AVG op de werkvloer: personeelsgegevens en AI

Kort antwoord: Elk HR-AI-systeem verwerkt personeelsgegevens, en daarmee geldt de AVG onverkort — naast de AI Act. Het lastigste punt is de grondslag: toestemming is in een arbeidsrelatie zelden geldig, omdat een werknemer niet vrij kan weigeren. Je valt dan terug op gerechtvaardigd belang, de uitvoering van de arbeidsovereenkomst of een wettelijke plicht — elk met eigen grenzen.

Waarom toestemming meestal niet werkt

De AVG eist dat toestemming vrij wordt gegeven. Door de gezagsverhouding tussen werkgever en werknemer is daar bijna nooit sprake van: wie "nee" zegt tegen monitoring of een beoordelingstool voelt de druk. Toezichthouders wijzen toestemming in de arbeidscontext daarom doorgaans af. Gerechtvaardigd belang kan wél, maar vereist een belangenafweging waarin het belang van de werknemer zwaar weegt.

Bijzondere gegevens: extra streng

AI die gezichten, stemmen of gezondheid verwerkt, raakt bijzondere persoonsgegevens (art. 9 AVG) met een streng verbodregime. Dit overlapt met het verbod op emotieherkenning uit de AI Act: wat de AI Act verbiedt, is onder de AVG vaak sowieso al niet toegestaan.

De andere kernbeginselen

• Dataminimalisatie: verzamel alleen wat nodig is; "omdat het kan" is geen doel.
• Transparantie: informeer werknemers helder over welke AI hun gegevens verwerkt en waarom.
• Geautomatiseerde besluiten: bij besluiten met aanzienlijke gevolgen geldt artikel 22, met recht op menselijke tussenkomst.
• DPIA: bij grootschalige of ingrijpende verwerking is een gegevensbeschermings­effect­beoordeling verplicht — combineer die met het OR-traject.

Nationale ruimte (art. 88)

De AVG laat lidstaten en cao-partijen ruimte voor eigen regels in de arbeidscontext. In Nederland werkt dat door in de rol van de ondernemingsraad en in toezicht door de Autoriteit Persoonsgegevens. Reken dus niet alleen op de algemene AVG-tekst, maar ook op de nationale invulling.

Wat te doen

• Bepaal per systeem de grondslag — en wees eerlijk: is toestemming hier echt vrij?
• Doe een DPIA bij monitoring, profilering of grootschalige verwerking.
• Minimaliseer en informeer — minder data, meer uitleg.
• Stem af met de OR en, waar de AI Act dat eist, met de werknemersvertegenwoordiging.

AI Act-conformiteit en AVG-conformiteit zijn niet inwisselbaar. Een systeem kan keurig als hoog-risico zijn ingericht en tóch op een ontbrekende grondslag stranden. De gegevens zijn het fundament — begin daar.