Het hebben van een rittenregistratiesysteem heeft vele voordelen. Je hoeft niet meer handmatig alle ritten te noteren, maar alle noodzakelijke informatie wordt automatisch opgeslagen. Hierbij gaat het ook om privacy gevoelige informatie. Denk bijvoorbeeld aan bezochte adressen en tijdstippen van alle ritten en bezoeken. Hoe ga je hier als werkgever mee om en hoe zorg je ervoor dat je aan de eisen van de AVG voldoet? Wij leggen het uit!
Wat houdt het AVG in?
AVG staat voor Algemene Verordening Gegevensbescherming. Deze privacywet is sinds 25 mei 2018 in de hele Europese Unie van toepassing. In deze wet zijn de belangrijkste regels met betrekking tot het omgaan met persoonsgegevens vastgelegd. Bedrijven en organisaties mogen niet meer persoonsgegevens verwerken en gebruiken dan noodzakelijk is en moeten hiervoor altijd een goede reden hebben. De Autoriteit Persoonsgegevens (AP) controleert of bedrijven zich aan de wet houden en kan boetes uitdelen.
Proportionaliteit en subsidiariteit
Volgens de AVG moet een werkgever altijd toetsen aan twee principes:
- Proportionaliteit. Staat het middel (gps-tracking) in verhouding tot het doel (bijvoorbeeld fiscale verantwoording)?
- Subsidiariteit. Kan het doel ook op een minder ingrijpende manier worden bereikt?
Bij een rittenregistratie voor de Belastingdienst is gps-tracking vaak noodzakelijk, mits de privacy van de chauffeur bij privéritten wordt gerespecteerd.
Wat zijn persoonsgegevens volgens de AVG?
Volgens de AVG is een persoonsgegeven informatie die direct over iemand gaat, of naar die persoon te herleiden is. Er zijn veel soorten persoonsgegevens, zoals naam, adres of woonplaats. Maar ook telefoonnummers of postcodes met huisnummers vallen hieronder. Gevoelige gegevens zoals ras, godsdienst of gezondheid worden bijzondere persoonsgegevens genoemd. Deze informatie is door de AVG wet extra beschermd.
Vragen voor de AVG vastleggen
Er moeten vooraf duidelijke afspraken gemaakt worden in lijn met de AVG. Er zijn een aantal standaardvragen die elk bedrijf moet vastleggen, het gaat om afspraken tussen de werkgever en elke individuele werknemer in het bezit van een zakelijke auto. De vragenlijst bestaat onder andere uit vragen zoals, is er een noodzaak? Wat doet de werkgever met de gegevens? Is de privacy van werknemers gewaarborgd? Worden privékilometers volledig afgeschermd? Als dit alles wordt vastgelegd mag er gebruik worden gemaakt van een kilometerregistratiesysteem en is dit in lijn met de AVG.
Is een DPIA verplicht?
Wanneer u van plan bent om werknemers op grote schaal te volgen via GPS, bent u als werkgever vaak verplicht om een DPIA (Data Protection Impact Assessment) uit te voeren. Dit is een voorafgaand onderzoek om de privacyrisico’s in kaart te brengen en maatregelen te nemen om deze risico’s te verkleinen.
Welke persoonlijke informatie wordt verzameld in een rittenregistratie?
In een rittenregistratie staat veel persoonlijke informatie. Het gaat hierbij om start- en stopadressen, data en tijdstippen, maar ook om wie er in de auto zat. Ook de gereden routes en snelheid worden vastgelegd. Het is dus belangrijk om hier als werkgever zorgvuldig mee om te gaan. Over het opslaan en het gebruik van persoonlijke informatie maken werkgevers en werknemers onderling afspraken. Deze afspraken kunnen worden vastgelegd in een privacyregeling.
Hoe lang mag u data bewaren?
Er is een belangrijk onderscheid: voor de Belastingdienst moeten ritgegevens zeven jaar bewaard worden. Echter, voor doeleinden zoals ritoptimalisatie of gedragsanalyse mag de data vaak niet langer dan noodzakelijk (meestal enkele maanden) bewaard worden. LINQO helpt u bij het instellen van de juiste bewaartermijnen conform de AVG-richtlijnen.
Wat is een privacyregeling?
In een privacyregeling kunnen werkgevers en werknemers afspraken rondom deze persoonlijke informatie vastleggen. Deze privacyregeling zorgt ervoor dat bestuurders weten welke data er verzameld wordt, wie de data kan inzien en met welk doel de informatie wordt verzameld. In een privacyregeling staat ook dat alleen informatie rondom zakelijke ritten verwerkt worden. Gegevens over privéritten moeten worden afgeschermd. Een privacyregeling kan een apart document zijn, of een onderdeel van het leasecontract.
