke vraag van een medewerker is een ontwerpfout of een uitlegfout.
6. Evalueren en verkleinenIs het doel gehaald? Welke gegevens zijn nooit gebruikt? Die gaan eruit. Een monitoring-app die na een jaar minder vastlegt dan bij de start, is goed ontworpen.