De WhatsApp-groep is bij veel beveiligingsbedrijven de informele bedrijfscentrale: daar wordt het dienstrooster gedeeld, daar worden ziekmeldingen doorgegeven, daar wordt vervanging voor zaterdagnacht gezocht. Begrijpelijk, iedereen heeft de app, iedereen leest mee. Volgens de Duitse privacywetgeving is deze praktijk echter nauwelijks houdbaar.
Waar het probleem precies zit
- Toegang tot het adresboek: WhatsApp synchroniseert standaard het volledige telefoonboek van het toestel met zijn servers. Daarmee worden contactgegevens van collega's, klanten en privécontacten aan Meta doorgegeven, zonder dat deze personen daarmee hebben ingestemd. Duitse toezichthouders beoordelen zakelijk gebruik op privételefoons daarom al jaren kritisch.
- Geen verwerkersovereenkomst: Voor zakelijke communicatie via een privéaccount bestaat er geen verwerkersovereenkomst met Meta, waardoor een van de basiseisen van de AVG voor een ingeschakelde dienstverlener volledig ontbreekt.
- Gevoelige inhoud: Ziekmeldingen in de groep zijn gezondheidsgegevens (art. 9 AVG). Locatiegegevens, diensttijden en objectdetails zijn bovendien beveiligingsgevoelig, ze horen niet thuis in privé-chatgeschiedenissen die meeverhuizen bij een nieuw toestel of een nieuwe baan.
- Geen controle: Verlaat een medewerker het bedrijf, dan behoudt hij de groepsgeschiedenis en bijlagen. Een verwijderingsbeleid, zoals de AVG vereist, is feitelijk niet uitvoerbaar.
- Bewijsprobleem: Of een roosterwijziging de juiste medewerker daadwerkelijk heeft bereikt, valt in een groep met 40 deelnemers niet te bewijzen, in een geschil een reëel risico.
Wat een nette oplossing moet bieden
De vervanger van de WhatsApp-groep moet vooral één ding zijn: even eenvoudig. Daarnaast zou hij moeten bieden:
- Verwerkersovereenkomst volgens art. 28 AVG
- Rolgebaseerde toegang, iedereen ziet alleen wat hem aangaat
- Gerichte pushmeldingen naar de betrokken medewerkers in plaats van een bericht aan iedereen
- Bevestigingen: wie heeft de nieuwe dienst gezien en geaccepteerd?
- Scheiding van zakelijke gegevens en privétoestel, bij uitdiensttreding wordt de toegang gedeactiveerd, de gegevens blijven bij het bedrijf
De overstap in de praktijk
De overstap lukt het best in duidelijke stappen:
- Zakelijke oplossing invoeren en medewerkers kort trainen, bij een goede app is een kwartier voldoende.
- Een overgangsdatum communiceren, vanaf wanneer dienstroosters en wijzigingen alleen nog via de app lopen.
- De WhatsApp-groep daarna consequent stilleggen, zolang die parallel blijft draaien, blijft het het feitelijke kanaal.
- Medewerkers informeren over de gegevensverwerking in de nieuwe oplossing (art. 13 AVG); een aanwezige ondernemingsraad hierbij betrekken.
Hoe groot het verschil in de dagelijkse praktijk is, laat de directe vergelijking tussen Excel/WhatsApp en GuardEinsatz zien. En welke verplichtingen sowieso gelden bij tijdregistratie, vat het artikel over tijdregistratie in de beveiligingsbranche samen.