AVG nader toegelicht #1: Toestemming in arbeidsrelaties
Het verwerken van persoonsgegevens uit hoofde van de AVG is alleen dan toegestaan als de verwerking plaatsvindt voor een welbepaald legitiem doel en is voldaan aan één van de zes wettelijke grondslagen voor verwerking die worden genoemd in de AVG. Als grondslag voor de verwerking van persoonsgegevens over hun werknemers, wordt door werkgevers vaak een beroep gedaan op artikel 6 lid 1 onder b van de AVG. Op grond van dat artikel is de verwerking van persoonsgegevens toegestaan indien dat noodzakelijk is om uitvoering te kunnen geven aan een overeenkomst met de betrokkene. Toegepast op een arbeidsverhouding betekent dat dat een werkgever bepaalde persoonsgegevens over zijn werknemers moet verwerken om uitvoering te kunnen geven aan de arbeidsovereenkomst. Het loon moet immers worden betaald, belasting moet worden afgedragen, vakantiedagen moeten worden bijgehouden, etc.
In diverse situaties worden er persoonsgegevens door een werkgever verwerkt, terwijl dat niet noodzakelijk is om uitvoering te kunnen gegeven aan de arbeidsovereenkomst. In dat geval kan als alternatieve verwerkingsgrondslag een beroep worden gedaan op artikel 6 lid 1 onder f AVG. Op grond van dat artikel is verwerking toegestaan indien het belang van de verantwoordelijke (in dit geval de werkgever) bij het verwerken van deze gegevens, prevaleert boven het belang van de betrokkenen (in dit geval de werknemers) om beschermd te worden in de eerbiediging van hun persoonlijke levenssfeer. Een voorbeeld is het verwerken van persoonsgegevens door cameratoezicht binnen de onderneming. Cameratoezicht dat noodzakelijk is uit oogpunt van beveiliging tegen diefstal en andere strafbare feiten en om de veiligheid van personen en goederen te waarborgen.
Zonder geldige grondslag voor het verwerken van persoonsgegevens, loopt de verantwoordelijke (de werkgever) het risico van een administratieve boete, opgelegd door de Autoriteit Persoonsgegevens (AP). Ook kan hij aansprakelijk gesteld worden voor de schade die de betrokkene lijdt als gevolg van het onrechtmatig verwerken van de persoonsgegevens. Het is dus van groot belang dat doel en grondslag voor de verwerking van persoonsgegevens goed gedocumenteerd op orde zijn.
Helaas zien wij in de praktijk nog steeds dat werkgevers toestemming van de werknemer gebruiken als grondslag om persoonsgegevens te verwerken. Nu is toestemming ‘an sich’ een rechtsgeldige grondslag voor de verwerking van persoonsgegevens uit hoofde van de AVG. Echter, bij de verwerking van persoonsgegevens van werknemers, moet zéér terughoudend met toestemming als grondslag worden omgesprongen.
Mijn kantoorgenoot Menno van Koppen heeft in ‘AVG uitgediept #2: Toestemming als verwerkingsgrond’ de criteria benoemd, waaronder toestemming als grondslag voor verwerking kan worden gebruikt. Eén van die criteria is dat een betrokkene in alle vrijheid toestemming moet kunnen geven. Als de betrokkene (i) geen echte keus heeft, (ii) zich min of meer gedwongen voelt om toestemming te geven of (iii) indien hij geconfronteerd kan worden met nadelige consequenties als de toestemming zou worden onthouden, kan er geen sprake zijn van in volledige vrijheid gegeven toestemming.
Vanwege de gezagsverhouding tussen werkgever en werknemer zal toestemming slechts zelden een geldige grondslag opleveren voor het verwerken van persoonsgegevens in de arbeidsrelatie. Een werknemer die de door zijn werkgever gevraagde toestemming weigert kan daarvan immers nadelige consequenties ondervinden en zijn weigering tot uiting zien komen in bijvoorbeeld vervelende opdrachten, een strenge beoordeling, het uitblijven van promotie en meer van dien aard. Een werknemer wordt om die reden geacht vrijwel nooit vrijelijk zijn toestemming te hebben gegeven voor het verwerken van persoonsgegevens door zijn werkgever. Deze algemene stelregel is begin 2018 door de WP29 (het advies orgaan van de EU voor privacy gerelateerde kwesties) geformuleerd als toelichting op het toestemmingsbegrip in de AVG. De WP 29 is op 25 mei 2018 overigens vervangen door de EDPB (European Data Protection Board).
Het is dus belangrijk dat werkgevers goed analyseren of zij persoonsgegevens verwerken op basis van de toestemming van werknemers en als dat zo is, moeten zij zorgen voor adequate maatregelen om dit aan te passen. In dit verband is het belangrijk te weten dat het niet is toegestaan om eenvoudigweg te switchen tussen een eventueel toepasselijke grondslag voor verwerking. Anders gezegd, zodra de verwerking plaatsvindt op basis van toestemming, kan de grondslag niet zonder meer worden gewijzigd naar bijvoorbeeld de uitvoering van de arbeidsovereenkomst. Een andere nadelige factor bij het verwerken van persoonsgegevens op basis van toestemming, is de mogelijkheid van de betrokkene om de toestemming te allen tijde in te trekken. Zelfs al zou een werknemer rechtsgeldig toestemming hebben verleend, dan kan hij deze toestemming op ieder moment zonder opgaaf van reden weer intrekken. De grondslag om de gegevens verder te verwerken, komt dan in zijn geheel te vervallen, waardoor de werkgever genoodzaakt wordt om de verwerking te staken.
Toestemming speelt ook een rol bij het verwerken van bijzondere persoonsgegevens. Het gaat dan bijvoorbeeld om medische gegevens, gegevens over ras en etniciteit, maar ook het lidmaatschap van een vakbond. Het verwerken van bijzondere persoonsgegevens is namelijk sowieso verboden, behalve als is voldaan aan de limitatieve uitzonderingen die de AVG noemt. Eén van die uitzonderingen is het geven van uitdrukkelijke toestemming door de betrokkene. We zagen al dat toestemming in de arbeidsrelatie vrijwel nooit een geldige grondslag vormt voor verwerking. Dat geldt evenzo voor de toestemming die een werknemer geeft ten behoeve van de verwerking van bijzondere persoonsgegevens.
Over het verwerken van bijzondere persoonsgegevens in de arbeidsrelatie zal de volgende blog gaan. De AVG is inmiddels bijna drie maanden van kracht, echter veel bedrijven en instellingen zijn met de implementatie nog lang niet klaar. Wij houden u graag op de hoogte. Lees ook gerust nog eens onze blogreeks ‘AVG Uitgediept’ of neem contact op met onze privacy advocaten.