5.1 Instemmingsrecht bij privacy
prestatie
De wetgever vindt de bescherming van de privacy van werknemers van groot belang. Daarom is uw instemmingsrecht op dit gebied heel ruim. Uw OR heeft instemmingsrecht bij elke regeling die gaat over het verwerken en beschermen van de persoonsgegevens van alle in de onderneming werkzame personen (artikel 27, lid 1k WOR). Ook als uw bestuurder voorzieningen wil invoeren waarmee hij de aanwezigheid, het gedrag of de prestaties van werknemers kan volgen, heeft hij uw instemming nodig (artikel 27, lid 1l WOR). Denk aan een prikklok of chipkaart. Die zijn niet bedoeld om persoonsgegevens te verzamelen, maar het kan wel.
Regels voor verwerking
opslag
registreren
Er gelden strenge regels voor de verwerking en opslag van persoonsgegevens. Uw bestuurder:
- moet aantonen dat hij over één van de zes grondslagen voor persoonsgegevensverwerking uit de AVG beschikt (deze vindt u op autoriteitpersoonsgegevens.nl);
- mag alleen strikt noodzakelijke informatie registreren of verwerken;
- moet werknemers informeren over de verwerking van hun gegevens en het doel ervan;
- moet persoonsgegevens goed beveiligen;
- mag persoonsgegevens niet langer bewaren dan noodzakelijk.
Let op: als de bestuurder gegevens door derden laat verwerken, zoals een softwareleverancier, dan moet hij daarmee een verwerkersovereenkomst sluiten. De OR kan vragen om inzage in deze documenten.
Pas op met smoelenboek op intranet
etniciteit
Ook een smoelenboek op het intranet is niet zo onschuldig als het lijkt. Hieruit kunnen gegevens over etniciteit blijken en die vallen onder privacygevoelige informatie. Uw bestuurder heeft van elke werknemer ondubbelzinnig toestemming nodig voor het publiceren van zijn foto op intranet (laat staan op internet). Alleen als het belang van de werkgever zwaarder weegt dan de privacy van werknemers, mag hij de foto zonder toestemming gebruiken. In de praktijk komt dit eigenlijk niet voor.
Toestemming voor gegevensverzameling
sportabonnement
Uw bestuurder mag persoonsgegevens alleen verzamelen voor duidelijk omschreven en gerechtvaardigde doelen. Hij moet aangeven waarom hij de gegevens opslaat en hoe hij dit op een zorgvuldige manier wil doen. Denk aan de salarisadministratie, maar ook aan informatie over de zieke werknemer die de werkgever nodig heeft om aan zijn re-integratieverplichtingen te voldoen. De werkgever mag deze gegevens nergens anders voor gebruiken. Ook niet voor iets leuks, zoals een sportabonnement voor werknemers. Doet hij dit zonder toestemming van de werknemers toch, dan moet uw OR het instemmingsverzoek weigeren. Uw bestuurder moet ook kunnen aantonen dat de werknemer vrijelijk toestemming heeft gegeven. Omdat er sprake is van een gezagsverhouding, blijft het de vraag of een werknemer die toestemming echt vrijelijk kan geven.
E-mail en internet monitoren
privégebruik
Bijna elke werknemer regelt weleens privézaken onder werktijd. Mogelijk wil uw bestuurder dit reguleren, om te voorkomen dat dit privégebruik uit de hand loopt. Dat gebeurt vaak door middel van een gedragscode, waarbij overtredingen ook sancties tot gevolg hebben. Het gaat hierbij om het bewaken van de naleving, daarom is het instemmingsrecht van de OR op het verzamelen van persoonsgegevens van toepassing.