overig
Als ja misschien toch nee is: de toestemming van de werknemer voor de verwerking van persoonsgegevens Mw. Mr. F.C. vAn der JAgt
werkgevers verwerken op allerlei wijzen persoonsgegevens van hun werknemers. Op grond van de wet bescherming persoonsgegevens (wbp) dient de werkgever hiertoe onder meer een grondslag op basis van art. 8 wbp te hebben. een van deze grondslagen is het vragen van ondubbelzinnige toestemming aan de werknemer. In de praktijk zitten hier de nodige haken en ogen aan, die in dit artikel uiteen worden gezet. Inleiding Op 18 april jl. presenteerde het College bescherming persoonsgegevens (Cbp) zijn agenda voor 2013.1 Een van de thematische speerpunten voor dit jaar vormt de gegevensverwerking binnen de arbeidsrelatie. Werkgevers verwerken op allerlei wijzen persoonsgegevens van hun werknemers. Hierbij kan onder meer gedacht worden aan de gegevensverwerking in het kader van de verzuimregistratie, het screenen van werknemers voor en tijdens het dienstverband, het doen van onderzoek naar wangedrag op de werkvloer, de controle van internet- en e-mailgebruik, het uitbetalen van salarissen en het instellen van klokkenluidersregelingen. Vanuit privacytechnisch oogpunt geldt dat een werkgever een grondslag op basis van de Wet bescherming persoonsgegevens (Wbp) moet hebben voor de verwerking van persoonsgegevens van werknemers. Vaak kiest een werkgever ervoor om, zeker in het geval van een Nederlands bedrijf dat onderdeel uitmaakt van een internationaal concern, een werknemer om toestemming voor de verwerking van zijn persoonsgegevens te vragen. In de arbeidsovereenkomst wordt dan bijvoorbeeld de volgende bepaling opgenomen: ‘Werkgever houdt zich aan de Wet bescherming persoonsgegevens. De werknemer geeft aan de werkgever ondubbelzinnig toestemming om zijn persoonsgegevens te verwerken in het kader van de arbeidsverhouding.’ De vraag is echter of het vragen van toestemming aan de werknemer in dit soort situaties een correcte grondslag onder de Wbp vormt. In dit artikel wordt eerst in het kort het privacyrechtelijke kader geschetst. Daarna worden de haken en ogen die verbonden zijn aan het werken met
1
148
Zie: http://www.cbpweb.nl/Pages/ind_cbp_agenda_2013.aspx.
toestemming voor de verwerking van persoonsgegevens toegelicht en worden alternatieven besproken.
Achtergrond Er bestaat in Nederland geen algemeen wetsartikel aangaande de privacy van werknemers. Op grond van art. 10 van de Grondwet (Gw) heeft eenieder het recht op de bescherming van zijn persoonlijke levenssfeer (lid 1) en worden bij wet regels gesteld ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens (lid 2). Ook dient de wet regels te stellen omtrent de mogelijkheden voor personen om inzage te krijgen in de persoonsgegevens die over hen worden verwerkt, het gebruik dat daarvan wordt gemaakt en de mogelijkheden die er zijn om incorrecte gegevens te verbeteren (lid 3). Art. 10 Gw vormde de basis voor de invoering van de Wet persoonsregistraties (Wpr) in 1989.2 Om de bescherming van persoonsgegevens binnen de Europese Unie naar een hoger niveau te brengen, trad in 1995 de Europese Privacyrichtlijn (de Richtlijn) in werking.3 Bij de implementatie van deze Richtlijn in de Nederlandse wetgeving werd de Wpr vervangen door de Wbp.4,5 In arbeidsrechtelijke relaties komt de privacy van 2
3
4 5
Wet van 28 december 1988, houdende regels ter bescherming van de persoonlijke levenssfeer in verband met persoonsregistraties (Wet persoonsregistraties), Stb. 1988, 665. richtlijn 95/46/eg van het europees Parlement en de raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG 1995, L 281/31). Wet van 6 juli 2000, houdende regels inzake de bescherming van persoonsgegevens (Wet bescherming persoonsgegevens), Stb. 2000, 302. Het recht op privacy is op internationaalrechtelijk niveau onder meer verankerd in art. 17 internationaal verdrag inzake Burgerrechten en Politieke rechten (ivBPr) en op europeesrechtelijk niveau in art. 8 europees verdrag voor de rechten van de Mens (evrM), in het verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens van de raad van europa (Conventie
SDU UITGEVERS / NUMMER 4, MEI 2013 TIJDSCHRIFT ARBEIDSRECHTPRAKTIJK
Als jA misschien toch nee is: de toestemming vAn de werknemer voor de verwerking vAn persoonsgegevens
de werknemer vaak aan bod bij de belangenafweging van art. 7:611 Burgerlijk Wetboek (BW).
werkgever een grondslag voor de verwerking van persoonsgegevens hebben (art. 8 Wbp).8
Het verwerken van persoonsgegevens onder de wbp
grondslagen voor de verwerking van persoonsgegevens
De Wbp is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens en op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand6 (bijvoorbeeld een kaartenbak) zijn opgenomen (art. 2 lid 1 Wbp). Kernbegrippen van de wet zijn dan ook het begrip ‘persoonsgegeven’ en het begrip ‘verwerking’. Een persoonsgegeven is kort gezegd elk gegeven betreffende een geïdentificeerde of een identificeerbare persoon (art. 1 sub a Wbp). Het begrip ‘verwerking’ ziet op alle handelingen die met betrekking tot de persoonsgegevens kunnen worden verricht (art. 1 sub b Wbp), zoals het opslaan, ordenen en bewaren van gegevens maar ook het vernietigen daarvan. Beide begrippen worden ruim uitgelegd.7 Zo worden een IP-adres, de reisgegevens van de ov-chipkaart en de foto daarop, maar ook bepaalde informatie van Wi-Fi-routers, aangemerkt als persoonsgegevens.
De zes grondslagen voor de verwerking van persoonsgegevens door een verantwoordelijke zijn limitatief opgesomd in art. 8 van de Wbp, dat stelt dat persoonsgegevens alleen mogen worden verwerkt indien: a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend; b. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst; c. de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is; d. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene; e. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, of f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.
In het licht van de arbeidsverhouding zal een werkgever vaak bepaalde persoonsgegevens van een werknemer in onder meer zijn personeelsadministratie willen verwerken. Het kan hierbij bijvoorbeeld gaan om de NAW-gegevens, BSN-nummers, gegevens betreffende de gezondheid van de werknemers en bankrekeningnummers. De werkgever bepaalt welke persoonsgegevens hij van de werknemer verwerkt: hij is de zogenaamde ‘verantwoordelijke’ in de zin van de Wbp (art. 1 sub d Wbp). De werknemer is degene van wie de gegevens worden verwerkt, of te wel de ‘betrokkene’ (art. 1 sub f Wbp). De meeste verplichtingen van de Wbp rusten op de verantwoordelijke. De Wbp geeft een aantal basisregels waaraan de werkgever zich moet houden. Zo moet de werkgever onder meer de persoonsgegevens behoorlijk en zorgvuldig verwerken (art. 6 Wbp), mogen de persoonsgegevens alleen worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden (art. 7 Wbp) en moet de
6 7
108), in art. 7 en 8 van het Handvest van de grondrechten van de europese Unie en in art. 16 van het verdrag betreffende de werking van de europese Unie (vweU). Zie voor de definitie van ‘bestand’ art. 1 sub c Wbp. Zie onder meer: Artikel 29 Werkgroep: Advies 4/2007 over het begrip persoonsgegeven, goedgekeurd op 20 juni 2007, WP 136. Deze opinie en de andere opinies van de Werkgroep waarnaar verwezen wordt in dit artikel zijn te raadplegen op: http://ec.europa.eu/justice/data-protection/ article-29/documentation/opinion-recommendation/index_en.htm. Zie ook: rb. Middelburg 15 maart 2012, LJN Bv8942 (in deze zaak worden prejudiciële vragen gesteld inzake de uitleg van het begrip ‘persoonsgegeven’), CrvB 7 maart 2012, LJN BU1965 (het openen van een e-mailbox is als een gegevensverwerking aan te merken) en rb. oost-Brabant 31 januari 2013, LJN BZ2126 (in deze opvallende uitspraak heeft de rechtbank aangegeven dat het hyperlinken naar een website die persoonsgegevens bevat, is aan te merken als een verwerking van persoonsgegevens).
TIJDSCHRIFT ARBEIDSRECHTPRAKTIJK NUMMER 4, MEI 2013 / SDU UITGEVERS
Ik zal eerst een korte toelichting geven op de verwerkingsgronden zoals opgenomen onder sub b tot en met f. Daarna ga ik in de volgende paragraaf in op de grondslag van ‘ondubbelzinnige toestemming’.
toelichting overige grondslagen wbp Een werkgever kan een persoonsgegevensverwerking baseren op het feit dat het noodzakelijk is om deze gegevens te verwerken voor de uitvoering van de overeenkomst met de betrokkene (sub b). Een voorbeeld hiervan is het verwerken van het bankrekeningnummer van een werknemer om zo tot loonbetaling conform de arbeidsovereenkomst over te kunnen gaan. Persoonsgegevensverwerking kan ook noodzakelijk zijn om te voldoen aan een wettelijke verplichting waaraan een werkgever onderworpen is (sub c).9 Zo moet een werkgever op grond van de Wet op de
8 9
gelet op de reikwijdte van dit artikel wordt niet ingegaan op de overige verplichtingen die op grond van de Wbp op de werkgever rusten. Het moet dan wel gaan om een nationaal wettelijke verplichting, zie Artikel 29 Werkgroep: Advies 1/2006 over de toepassing van de EUgegevensbeschermingsregels op interne klokkenluidersregelingen in de
149
overig
Loonbelasting een kopie van het identiteitsbewijs van een werknemer in zijn administratie opslaan.10 Een werkgever zal niet snel te maken krijgen met de grondslag van het vitale belang (sub d). Het gaat hierbij om de verwerking van persoonsgegevens in het kader van een dringend medische noodzaak. De memorie van toelichting (MvT) bij de Wbp geeft als voorbeeld de situatie waarin iemand buiten bewustzijn is geraakt en dringend medische hulp nodig heeft. In dat geval is het toegestaan om in iemands kleding op zoek te gaan naar identiteitsgegevens
Het is raadzaam om een van de andere grondslagen van de Wbp te kiezen en deze door te geven aan de medische hulpdiensten.11 Het kan ook zo zijn dat een werkgever bepaalde gegevens aan een publiekrechtelijk orgaan moet verschaffen, zodat dit orgaan zijn taken kan uitvoeren (sub e). Een voorbeeld is hiervan dat een werkgever indien hij een ontslagvergunning wil aanvragen, bepaalde persoonsgegevens van de werknemer aan het UWV moet verstrekken. Tot slot biedt de wet nog een soort vangnetbepaling: een werkgever kan persoonsgegevens van een werknemer verwerken indien dit noodzakelijk is voor een gerechtvaardigd belang van de werkgever zelf of van een derde, dat zwaarder weegt dan de inbreuk die hiermee op de privacy van de werknemer wordt gemaakt (sub f). Bij een beroep op deze verwerkingsgrond moet altijd een belangenafweging plaatsvinden. Daarbij moeten steeds de eisen van proportionaliteit (de inbreuk op de privacy van de werknemer mag niet onevenredig zijn in verhouding tot het doel van de gegevensverwerking) en subsidiariteit (zijn er minder vergaande middelen voor de werkgever beschikbaar om dit doel te bereiken?) in acht worden genomen.12
de ondubbelzinnige toestemming van de werknemer Persoonsgegevens kunnen in beginsel ook worden verwerkt indien hiervoor ondubbelzinnige toestemming van de betrokkene wordt verkregen (sub a). Op grond van art. 1 sub i Wbp wordt het begrip ‘toestemming’ aldus uitgelegd dat het hierbij gaat om: ‘elke vrije, specifieke, op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat de hem betreffende persoonsgegevens worden verwerkt.’ De toestemming moet volgens de MvT bij de Wbp aan drie eisen voldoen: (i) de betrokkene moet zijn
sfeer van boekhouding, interne boekhoudcontrole, auditing en bestrijding van omkoping en bancaire en financiële criminaliteit, goedgekeurd op 1 februari 2006, WP 117, p. 18 en College bescherming persoonsgegevens (Cbp), 16 januari 2006, z2004-1233). 10 Art. 6a sub c Wet op de loonbelasting 1964. 11 Kamerstukken II 1997/98, 25 892, nr. 3 (MvT), p. 84. 12 Deze beginselen vloeien voort uit art. 8 evrM.
150
wil met betrekking tot de gegevensverwerking in vrijheid kunnen uiten en ook daadwerkelijk hebben geuit; (ii) de wilsuiting moet betrekking hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen; en (iii) er moet sprake zijn van informed consent.13 Ik licht deze eisen hierna toe. De eis van vrije wilsuiting brengt met zich dat geen sprake is van rechtsgeldige toestemming indien een betrokkene onder druk is gezet om toestemming te verlenen of indien hij, door de verhouding die hij heeft ten opzichte van de verantwoordelijke, zich genoodzaakt ziet om toestemming te verlenen.14 Het bestaan van een dergelijke gezagsverhouding is in de relatie werknemer-werkgever evident: het weigeren van toestemming kan immers grote gevolgen, zoals disciplinaire sancties en mogelijk zelfs ontslag, voor een werknemer hebben.15 Het bestaan van de gezagsverhouding leidt er reeds toe dat toestemming geen goede verwerkingsgrond vormt voor de verwerking van persoonsgegevens in het kader van een arbeidsrelatie. De Artikel 29 Werkgroep (de Werkgroep), het onafhankelijke adviesorgaan op privacygebied dat de Europese Commissie adviseert, heeft zich hier meermalen kritisch over uitgelaten. Zo stelde de Werkgroep in een opinie uit 2001 die specifiek ziet op de verwerking van persoonsgegevens in het kader van de arbeidsverhouding al dat wanneer een werkgever als noodzakelijk en onvermijdbaar gevolg van de arbeidsverhouding persoonsgegevens moet verwerken, het misleidend is indien hij deze verwerking door middel van toestemming tracht te wettigen. Alleen indien de werknemer een echt vrije keuze heeft en nadien de mogelijkheid heeft om zijn toestemming zonder nadeel in te trekken, kan de verwerking van de persoonsgegevens op toestemming worden gebaseerd.16 Dit standpunt is genuanceerd in een opinie van de Werkgroep uit 2011 die specifiek ziet op definitie van het begrip ‘toestemming’ uit de Privacyrichtlijn.17 De Werkgroep geeft hierbij aan dat in het kader van arbeidsverhoudingen ook culturele en sociale aspecten een rol spelen. Volgens de Werkgroep kan een situatie van ondergeschiktheid vaak de belangrijkste reden vormen om aan te nemen dat de toestemming niet in vrijheid is verleend. Het is echter niet zo dat een werkgever nooit meer kan terugvallen op toestemming als grondslag voor de gegevensverwerking, zolang er voldoende waarborgen zijn dat de toestemming werkelijk in vrijheid is gegeven.18
13 Supra noot 11, p. 65. 14 Art. 3:33 en 3:35 BW zijn via art. 3:59 BW van overeenkomstige toepassing. 15 Zie ook Cbp 23 augustus 2012, z2011-00959, waarin de toestemming van de werknemer voor het verwerken van psychologische testresultaten volgens het Cbp geen grondslag voor gegevensverwerking vormde nu het weigeren van deelname aan de test kon leiden tot ontslag. 16 Artikel 29 Werkgroep: Advies 8/2001 over de verwerking van persoonsgegevens in het kader van de arbeidsverhouding, goedgekeurd op 13 september 2001, WP 48, p. 23. 17 Artikel 29 Werkgroep: Advies 15/2011 over de definitie van het begrip ‘toestemming’, goedgekeurd op 13 juli 2011, WP 187. 18 Supra noot 16, p. 17.
SDU UITGEVERS / NUMMER 4, MEI 2013 TIJDSCHRIFT ARBEIDSRECHTPRAKTIJK
Als jA misschien toch nee is: de toestemming vAn de werknemer voor de verwerking vAn persoonsgegevens
Een praktijkvoorbeeld: een werkgever biedt zijn werknemers de mogelijkheid om met korting lid te worden van een sportschool. Indien een werknemer dit wil, zal de werkgever met de sportschool de naam en de abonnementsgegevens van de werknemer uitwisselen, zodat de korting via de loonuitbetaling kan worden verwerkt. Het staat de werknemer volledig vrij om al dan niet lid te worden van de sportschool. Indien de werknemer dan aan de werkgever toestemming geeft om tot uitwisseling van zijn gegevens met de sportschool over te gaan, kan deze toestemming geacht worden vrijelijk te zijn gegeven. Het tweede aspect van de eis van vrije wilsuiting is dat deze ook daadwerkelijk moet zijn geuit. Dit betekent dat er geen sprake kan zijn van stilzwijgende of impliciete toestemming. Een voorbeeld hiervan is wanneer in algemene voorwaarden op een website wordt aangegeven dat men door het gebruik van de website expliciete toestemming verleent aan de verantwoordelijke om de daarop verstrekte persoonsgegevens te verwerken. Degene die de toestemming verleent, zal hiertoe een actieve handeling moeten verrichten.19 De tweede eis houdt kort gezegd in dat de betrokkene moet weten waar hij toestemming voor geeft. Hij moet weten welke persoonsgegevens er worden verwerkt, voor welke doeleinden. Ook moet duidelijk zijn aan wie de gegevens mogelijkerwijs worden verstrekt. De toestemming moet dus voldoende specifiek zijn. Het moet niet zo zijn dat de betrokkene later wordt geconfronteerd met een verwerking waarvan hij helemaal niet door had dat hij hiervoor zijn toestemming heeft gegeven.20 Hiermee hangt de derde eis sterk samen: de betrokkene moet voldoende en op een begrijpelijke manier worden geïnformeerd over de gegevensverwerking. Wel is het zo dat er ook op de betrokkene een bepaalde onderzoeksplicht rust: hij kan niet stil blijven zitten. De verhouding tussen actief informeren door de verantwoordelijke en de onderzoeksplicht van de betrokkene wordt beheerst door hetgeen van partijen in het maatschappelijk verkeer redelijkerwijs mag worden verwacht.21 Aan de gegevensverwerking op basis van art. 8 sub a Wbp wordt nog een additionele eis gesteld: er moet sprake zijn van ‘ondubbelzinnige’ toestemming. In de MvT is aangegeven dat dit betekent dat de verantwoordelijke ervoor moet zorgen dat elke twijfel over de vraag of en waarvoor de betrokkene zijn toestemming heeft gegeven, bij hem moet zijn uitgesloten.22 Als we bovenstaande eisen toepassen op de voorbeeldbepaling in de inleiding, wordt al snel duidelijk dat deze bepaling privacyrechtelijk niet voldoet. Allereerst is het 19 20 21 22
Supra noot 11, p. 67. Supra noot 11, p. 65. ibid, p. 66. ibid, p. 67.
TIJDSCHRIFT ARBEIDSRECHTPRAKTIJK NUMMER 4, MEI 2013 / SDU UITGEVERS
gelet op de aanwezige gezagsverhouding niet aannemelijk dat een werknemer zijn toestemming vrijelijk geeft: indien hij dit niet doet, kan hij niet in dienst treden bij een werkgever. Daarnaast geldt dat de categorie van gegevensverwerkingen wel is afgebakend (‘in het kader van de arbeidsverhouding’) maar dat niet wordt duidelijk gemaakt welke gegevens er worden verwerkt, voor welke doeleinden en of deze gegevens al dan niet worden gedeeld met derden. Tot slot is eveneens van informed consent geen sprake.23 Een werkgever dient zich ervan bewust te zijn dat ook indien derden worden ingeschakeld die in de uitvoering
Alleen indien de werknemer echt een vrije keuze heeft, kunnen zijn persoonsgegevens op grond van toestemming worden verwerkt van diensten voor de werkgever met toestemming van de werknemer gegevens van de werknemer verwerken, dit problematisch kan zijn. Uit een recente uitspraak van de Rechtbank Zwolle-Lelystad blijkt dat ook rechters worstelen met de juiste toepassing van de Wbp.24 In deze zaak wordt een werkgever geconfronteerd met een anonieme e-mail waarin de algemeen secretaris van de werkgever wordt beschuldigd van fraude en financieel wanbeleid. De werkgever roept zijn werknemers bijeen om de zaak te bespreken. Naar aanleiding van deze bespreking leveren diverse werknemers hun laptop in, zodat deze kan worden onderzocht door een recherchebureau dat door de werkgever wordt ingeschakeld. Aan de werknemers is toegezegd dat geen onderzoek in de privébestanden van de werknemers zal plaatsvinden. Vervolgens vindt het onderzoek plaats. Op een van de laptops blijkt een soort jaarboek te staan dat door de desbetreffende werknemer als dagboek wordt bijgehouden. In dit dagboek had de werknemer naast aantekeningen over zijn gezinsleven en zijn werk, ook observaties opgenomen over de bedrijfsvoering van de werkgever en de mogelijke (financiële) wantoestanden. Het recherchebureau heeft op trefwoorden de computer doorzocht. Nu het dagboek enige trefwoorden uit de anonieme e-mail bevatte, heeft het recherchebureau dit dagboek integraal aan de werkgever verstrekt. De relatie tussen de werkgever en de werknemer is hierdoor dusdanig verstoord geraakt dat de arbeidsovereenkomst met wederzijds goedvinden is beëindigd. De werknemer vordert nu schadevergoeding van het recherchebureau omdat het recherchebureau toch in privébestanden is gaan snuffelen waardoor hij zijn baan is kwijtgeraakt. Het recherchebureau meent dat de werknemer hiervoor toestemming heeft gegeven doordat hij zijn laptop aan het bureau heeft verstrekt. Hierdoor wist en gaf de werknemer toestemming voor een onderzoek (inclusief de verwerking
23 Aan deze laatste twee eisen zou wellicht wel zijn voldaan indien aan de arbeidsovereenkomst het privacybeleid van de organisatie, indien aanwezig, wordt gehecht en hier actief naar wordt verwezen. 24 rb. Zwolle-Lelystad 12 november 2012, «JAR» 2012/285, m.nt. C.M. Jakimowicz.
151
overig
van zijn persoonsgegevens) naar alle gegevens die op zijn laptop stonden. De rechtbank komt praktisch gezien tot een bevredigende uitkomst: het feit dat de werknemer zijn laptop voor onderzoek heeft verstrekt, houdt niet in dat hij daarmee toestemming heeft verleend voor het verwerken van zijn persoonsgegevens. Nu het recherchebureau deze toestemming niet heeft verkregen, zijn de persoonsgegevens onrechtmatig verwerkt en is het recherchebureau aansprakelijk voor de door de werknemer geleden schade. Juridisch gezien zijn er echter wel kanttekeningen bij deze uitspraak te plaatsen. Gelet op de eisen voor het verwerken van persoonsgegevens op basis van ondubbelzinnige toestemming, is het hier immers zeer de vraag of hier überhaupt sprake had kunnen zijn van vrijwillig gegeven toestemming voor de gegevensverwerking.25 Aan de werknemer is tijdens de voornoemde vergadering opgedragen om per direct zijn laptop in te leveren. Het is redelijkerwijs te verwachten dat het niet voldoen aan dit verzoek, voor de werknemer nadelige gevolgen zou hebben. Vanuit privacyrechtelijk oogpunt had derhalve voor een andere grondslag van de Wbp gekozen moeten worden, waarbij het kiezen voor de grondslag van het gerechtvaardigd belang (art. 8 sub f Wbp) uitkomst zou kunnen bieden. Dit laat onverlet dat ook in dat geval de verwerking eveneens aan de andere eisen van de Wbp had moeten voldoen. Dit laatste is overduidelijk niet het geval nu het onderzoek niet zorgvuldig heeft plaatsgevonden en er meer gegevens zijn verwerkt dan noodzakelijk.
gevolgen van het baseren van de gegevensverwerking op toestemming Indien in een arbeidsverhouding toch wordt gekozen om de persoonsgegevens van een werknemer op basis van ondubbelzinnige toestemming te verwerken, leidt dit ertoe dat deze toestemming indien deze niet voldoet aan de hiervoor omschreven eisen, nietig is.26 Indien wel een geldige toestemming wordt verkregen, kan deze toestemming te allen tijde door de werknemer worden ingetrokken.27 Hierbij is van belang om op te merken dat indien de toestemming wordt ingetrokken, een werkgever zich niet alsnog op een van de andere rechtvaardigingsgronden mag beroepen om op die wijze te bewerkstelligen dat hij toch door kan gaan met de gegevensverwerking.28 Dit zou namelijk strijdig zijn met art. 6 Wbp nu de verwerking in dat geval ten opzichte van de werknemer als onzorgvuldig en onrechtmatig is aan te merken. In aanvulling daarop geldt dat vaak voor de grondslag van toestemming wordt gekozen, indien de verantwoordelijke van mening is dat de belangenafweging ex art. 8 sub f Wbp niet in zijn voordeel zou uitvallen. Het is dan
25 26 27 28
152
Zie ook de kritische noot van C.M. Jakimowicz bij deze uitspraak. op grond van art. 3:40 lid 1 BW. Art. 5 lid 2 Wbp. Supra noot 11, p. 82. Zie ook: H.H. de vries en D.J. rutgers, Wet bescherming persoonsgegevens; Toepassing in arbeidsverhoudingen, Deventer: Kluwer 2001, p. 24.
bevreemdend dat de verantwoordelijke zich na intrekking van de toestemming alsnog op het standpunt zou kunnen stellen dat deze belangenafweging plotsklaps anders uit zou moeten vallen. De Werkgroep merkt hierover op dat indien de verwerking zou worden voortgezet op een van de andere grondslagen, het misleidend of zelfs inherent oneerlijk is om de gegevensverwerking in eerste instantie op toestemming te baseren.29 Het is voor een werkgever raadzaam om de gegevensverwerkingen binnen de organisatie op de andere grondslagen van de Wbp te baseren. Met deze grondslagen kan een werkgever in de praktijk prima uit de voeten.30
tot slot Inmiddels is op Europees niveau op 25 januari 2012 door de Europese Commissie een pakket voorstellen tot hervorming van de privacyregels gepresenteerd. Het voorstel is om de Richtlijn te vervangen door een Privacyverordening.31 De keuze voor een verordening zorgt voor een verdergaande harmonisatie van de regelgeving, nu deze niet in nationale wetgeving hoeft te worden omgezet. In de voorgestelde verordening is expliciet opgenomen dat toestemming geen rechtsgrondslag voor de verwerking van persoonsgegevens kan zijn indien sprake is van een duidelijke onevenwichtigheid in de verhouding tussen de betrokkene en de verantwoordelijke. Hierbij wordt expliciet benoemd dat dit het geval is als persoonsgegevens van een werknemer door een werkgever worden verwerkt.32 Wie echter denkt dat de voorgenomen Privacyverordening voor eens en altijd duidelijkheid zal brengen over de toepassing van privacyrechtelijke normen in het arbeidsrecht komt bedrogen uit: op grond van art. 82 van het voorstel kunnen de lidstaten binnen de grenzen van de Privacyverordening voorschriften vaststellen voor de verwerking van de persoonsgegevens van werknemers in het kader van de arbeidsverhouding. Wat hiervan ook zij, een ding is duidelijk: het vragen van toestemming aan werknemers voor de verwerking van persoonsgegevens is een gepasseerd station.
over de auteur Mw. mr. F.C. van der Jagt is advocaat bij Stibbe te Amsterdam.
29 Supra noot 17, p. 15. 30 een kanttekening: indien de verwerking wordt gebaseerd op art. 8 sub e of f Wbp, dient rekening te worden gehouden met het verzetsrecht van de betrokkene ex art. 40 Wbp, nu hier een belangenafweging plaatsvindt en de betrokkene van mening kan zijn dat deze gelet op zijn bijzondere persoonlijke omstandigheden, anders dient uit te vallen. 31 voorstel voor een verordening van het europees Parlement en de raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), 25 januari 2012, CoM (2012) 11 final, te raadplegen via: http://ec.europa.eu/justice/ data-protection/document/review2012/com_2012_11_nl.pdf. 32 Zie overweging 33 en 34 van het voorstel en art. 7 lid 4 van het voorstel.
SDU UITGEVERS / NUMMER 4, MEI 2013 TIJDSCHRIFT ARBEIDSRECHTPRAKTIJK
