Het (stiekem) filmen van personeel is niet zomaar toegestaan. Cameratoezicht op de werkvloer is alleen toegestaan onder strikte voorwaarden, anders overtreedt de werkgever de Algemene verordening gegevensbescherming (AVG). Bovendien heeft de bestuurder ook instemming van de ondernemingsraad (OR) nodig.
De regels voor cameratoezicht op de werkvloer zijn vastgelegd in de Algemene verordening gegevensbescherming (AVG), die onder meer als doel heeft om de privacy om het werk te waarborgen. Houdt de werkgever zich niet aan de AVG, dan kan de Autoriteit Persoonsgegevens (AP) de organisatie een waarschuwing geven en een boete opleggen. Omdat cameratoezicht altijd inbreuk maakt op de privacy van werknemers, is de belangrijkste vraag of het cameratoezicht redelijk is in verhouding tot het beoogde doel en of de werkgever ook met minder ingrijpende middelen kan volstaan.
De bestuurder is volgens artikel 27, lid 1l van de Wet op de ondernemingsraden verplicht om zijn voorgenomen besluit om cameratoezicht toe te passen, eerst aan de OR voor te leggen voor instemming. Dit instemmingsrecht geldt als de bestuurder het cameratoezicht structureel wil invoeren of als hij het bestaande beleid daarvoor wil wijzigen, maar óók als hij eenmalig of tijdelijk werknemers in het geheim wil filmen.
Let op! Of de bestuurder het systeem in de praktijk ook daadwerkelijk inzet om gedrag of aanwezigheid van werknemers te monitoren of controleren, maakt voor de verplichting om instemming aan de OR te vragen geen verschil. Die verplichting geldt uitdrukkelijk ook als het systeem er alleen al geschikt voor is. Dit geldt ook voor andere vormen van zogenoemde personeelsvolgsystemen, denk aan een gps-tracker, black box of boordcomputer in de auto van de zaak of software die bijvoorbeeld toetsaanslagen, e-mailverkeer en/of internetgebruik van werknemers registreert. Het is dus aan de OR om kritische vragen te stellen over het voorgenomen cameratoezicht.
Is de werkgever van plan om grootschalig en/of systematisch persoonsgegevens te verwerken om activiteiten van werknemers te monitoren, of gaat het om een heimelijke controle, dan moet hij bovendien eerst een zogenoemde Data Privacy Impact Assessment (DPIA) (tool) uitvoeren. Stemt de OR in en gaat de bestuurder over tot het gebruik van cameratoezicht, dan moet hij de werknemers wel vooraf duidelijk informeren over de observatie, het doel ervan, het tijdschema, het gebruik en de bewaartermijnen van de verzamelde gegevens.