Privacy in het arbeidsrecht

Wat we doen

Werkgevers verwerken veelvuldig persoonsgegevens van werknemers. Denk bijvoorbeeld alleen al aan naam- en adresgegevens en het bankrekeningnummer om het salaris uit te betalen. Voor het verwerken van persoonsgegevens geldt een scala aan wettelijke regels waar een organisatie aan moet voldoen. Met persoonsgegevens moet namelijk uiterst zorgvuldig worden omgegaan om financiële schade of reputatieschade en boetes te voorkomen. De verantwoordelijkheid op het gebied van privacy is verweven met nagenoeg elk dossier binnen de organisatie. Binnen het arbeidsrecht neemt de bescherming van persoonsgegevens dan ook een belangrijke plaats in. Met onze specialistische expertise en ervaring kunnen wij de organisatie adviseren, begeleiden en onze kennis delen. Denk aan onder meer:

• Compliance vraagstukken en implementatie van de AVG
• Het uitvoeren van risico-inventarisaties (DPIA)
• De aanstelling van een functionaris gegevensbescherming
• Het opstellen, reviewen en bewerken van privacydocumentatie, zoals een privacy policy of verwerkersovereenkomst
• Het opstellen, reviewen en bewerken van beleid op het gebied van privacy
• Bewaartermijnen
• Privacybescherming tijdens herstructurering of reorganisatie
• Privacy bij sollicitanten, ontslag of arbeidsongeschiktheid
• Het melden van datalekken
• Het verzorgen van cursussen en presentaties op het gebied van arbeidsrecht en privacy

Vragen op het gebied van privacy? Neem dan rechtstreeks contact met ons op:

Privacy en arbeidsrecht: waar staan we?

Privacy op de werkvloer ligt op het snijvlak van het arbeidsrecht en het privacyrecht. Aan de ene kant heeft de werknemer recht op bescherming van zijn persoonlijke levenssfeer, ook tijdens werktijd; aan de andere kant heeft de werkgever een instructierecht en een gerechtvaardigd belang om de organisatie, de bedrijfseigendommen en collega’s te beschermen. Het verwerken van personeelsgegevens moet voldoen aan de Algemene verordening gegevensbescherming (AVG). Vrijwel elke werkgeversbeslissing – van een functioneringsdossier tot cameratoezicht – raakt daardoor aan privacy. Onze gemengde teams van advocaten en (bedrijfs)juristen helpen u die balans juridisch verantwoord te vinden, of u nu een internationaal concern bent of de bakker op de hoek met enkele medewerkers. Deze pagina hoort bij onze bredere expertise Arbeidsrecht.

De grondslag: mag de werkgever deze gegevens verwerken?

Elke verwerking van persoonsgegevens van werknemers heeft een geldige grondslag nodig. De AVG benoemt deze grondslagen in artikel 6 van de Algemene verordening gegevensbescherming. In de arbeidsrelatie is “toestemming” van de werknemer meestal géén bruikbare grondslag, omdat toestemming in een gezagsverhouding zelden vrij is gegeven. Werkgevers leunen daarom vaak op het “gerechtvaardigd belang” of op een wettelijke verplichting. Daarbij geldt het uitgangspunt van doelbinding en dataminimalisatie uit artikel 5 van de Algemene verordening gegevensbescherming: niet meer gegevens verwerken dan strikt nodig is voor een duidelijk omschreven doel, en niet langer bewaren dan noodzakelijk. Voor bijzondere persoonsgegevens, zoals gezondheidsgegevens van een zieke werknemer, geldt het strengere regime van artikel 9 van de Algemene verordening gegevensbescherming: in beginsel een verwerkingsverbod, met beperkte uitzonderingen.

Controle en monitoring van werknemers

Wil een werkgever werknemers controleren – via cameratoezicht, e-mail- en internetgebruik, GPS-tracking in voertuigen of monitoring bij thuiswerken – dan moet die controle aan drie eisen voldoen:

• Gerechtvaardigd belang: er is een concrete, legitieme reden, zoals diefstalpreventie, beveiliging of efficiëntie.
• Proportionaliteit: het middel staat in verhouding tot het doel; er wordt niet meer gecontroleerd dan nodig.
• Subsidiariteit: er is geen minder ingrijpend middel beschikbaar om hetzelfde doel te bereiken.

Bovendien moeten werknemers vooraf worden geïnformeerd, bijvoorbeeld in een privacyverklaring of monitoringprotocol, conform de informatieplicht uit de artikelen 13 en 14 van de Algemene verordening gegevensbescherming. Heimelijk cameratoezicht is slechts bij hoge uitzondering toegestaan, en zakelijke e-mail mag onder voorwaarden worden ingezien, maar privécommunicatie in beginsel niet. Camerabeelden worden doorgaans niet langer dan vier weken bewaard, tenzij er een incident heeft plaatsgevonden.

De rol van de ondernemingsraad

Privacy is niet alleen een individuele kwestie tussen werkgever en werknemer. Wil een werkgever een regeling invoeren of wijzigen die ziet op het verwerken van persoonsgegevens van personeel, of op voorzieningen die gericht zijn op waarneming van of controle op aanwezigheid, gedrag of prestaties, dan is daarvoor de instemming van de ondernemingsraad nodig. Deze instemmingsplicht volgt uit artikel 27 van de Wet op de ondernemingsraden. Wordt die instemming overgeslagen, dan kan een ingevoerde controlemaatregel nietig zijn. Wij begeleiden zowel de werkgever als de ondernemingsraad bij dit traject.

Sollicitanten, zieke werknemers en uitdiensttreding

Privacy speelt gedurende de hele arbeidscyclus. Bij sollicitatie en screening mag een werkgever niet onbeperkt gegevens verzamelen; een pre-employment screening moet proportioneel zijn en passen bij de functie. Bij ziekte mag een werkgever géén medische gegevens of de aard van de klachten registreren – dat is voorbehouden aan de bedrijfsarts – maar enkel functionele beperkingen en re-integratie-informatie. Zie ook onze pagina over ziekte en re-integratie binnen het arbeidsrecht. Bij uitdiensttreding moeten persoonsgegevens worden verwijderd of geanonimiseerd zodra de wettelijke bewaartermijnen zijn verstreken; een ex-werknemer behoudt zijn rechten op inzage, correctie en verwijdering.

Datalekken en de DPIA

Gaat het mis – bijvoorbeeld een gestolen laptop, een verkeerd geadresseerde loonstrook of een hack – dan kan sprake zijn van een datalek. Een meldplichtig datalek moet binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens, en in voorkomende gevallen ook aan de betrokken werknemers, op grond van de artikelen 33 en 34 van de Algemene verordening gegevensbescherming. Voorafgaand aan risicovolle verwerkingen, zoals grootschalige monitoring, kan een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn op grond van artikel 35 van de Algemene verordening gegevensbescherming. Wij stellen monitoringprotocollen en DPIA’s op en staan organisaties bij in het contact met de Autoriteit Persoonsgegevens.

Wat MKB Juristen voor u doet

Privacy in het arbeidsrecht vraagt om kennis van twee rechtsgebieden tegelijk. Onze gemengde teams van advocaten en bedrijfsjuristen combineren arbeidsrechtelijke en privacyrechtelijke expertise. Wij stellen privacybeleid, verwerkersovereenkomsten en monitoringprotocollen op, begeleiden het instemmingstraject met de ondernemingsraad, voeren DPIA’s uit en adviseren bij datalekken, ontslag en reorganisaties. Of u nu een corporate bent met honderden werknemers of een kleine ondernemer met een handvol medewerkers: wij vertalen de regels naar werkbare afspraken voor uw organisatie. Voor de bredere context verwijzen we graag naar onze expertise Arbeidsrecht.