Mag je werkgever meekijken op je werklaptop?

MacWindowsBijgewerkt 2026-10-31

Een werkgever in Nederland mag werknemers onder voorwaarden controleren, maar niet zomaar. De Autoriteit Persoonsgegevens (AP) schrijft voor werkgevers dat de belangrijkste voorwaarden in de AVG en de Uitvoeringswet AVG staan. Heeft je organisatie een ondernemingsraad, dan heeft die instemmingsrecht bij een regeling voor controle van personeel. En je hebt zelf het recht te weten welke gegevens over je worden verwerkt.

Deze pagina is algemene informatie, geen juridisch advies. Voor een concrete zaak praat je met een advocaat.

Kort antwoord

Volgens de AP heeft een werkgever een grondslag nodig, moet de controle noodzakelijk zijn en moet hij werknemers vooraf informeren. Bij e-mail en telefoon moet hij rekening houden met vertrouwelijke communicatie: "Zo mag u geen e-mails lezen die duidelijk privé zijn." Heeft je organisatie een ondernemingsraad, dan heeft die volgens artikel 27 van de Wet op de ondernemingsraden instemmingsrecht bij een regeling voor controle van personeel, behalve voor zover een cao het al inhoudelijk regelt. Met artikel 15 AVG vraag je inzage in je gegevens.

Wat zegt de AP tegen werkgevers?

De AP heeft een pagina voor werkgevers over de voorwaarden voor controle van werknemers, bijgewerkt op 7 februari 2025. Die begint zo: "Als werkgever mag u uw werknemers alleen controleren als u voldoet aan de eisen uit de privacywetgeving." En verder: "Wat wel en niet mag, kan per geval en per sector verschillen."

Als voorbeeld van monitoring noemt de AP onder meer "volgsoftware die registreert wat medewerkers op hun computer doen (zoals in- en uitloggen, toetsaanslagen, gebruik van e-mail en internet)". Voor alle vormen gelden volgens de AP dezelfde algemene regels:

Grondslag. "Zonder grondslag is het niet toegestaan om uw werknemers te controleren." Over toestemming als grondslag schrijft de AP dat werknemers een verzoek van hun werkgever moeilijk kunnen weigeren, en dat toestemming daardoor "niet goed te gebruiken" is als grondslag voor het monitoren van personeel.
Noodzaak. De werkgever kan zijn doel niet op een andere manier bereiken die minder ingrijpend is.
Personeel informeren. Over wat wel mag en wat niet, dat controle mogelijk is, waarom en wanneer, op welke manier en om welke gegevens het gaat.
Vertrouwelijke communicatie. "Zo mag u geen e-mails lezen die duidelijk privé zijn."
Instemming OR. Heeft de organisatie een ondernemingsraad, dan vraagt de werkgever die vooraf om instemming.
DPIA. Voor stelselmatige monitoring, zoals controle van e-mail en internetgebruik, moet de werkgever eerst een data protection impact assessment uitvoeren.

Wil een werkgever heimelijk controleren, dan gelden volgens de AP daarnaast extra voorwaarden.

Wat zegt de AP over e-mail en internet?

Op haar pagina over controle van communicatiemiddelen, bijgewerkt op 8 oktober 2024, schrijft de AP, weer voor werkgevers, dat een werkgever voorwaarden mag stellen aan privégebruik van e-mail, internet en zakelijke telefoon, en werknemers vooraf moet laten weten wat de regels zijn en dat ze gecontroleerd kunnen worden.

Een werkgever kan volgens de AP "steekproefsgewijs monitoren" of er verboden gebruik plaatsvindt, en moet vooraf het doel bepalen. Bij een vermoeden van misbruik mag hij onder voorwaarden een specifieke controle doen bij die medewerker, en de AP schrijft: "U kunt vaak volstaan met een kortdurende, gerichte controle bij een vermoeden van misbruik." Zo'n controle geldt volgens de AP als heimelijke controle, waarvoor de extra voorwaarden voor heimelijke controle gelden.

Is een werknemer langere tijd afwezig, dan mag de werkgever volgens de AP diens e-mail checken, maar: "Blijkt bijvoorbeeld uit de titel van een bericht dat de e-mail persoonlijk is? Dan mag u dat bericht niet lezen."

En de webcam?

De AP noemt het op haar pagina voor werkgevers over controle van werknemers op afstand, bijgewerkt op 10 januari 2025, in het deel over thuiswerkers. Software "waarmee screenshots of foto's van hun thuiswerkplek gemaakt kunnen worden, via de webcam" is volgens de AP een van de methoden die "heel ingrijpend" zijn voor de privacy. De werkgever moet daarom kijken of zo'n methode wel noodzakelijk is, en de AP schrijft: "Bij heel ingrijpende methoden om werknemers te monitoren weegt hun privacybelang meestal zwaarder."

Over een webcam op een laptop op kantoor zegt die pagina niets apart.

Wat heeft de ondernemingsraad ermee te maken?

Volgens artikel 27 lid 1 van de Wet op de ondernemingsraden heeft de werkgever instemming van de ondernemingsraad nodig voor elk voorgenomen besluit tot vaststelling, wijziging of intrekking van onder meer:

onder k: "een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen";
onder l: "een regeling inzake voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen".

Dat geldt voor zover de regeling betrekking heeft op alle of een groep van de mensen die in de onderneming werken. Die instemming is niet nodig voor zover de zaak al inhoudelijk is geregeld in een cao of in een regeling van arbeidsvoorwaarden van een publiekrechtelijk orgaan (lid 3). Krijgt de werkgever geen instemming, dan kan hij de kantonrechter om toestemming vragen. Die geeft volgens lid 4 alleen toestemming als de weigering van de ondernemingsraad onredelijk is, of als het besluit nodig is om zwaarwegende bedrijfsorganisatorische, bedrijfseconomische of bedrijfssociale redenen. De AP schrijft op haar pagina voor ondernemingsraden, bijgewerkt op 2 januari 2025, dat software die "toetsaanslagen, e-mailverkeer en/of internetgebruik van werknemers registreert" een voorbeeld is van een personeelsvolgsysteem.

Een ondernemingsraad is er niet overal. Artikel 2 van de wet verplicht een ondernemer daartoe als in de onderneming "in de regel ten minste 50 personen werkzaam zijn".

Hoe zie je wat er op je laptop staat?

Vraag het na. Volgens de AP moet een werkgever je informeren dat controle mogelijk is en op welke manier, bijvoorbeeld met interne richtlijnen zoals gedragsregels of een protocol. De IT kan zeggen welke programma's erop staan. Twee dingen kun je zelf bekijken:

Op een Mac kies je Apple-menu > "Systeeminstellingen", klik je op "Algemeen" in de navigatiekolom en daarna op "Apparaatbeheer". Daar staan de profielen in een lijst. Haal er op een werklaptop niets weg: volgens Apple worden bij het verwijderen van een profiel alle bijbehorende instellingen en gegevens verwijderd.
Gebruikt je werkgever Microsoft Intune, dan beschrijft Microsoft wat inschrijving laat zien. Volgens Microsoft ziet je organisatie onder meer je oproep- en browsegeschiedenis, e-mail- en sms-berichten, wachtwoorden en de inhoud van door jou gemaakte documenten niet, maar altijd wel zaken als de apparaatnaam, het serienummer en het apparaatmodel. Op een Windows-apparaat van het bedrijf kan de organisatie aanvullende details opvragen, waaronder bestandspaden en bestandsnamen en vermeldingen in het register en het gebeurtenislogboek.

Die lijst gaat alleen over inschrijving bij Intune. Voor andere programma's kijk je in de regels van je werkgever.

Welke rechten heb je?

De AVG geeft je er drie die hier tellen:

Inzage. Volgens artikel 15 AVG mag je uitsluitsel krijgen of er gegevens over je worden verwerkt, en zo ja inzage in die gegevens, met onder meer de verwerkingsdoeleinden. Volgens lid 3 krijg je een kopie. De termijn staat in artikel 12 lid 3: "binnen een maand na ontvangst van het verzoek", en die kan "indien nodig met nog eens twee maanden worden verlengd", afhankelijk van de complexiteit en het aantal verzoeken.
Bezwaar. Volgens artikel 21 AVG kun je, om redenen die met je specifieke situatie te maken hebben, bezwaar maken tegen een verwerking op basis van artikel 6 lid 1 onder e of f. De organisatie stopt dan, tenzij ze dwingende gerechtvaardigde gronden aanvoert die zwaarder wegen.
Klacht. Volgens artikel 77 AVG kun je een klacht indienen bij een toezichthoudende autoriteit. In Nederland is dat de AP. Bij een klacht verwacht de AP dat je "éérst zelf contact opneemt met de organisatie of persoon waarover u een klacht heeft".

Hoe de routes samenhangen, staat in Een collega melden die op je laptop of telefoon zat.

Meer vragen

Mag mijn werkgever mijn mail lezen?

De AP schrijft voor werkgevers dat ze rekening moeten houden met vertrouwelijke communicatie: "Zo mag u geen e-mails lezen die duidelijk privé zijn." Bij een langdurig afwezige werknemer mag de werkgever volgens de AP de e-mail checken, maar geen bericht lezen waarvan uit de titel blijkt dat het persoonlijk is. Voor een concrete zaak praat je met een advocaat.

Mag mijn werkgever mijn browsegeschiedenis zien?

Volgens de AP kan een werkgever steekproefsgewijs monitoren of er verboden internetgebruik plaatsvindt, na het doel te hebben bepaald, en hoort er bij stelselmatige controle van internetgebruik eerst een DPIA bij. Microsoft schrijft dat inschrijving bij Intune je browsegeschiedenis niet laat zien. Het hangt dus af van de programma's die je werkgever gebruikt.

Moet de ondernemingsraad instemmen met controlesoftware?

Volgens artikel 27 lid 1 onder l van de Wet op de ondernemingsraden heeft de werkgever instemming nodig voor een regeling over voorzieningen die gericht of geschikt zijn voor controle op aanwezigheid, gedrag of prestaties, behalve voor zover een cao het al inhoudelijk regelt. Zonder instemming kan de werkgever de kantonrechter om toestemming vragen. Die geeft dat alleen als de weigering onredelijk is of als zwaarwegende redenen het besluit vergen.

Kan ik Failshot op mijn werk-Mac gebruiken?

Alleen met toestemming van je werkgever. Het is zijn apparaat, en hij is volgens de privacywet verantwoordelijk voor elke vorm van controle erop. Voor Failshot betekent dat ook dat hij akkoord is gegaan met de organisatievoorwaarden van Failshot (Organisation Terms) en iedereen die de laptop gebruikt heeft geïnformeerd voordat Failshot wordt aangezet.

Bij wie dien ik een klacht in?

Bij de Autoriteit Persoonsgegevens. De AP onderscheidt een tip, die anoniem kan, van een klacht over je eigen persoonsgegevens. Voor een klacht verwacht de AP dat je eerst zelf contact hebt gezocht met de organisatie, en ze vraagt bewijsstukken zoals e-mails.