GDPR op de werkvloer: wat moet een werkgever vandaag op orde hebben? (Everest)

Auteur: Joris Deene (Everest)

Tien jaar na de aanneming van de Algemene Verordening Gegevensbescherming moet een werkgever in België vijf zaken kunnen aantonen: een geldige rechtsgrond per verwerking (toestemming volstaat zelden), een retentiebeleid per categorie HR-gegevens, een proportioneel controlebeleid, een werkende procedure voor inzageverzoeken en een vertrekprocedure die de mailbox van een ex-medewerker binnen één maand afsluit. We bespreken deze verplichtingen aan de hand van de recentste beslissingen van de Geschillenkamer van de Gegevensbeschermingsautoriteit en halen eruit wat een werkgever vandaag concreet moet doen.

In het kort:

• De Geschillenkamer van de Gegevensbeschermingsautoriteit legde op 12 mei 2026 twee geldboeten van samen 176.946,61 EUR op omdat de mailbox van een vertrokken consulente niet was afgesloten, en herhaalde dat de toegestane termijn in beginsel één maand bedraagt.
• Toestemming van een werknemer is volgens de Geschillenkamer doorgaans geen geldige rechtsgrond.
• Een inzageverzoek moet binnen één maand een antwoord krijgen en mag niet bij de HR-afdeling of de leidinggevende blijven liggen; de werkgever moet dus vooraf vastleggen wie zulke verzoeken herkent en behandelt.

Waarom de arbeidsrelatie de gegevensbescherming scherper stelt

De Algemene Verordening Gegevensbescherming (AVG) werd op 27 april 2016 aangenomen en is sinds 25 mei 2018 rechtstreeks van toepassing in alle lidstaten. In België wordt zij aangevuld door de wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Het algemene kader vindt u op onze pagina over het gegevensbeschermingsrecht; hier gaat het enkel om de toepassing op de werkvloer.

Een persoonsgegeven is volgens artikel 4, 1) AVG alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dat begrip is ruim. Niet alleen een naam of adres valt eronder, maar ook een foto, een professioneel e-mailadres, een IP-adres, logingegevens of een personeelsnummer. Een verwerking is volgens artikel 4, 2) AVG nagenoeg elke handeling met zulke gegevens, van het verzamelen tot het wissen.

Op de werkvloer komen beide begrippen voortdurend samen. De werkgever verzamelt gegevens bij de werving, houdt ze bij voor de loonadministratie, vult ze aan bij evaluaties en opleidingen, en controleert het gebruik van bedrijfsmiddelen. Daarbij staat hij tegenover een betrokkene die van hem afhangt. Die gezagsverhouding verklaart waarom de AVG in artikel 88 ruimte laat voor bijzondere nationale regels in de arbeidscontext, en waarom de Geschillenkamer de werkgever als verwerkingsverantwoordelijke strenger beoordeelt dan een handelaar tegenover zijn klant. Een verwerkingsverantwoordelijke is volgens artikel 4, 7) AVG de partij die het doel en de middelen van de verwerking bepaalt; in de arbeidsrelatie is dat vrijwel altijd de werkgever.

Werving en selectie: welke gegevens mag een werkgever van een sollicitant vragen?

Alles begint bij het beginsel van minimale gegevensverwerking in artikel 5, lid 1, c) AVG. Een kandidaat-werkgever mag enkel de gegevens vragen die nodig zijn om te beoordelen of een kandidaat geschikt is voor de functie. In de arbeidsrechtelijke context wordt dat beginsel aangevuld door cao nr. 38 van 6 december 1983 betreffende de werving en selectie van werknemers, die de werkgever verplicht de persoonlijke levenssfeer van de sollicitant te eerbiedigen en de verkregen informatie vertrouwelijk te behandelen.

Een onderscheid moet worden gemaakt naargelang het stadium van de procedure. Bij een eerste selectie volstaan beperkte gegevens. Pas wanneer de keuze is gemaakt en de indiensttreding wordt voorbereid, worden gegevens over de gezinssituatie relevant, bijvoorbeeld voor de bedrijfsvoorheffing of de aansluiting bij een verzekering. Een vraag naar het beroep van de partner tijdens het sollicitatiegesprek is dus doorgaans niet te verantwoorden. Werkgevers toetsen dan ook best periodiek hun standaardvragenlijsten en interviewschema’s daarop.

Bij gevoelige gegevens wordt de lat hoger. Artikel 9 AVG verbiedt in beginsel de verwerking van gegevens over gezondheid, vakbondslidmaatschap, etnische afkomst of seksuele gerichtheid, tenzij een van de uitzonderingen geldt, zoals de noodzaak om verplichtingen uit het arbeids- of socialezekerheidsrecht na te komen. Vragen naar de gezondheid of een zwangerschap van een sollicitant zijn dus in beginsel niet toegestaan, tenzij de functie bijzondere risico’s inhoudt. Sinds de richtlijn (EU) 2023/970 over beloningstransparantie komt daar een verbod bij om sollicitanten naar hun huidige of vroegere loon te vragen.

Dat verbod blijft gelden na de indiensttreding, en het geldt ook voor wat een werknemer zelf meedeelt. In de waarschuwing en berisping nr. 113/2021 van 11 oktober 2021 berispte de Geschillenkamer een school omdat informatie over de gezondheid van een leerkracht, die hij in vertrouwen aan zijn directeur had gegeven, bij de inrichtende macht en andere schooldirecties was terechtgekomen. De gegevens waren voor één vertrouwelijke verhouding verstrekt en mochten niet daarbuiten worden gedeeld.

Strafrechtelijke gegevens volgen een eigen regime. Artikel 10 AVG onderwerpt ze aan strikte voorwaarden, zodat een werkgever niet standaard van iedere kandidaat een uittreksel uit het strafregister kan verlangen. Enkel voor bepaalde functies, zoals in de bewakingssector, voorziet de wet in specifieke vereisten over het strafrechtelijk verleden.

Wie een achtergrondonderzoek wil voeren, moet eerst nagaan of de informatie niet rechtstreeks bij de kandidaat kan worden verkregen. Een referentieonderzoek vereist de specifieke en geïnformeerde toestemming van de sollicitant, en een weigering mag op zichzelf niet leiden tot afwijzing. Voor sociale media geldt dat publiek toegankelijk niet hetzelfde is als vrij bruikbaar; wij bespraken de grenzen eerder in de blog over de vraag of een werkgever online profielen mag screenen bij een sollicitatie.

Twee praktische punten sluiten deze fase af. Wie een externe recruiter inschakelt, moet vooraf bepalen of die recruiter een verwerker is (dan is een verwerkersovereenkomst vereist op grond van artikel 28 AVG, zie onze pagina over de verwerkersovereenkomst), een zelfstandige verwerkingsverantwoordelijke, of een gezamenlijke verantwoordelijke in de zin van artikel 26 AVG. En de gegevens van afgewezen kandidaten worden in beginsel gewist zodra vaststaat dat er geen arbeidsovereenkomst komt; een langere bewaring in een sollicitantenpool vraagt een afzonderlijke toestemming die niet uit de deelname aan de selectie mag worden afgeleid. De Geschillenkamer voegde daar op 28 november 2025 in de beslissing nr. 200/2025 aan toe dat een sollicitant bij een inzageverzoek concreet moet vernemen uit welke bron zijn gegevens komen, welke gegevens uit welke bron en in welke vorm.

Toestemming van een werknemer: zelden de oplossing, maar niet altijd uitgesloten

Elke verwerking moet steunen op een van de rechtsgronden van artikel 6 AVG. In de arbeidsrelatie zijn dat vooral de uitvoering van de arbeidsovereenkomst (loon, arbeidsorganisatie), de wettelijke verplichting (sociaal en fiscaal recht) en het gerechtvaardigd belang. Het gerechtvaardigd belang is de rechtsgrond waarbij de werkgever een werkelijk en rechtmatig belang moet aantonen, moet bewijzen dat de verwerking daarvoor noodzakelijk is, en moet nagaan dat de rechten van de werknemer niet zwaarder wegen. Die drieledige toets moet vooraf en schriftelijk worden gedocumenteerd; zij mag geen restcategorie zijn waarnaar de werkgever grijpt wanneer een klacht binnenkomt.

Toestemming staat onderaan de lijst. De Geschillenkamer heeft herhaaldelijk geoordeeld dat een werknemer, gelet op de gezagsverhouding, in beginsel geen vrije toestemming kan geven wanneer de werkgever verwerkingsverantwoordelijke is. Zij deed dat onder meer in het bevel nr. 35/2024 van 20 februari 2024 en in de beslissing nr. 114/2024 van 6 september 2024 over tijdsregistratie via biometrische gegevens. Toestemming is in die lezing doorgaans geen geldige rechtsgrond op de werkvloer.

Wel is het zo dat de Geschillenkamer in de beslissing nr. 72/2020 van 9 november 2020 wél aanvaardde dat een werknemer geldig kon toestemmen in de verwerking van zijn vakbondslidmaatschap, omdat die verwerking uitsluitend in zijn voordeel gebeurde en de werkgever er zelf geen voordeel uit haalde. Een werknemer kan dus, ondanks de ondergeschiktheid, vrij toestemmen wanneer hij alle vrijheid heeft om te weigeren en aan een weigering geen enkel rechtstreeks of onrechtstreeks nadeel is verbonden.

Dit laatste is ook juridisch verdedigbaar. Artikel 7 AVG en overweging 43 sluiten toestemming in een ongelijke verhouding niet uit; zij maken haar vermoedelijk onvrij. Het vermoeden kan worden weerlegd. Het probleem zit in het bewijs. De werkgever moet volgens artikel 7, lid 1 AVG kunnen aantonen dat de toestemming vrij was, en dat bewijs is in een arbeidsrelatie moeilijk te leveren zodra de verwerking ook de werkgever dient. In de zaak van 2020 diende zij enkel de werknemer; in de biometriezaak van 2024 diende zij de werkgever. Wij menen dan ook dat dit verdedigbaar is voor verwerkingen in het exclusieve voordeel van de werknemer (een verjaardagsattentie, een vrijwillige vakbondsinhouding), maar dit geen houvast biedt voor controle, monitoring of toegangsbeheer. Daar blijft het gerechtvaardigd belang, met een gedocumenteerde afweging, de enige werkbare rechtsgrond.

Toezicht en monitoring: de noodzaak bepaalt, niet de techniek

Een werkgever mag toezien op de uitvoering van het werk. Dat controlerecht vloeit voort uit de gezagsverhouding, maar het is niet onbeperkt. De werkgever mag niet redeneren vanuit wat een systeem technisch kan, maar vanuit wat hij concreet nodig heeft. Vóór hij een controlemiddel invoert, moet hij vastleggen welk doel hij nastreeft, welke gegevens daarvoor nodig zijn, of een minder ingrijpend middel volstaat, wie de resultaten ziet en hoelang ze worden bewaard.

Geolokalisatie illustreert dat. Een GPS-systeem in een bedrijfswagen kan dienen voor diefstalbeveiliging, planning of het informeren van klanten. De Geschillenkamer aanvaardde in de beslissing nr. 15/2023 van 21 februari 2023 dat zulke doelen legitiem kunnen zijn, maar een systeem dat voor diefstalbeveiliging is ingevoerd, mag niet zonder meer worden gebruikt om pauzes of prestaties te controleren. Bij voertuigen die ook privé worden gebruikt, moet een privacymodus of een uitschakeling buiten de arbeidstijd het volgen tijdens privégebruik beletten. Wij analyseerden een latere beslissing over hetzelfde onderwerp in de blog over de vraag of een werkgever een geolokalisatiesysteem mag installeren in een bedrijfswagen.

Sociale media vragen dezelfde terughoudendheid. De Geschillenkamer aanvaardde in haar beslissing zonder gevolg nr. 06/2021 van 28 januari 2021 over de controle door een werkgever op arbeidstijd en sociale media dat de redelijke privacyverwachting van een werknemer afneemt naarmate hij zijn uitlatingen zelf in de publieke sfeer brengt. Dat betekent niet dat publiek beschikbare informatie voor om het even welk doel mag worden gebruikt. Wie een schermafbeelding of een onlinebericht gebruikt in een disciplinaire procedure, verwerkt persoonsgegevens en moet daarvoor het doel bepalen, de controle beperken tot wat relevant is en documenteren waarom verdere verificatie nodig was. Het occasioneel raadplegen van een bericht dat onder de aandacht van de werkgever wordt gebracht, is iets anders dan het structureel volgen van alle werknemers; hoe systematischer de controle, hoe moeilijker zij te verantwoorden is.

Telewerk verandert de regels niet, maar het verleidt tot verregaande middelen. Systemen die toetsaanslagen registreren, automatisch schermafbeeldingen maken of de volledige digitale activiteit volgen, zijn bijzonder ingrijpend en zullen moeilijk te verantwoorden zijn. Toezicht op resultaten of een beperkte controle van loginmomenten is doorgaans het minder ingrijpende alternatief. Bij controle van e-mail en internetgebruik blijft bovendien cao nr. 81 van 26 april 2002 gelden, met haar eigen informatie- en individualiseringsprocedure.

Mag een werkgever eisen dat de camera aan staat bij een videoconferentie? De werkgever kan daarvoor een gerechtvaardigd belang hebben bij een evaluatiegesprek of een interactieve opleiding, maar een algemene verplichting voor elke onlinevergadering is moeilijker te verantwoorden dan een gerichte regel per type vergadering. Mogen videocalls worden opgenomen? Een opname legt stem, beeld, uitlatingen en gedeelde documenten duurzaam vast en is dus veel ingrijpender dan de vergadering zelf. Het argument dat een opname “handig kan zijn voor later” volstaat niet. De deelnemers moeten vooraf uitdrukkelijk worden geïnformeerd over doel, toegang en bewaartermijn; een opname-icoontje in de vergadertoepassing is daarvoor onvoldoende. De Geschillenkamer bevestigde het belang van die transparantie op 12 mei 2026 in de beslissing nr. 102/2026 over het opnemen en beluisteren van telefoongesprekken voor kwaliteitscontrole en opleiding.

Rechten van werknemers: inzage is geen recht op de volledige mailbox

Werknemers beschikken over alle rechten van de artikelen 15 tot 22 AVG. Voor de HR-praktijk weegt het inzagerecht het zwaarst. Een werknemer mag vragen welke gegevens over hem worden verwerkt, voor welke doelen, aan wie ze worden doorgegeven en hoelang ze worden bewaard, en hij heeft recht op een kopie.

Die kopie betreft de persoonsgegevens, niet elk document waarin zij voorkomen. De werkgever moet rekening houden met de rechten en vrijheden van anderen. Een inzageverzoek geeft dus geen onbeperkte toegang tot volledige mailboxen, interne verslagen of dossiers waarin ook gegevens van derden of vertrouwelijke bedrijfsinformatie staan. De Geschillenkamer oordeelde in de beslissing nr. 40/2023 van 3 april 2023 over een geweigerde inzage na het einde van de tewerkstelling, en aanvaardde in dezelfde zaak dat een functionele mailbox die door meerdere werknemers wordt beheerd, na het vertrek van één van hen mag blijven bestaan.

De termijn is streng. De werkgever antwoordt binnen één maand; hij kan die termijn met twee maanden verlengen wanneer de complexiteit of het aantal verzoeken dat rechtvaardigt, maar dan moet hij de werknemer binnen de eerste maand over de verlenging en de redenen informeren. Een verzoek mag niet blijven liggen bij de leidinggevende of de HR-medewerker die het ontvangt; dat volgt uit de beslissing nr. 97/2026 van 6 mei 2026 over een onbeantwoord verzoek om een kopie van prestatiefiches. Niet elk verzoek verwijst naar de AVG. Een werknemer die gewoon vraagt welke gegevens over hem worden bijgehouden, oefent zijn inzagerecht al uit. HR en leidinggevenden moeten dat herkennen en intern doorsturen.

Het recht op rectificatie (artikel 16 AVG) is beperkt tot feitelijke gegevens; een negatieve evaluatie laat zich niet “verbeteren”, wel kan de werknemer zijn standpunt aan het dossier laten toevoegen. Het recht op wissing (artikel 17 AVG) wijkt voor wettelijke bewaarplichten en voor gegevens die nodig blijven voor een rechtsvordering. Wat niet mag worden gewist, mag daarom nog niet voor andere doelen worden gebruikt: doelbinding blijft gelden.

Einde van de arbeidsrelatie: de mailbox als grootste boeterisico

Na het vertrek van een werknemer blijft de werkgever een aanzienlijke hoeveelheid persoonsgegevens verwerken. Een deel moet hij bewaren op grond van sociaalrechtelijke, fiscale of boekhoudkundige verplichtingen; een ander deel kan hij bewaren om zich te verdedigen tegen een mogelijke rechtsvordering, zoals artikel 17, lid 3, e) AVG toelaat. Dat rechtvaardigt echter niet de onbeperkte bewaring van het volledige personeelsdossier. De werkgever moet per categorie bepalen hoelang en waarom hij nog bewaart, en wie er nog toegang toe heeft.

De mailbox is het gevoeligste onderdeel. Een e-mailadres met de voor- of achternaam van de werknemer is een persoonsgegeven; derden mogen die account in beginsel niet gebruiken. De Geschillenkamer hanteert sinds de beslissing nr. 64/2020 van 29 september 2020 over het niet afsluiten van de e-mail na het einde van de functies vaste richtlijnen: de mailbox wordt afgesloten, een neutraal automatisch antwoord verwijst naar een alternatief contactpunt, en de continuïteit wordt op een minder ingrijpende manier georganiseerd. De termijn bedraagt in beginsel één maand; een verlenging tot maximaal drie maanden vraagt een uitdrukkelijke belangenafweging. Die lijn werd op 23 april 2026 herhaald in de beslissing nr. 86/2026.

Op 12 mei 2026 volgde de zwaarste toepassing tot nu toe. In de beslissing nr. 101/2026 oordeelde de Geschillenkamer over een zelfstandige consulente die als lid van de “extended workforce” een professioneel e-mailadres van de onderneming had. Na het einde van de samenwerking bleef de mailbox bestaan. De Geschillenkamer stelde dat een mailbox onvermijdelijk een mix bevat van bedrijfsinformatie, gegevens van de medewerker, privécommunicatie en gegevens van derden, en dat de verdere verwerking na het vertrek slechts tijdelijk op het gerechtvaardigd belang kan steunen. Zij beval de onderneming passende maatregelen te nemen, inzage te verlenen, de gegevens in de mailbox te wissen en de toegangsregistraties over te maken, en legde geldboeten op van 160.860,55 EUR en 16.086,06 EUR. Wij bespraken die beslissing uitvoerig in de blog over de vraag of het deactiveren van de mailbox van een ex-medewerker volstaat; het antwoord was neen, deactiveren is geen wissen.

Ook hier past een kritische noot. De termijn van één maand staat niet in de AVG; hij is een invulling door de Geschillenkamer van het beginsel van opslagbeperking. Het betreft evenwel een praktijkregel. Een werkgever die een langere termijn wil verantwoorden, kan dat in theorie met een gedocumenteerde belangenafweging, maar de beslissing van 12 mei 2026 toont dat de Geschillenkamer die verantwoording streng leest en dat de kost van een mislukte poging hoog is. De veiligste weg blijft de overdracht vóór het vertrek: de vertrekkende medewerker ordent zijn mailbox, verwijdert of verplaatst persoonlijke berichten en draagt de professionele informatie over aan een collega.

Freelancers, verwerkingsregister en handhaving

De AVG geldt evenzeer voor freelancers, zelfstandige consultants, uitzendkrachten en werknemers van dienstverleners. Een privacykennisgeving die enkel voor werknemers is geschreven, dekt hun verwerking niet, en wie persoonsgegevens verwerkt in opdracht van de onderneming, heeft een verwerkersovereenkomst nodig. De zaak van de consulente uit de beslissing nr. 101/2026 bewijst dat de Geschillenkamer dat onderscheid niet maakt.

Het register van verwerkingsactiviteiten van artikel 30 AVG moet de werkelijke situatie weergeven. Een nieuwe HR-tool, een nieuw toegangscontrolesysteem of een nieuwe vorm van monitoring is een reden om het register bij te werken, en om vooraf de rechtsgrond te bepalen. Een onderneming mag niet pas bij een klacht of een inzageverzoek naar een juridische basis beginnen zoeken.

De handhaving is reëel. Artikel 83 AVG laat geldboeten toe tot 20 miljoen EUR of 4 procent van de wereldwijde jaaromzet. In de beslissing nr. 56/2021 van 26 april 2021 legde de Geschillenkamer een financiële instelling 100.000 EUR op omdat een werknemer onrechtmatig toegang had gekregen tot gegevens in de kredietcentrale van de Nationale Bank; de verantwoordelijkheid bleef bij de werkgever, ook al handelde de werknemer tegen de interne instructies in. Interne policies volstaan dus niet. De werkgever moet kunnen aantonen dat toegangsrechten beperkt zijn, worden gelogd en periodiek worden herzien.

Wat betekent dit concreet?

Werkgevers en HR-afdelingen stellen best een controlelijst op met vijf onderdelen. Een rechtsgrond per verwerking, vooraf bepaald en, bij gerechtvaardigd belang, schriftelijk afgewogen. Een retentiebeleid dat per categorie HR-gegevens (sollicitaties, arbeidsovereenkomsten, loon, evaluaties, arbeidsongeschiktheid, controlegegevens) een termijn en een grond noemt, en dat ook wordt uitgevoerd in lokale bestanden en gedeelde mappen. Een controlebeleid dat voor elk middel het doel, de gegevens, de toegang en de bewaartermijn vastlegt, met een privacymodus voor bedrijfswagens en een gedifferentieerde regel voor camera en opname bij videocalls. Een interne procedure die inzageverzoeken herkent en binnen één maand beantwoordt. En een vertrekprocedure waarin HR en IT samen accounts afsluiten, toestellen recupereren en de mailbox binnen één maand wissen. Twijfelt u of uw huidige ICT-policy en vertrekprocedure die toets doorstaan, dan is dat het eerste wat wij voor u nagaan; een werkgever die dit structureel wil aanpakken, laat zich daarbij het best bijstaan door een advocaat gespecialiseerd in GDPR/AVG.

Voor werknemers en ex-werknemers ligt het accent op de rechten. Wie wil weten welke gegevens de werkgever bijhoudt, hoeft geen formeel verzoek met verwijzing naar de AVG te schrijven; een gewone vraag om een kopie volstaat, en de werkgever moet binnen één maand reageren. Een ex-werknemer behoudt die rechten zolang de werkgever zijn gegevens verwerkt, en kan dus ook na het vertrek inzage vragen in wat er met zijn mailbox is gebeurd. Een weigering of een uitblijvend antwoord kan het voorwerp zijn van een klacht bij de Gegevensbeschermingsautoriteit.

Voor freelancers en consultants met een e-mailadres van de opdrachtgever geldt sinds de beslissing van 12 mei 2026 dezelfde bescherming als voor werknemers. Het loont om bij de start van de opdracht schriftelijk af te spreken wat er met de mailbox gebeurt na afloop.

Veelgestelde vragen (FAQ)

Welke persoonsgegevens mag een werkgever verwerken over zijn werknemers?

Een werkgever mag de persoonsgegevens verwerken die nodig zijn om de arbeidsovereenkomst uit te voeren (identiteit, loon, arbeidstijd), om zijn wettelijke verplichtingen na te komen (sociale zekerheid, fiscus) en om een gerechtvaardigd belang te behartigen, zoals de beveiliging van bedrijfsmiddelen. Gevoelige gegevens zoals gezondheid of vakbondslidmaatschap mag hij enkel verwerken wanneer een uitzondering van artikel 9 AVG geldt. Toestemming van de werknemer is zelden een geldige rechtsgrond.

Mag mijn werkgever mijn mailbox blijven gebruiken na mijn vertrek?

Neen, niet onbeperkt. De Geschillenkamer van de Gegevensbeschermingsautoriteit verwacht dat de mailbox wordt afgesloten met een neutraal automatisch antwoord, en dat de gegevens erin, met inbegrip van het e-mailadres zelf, na in beginsel één maand worden gewist. Een verlenging tot drie maanden is enkel mogelijk met een uitdrukkelijke belangenafweging. Het louter deactiveren van de mailbox volstaat niet; in mei 2026 leidde dat tot geldboeten van samen 176.946,61 EUR.

Mag een werkgever eisen dat ik mijn camera aanzet tijdens elke videovergadering?

Een algemene verplichting voor elke onlinevergadering is moeilijk te verantwoorden. Een werkgever kan cameragebruik wel opleggen wanneer visuele interactie nodig is, bijvoorbeeld bij een evaluatiegesprek, een interactieve opleiding of een workshop. Hij moet daarbij het gerechtvaardigd belang afwegen tegen de privacy van de werknemer, die met de camera ook zijn woning en huisgenoten in beeld brengt. Een gedifferentieerd beleid per type vergadering is het meest verdedigbaar.

Hoe snel moet een werkgever antwoorden op een inzageverzoek van een werknemer?

Binnen één maand na ontvangst. De werkgever kan die termijn met twee maanden verlengen wanneer het verzoek complex is of er veel verzoeken zijn, maar hij moet de werknemer binnen de eerste maand over de verlenging en de redenen informeren. Het verzoek hoeft niet naar de AVG te verwijzen; ook een gewone vraag om een kopie van de gegevens geldt als inzageverzoek en moet intern worden doorgestuurd naar wie het behandelt.

Conclusie

Tien jaar na de aanneming van de AVG is de gegevensbescherming op de werkvloer in België geen kwestie van een privacyverklaring meer, maar van aantoonbare praktijk: een rechtsgrond per verwerking, een retentiebeleid per categorie, een proportioneel controlebeleid, een werkende inzageprocedure en een vertrekprocedure die de mailbox binnen één maand wist.

Bron: Everest