Laatste aandachtspunten OR voor AVG

Over twee dagen gaat de Algemene Verordening Gegevensbescherming (AVG) in. Ook de OR heeft te maken met deze Europese privacywet. Een slimme raad let erop of de privacy van de werknemers voldoende is beschermd en of er aandacht is besteed aan de rechten van de werknemers.

Per 25 mei 2018 moet een bestuurder volgens de AVG (tools) een zogeheten register van verwerkingsactiviteiten opstellen. In dit register staat waarom en hoe hij bepaalde beslissingen heeft genomen over het verwerken van persoonsgegevens. Het kan hierbij gaan om gegevens van klanten patiënten of relaties, maar ook om gegevens van werknemers. De bestuurder moet in het register verantwoorden waarom hij bepaalde informatie verwerkt, hoe lang hij de informatie bewaart en waarom hij de keuzes heeft gemaakt. Ook moet hij werknemers informeren over hun privacyrechten en de persoonsgegevens die hij verwerkt. De OR heeft op basis van artikel 27, lid 1k van de Wet op de ondernemingsraden (WOR) instemmingsrecht (tools) op het register.

Aandachtspunten voor OR bij privacybeleid

De OR moet zich over het nieuwe register van verwerkingsactiviteiten afvragen of de verwerking van bepaalde persoonsgegevens noodzakelijk is. Het bewaren van een kopie van de ID van een werknemer is bijvoorbeeld een wettelijke verplichting, maar is het noteren van de leeftijden van de kinderen vanwege de Sinterklaascadeautjes noodzakelijk? Daarnaast moet de OR goed nagaan of het beleid de rechten van werknemers benoemt en of de bestuurder duidelijk heeft vermeld hoe hij de werknemers informeert over hun rechten. Het gaat hierbij onder andere om de volgende zaken:

• recht op inzage van het verwerkingsregister;
• recht op inzage personeelsdossier, de bestuurder moet kosteloos een kopie kunnen overleggen;
• recht op vergetelheid;
• recht op rectificatie.