De IJslandse tak van broodjesketen Subway heeft een AVG-boete van omgerekend 10.000 euro gekregen wegens het monitoren van personeel via beveiligingscamera's. Een medewerker had in 2021 bij de IJslandse privacytoezichthouder over de monitoring geklaagd, dat hij hier niet op was gewezen en zo niet zijn rechten kon uitoefenen. De autoriteit is nu met een beslissing gekomen.

Een winkelmanager bleek vanuit zijn eigen huis via de beveiligingscamera's het gedrag van de medewerker in de gaten te houden. Zo had hij verschillende screenshots gemaakt. Ook belde hij de medewerker, die op dat moment in de rustruimte was, dat er al vijf minuten een lange rij stond en hij de klanten moest gaan helpen. Subway stelde in een reactie aan de IJslandse privacytoezichthouder dat de camera's alleen werden gebruikt voor beveiligingsdoeleinden en niet voor het monitoren van personeel.

De winkelmanager zou de camera's, zonder medeweten van het bedrijf, hebben gebruikt om de prestaties van personeel te meten. Er werden directe maatregelen aangekondigd om herhaling te voorkomen. In een volgende brief ontkende Subway dat de winkelmanager geregeld personeel in real-time via de camera's monitorde. Op de betreffende dag zou de manager bang zijn geweest dat er geen voldoende brood was en zag toen de rij.

Verder stelde Subway, omdat er geen sprake was van systematische verzameling van informatie, het geen verplichting had om personeel over de monitoring op de werkvloer te informeren. Volgens de IJslandse privacytoezichthouder is het duidelijk dat de manier waarop de winkelmanager de beelden gebruikte niet overeenkomt met het beoogde doel van de camera's, namelijk veiligheid en het beschermen van de eigendommen. <[?

Daarnaast mag personeel alleen gemonitord worden als er geen andere manieren mogelijk zijn en dit nodig is vanwege een contract. Subway kon dit niet aantonen. De AVG stelt ook dat monitoring alleen voor specifieke, legitieme doeleinden is toegestaan. Tevens merkt de toezichthouder op dat de AVG verplicht dat persoonlijke data op een eerlijke en transparante manier wordt verwerkt. Medewerkers hadden dan ook moeten weten dat hun data werd verzameld, bekeken en verwerkt.

Personeel werd echter niet adequaat ingelicht over de monitoring en hun rechten. Ook stelde de toezichthouder vast dat de gegevensverwerking niet was vastgelegd. Vanwege de overtredingen kwam de toezichthouder tot een boete van 10.000 euro. Daarnaast moeten de screenshots van de medewerker worden verwijderd en personeel over de monitoring worden ingelicht.