Artikelen De Europese privacy verordening: werkgever, bent u er

Artikelen
P.A. Nabben en E.C. Post Uiterweer1
De Europese privacy verordening: werkgever, bent u er
klaar voor?
ArbeidsRecht 2017/21
De nieuwe Europese verordening omtrent de bescherming van persoonsgegevens, die per 25 mei
2018 van kracht zal zijn, zal ook voor de arbeidsrechtpraktijk een grote impact hebben. Werkgevers
verwerken immers op verschillende manieren en op
grote schaal persoonsgegevens van hun personeel.
Met nog ruim een jaar te gaan voordat de verordening van kracht zal zijn, is het voor werkgevers goed
om nu reeds stil te staan bij de vraag of en hoe zij de
wijze van hun gegevensverwerking moeten aanpassen aan de nieuwe regels. De opstellers van de verordening hebben met opzet hoge sancties gezet op niet
naleving van de nieuwe regels, zodat alle verwerkers
van persoonsgegevens de nieuwe regels serieus zullen nemen. Hieronder volgt een overzicht van de voor
de arbeidsrechtpraktijk belangrijkste wijzigingen.
1.
Totstandkoming Europese verordening
In januari 2012 presenteerde de Europese Commissie voorstellen voor een herziening van de privacyregelgeving, met
als doel ‘Europa geschikt te maken voor het digitale tijdperk’.
Op dat moment was op privacy-gebied veruit de bekendste richtlijn de Privacyrichtlijn 1995, opgesteld in een tijd
waarin minder dan 1% van de Europeanen gebruikmaakte
van internet.2 Er waren derhalve nieuwe regels nodig, die
beter zouden aansluiten bij de huidige tijd. Ook waren er
gaandeweg een kleine dertig verschillende nationale wetgevingen ontstaan – de Privacyrichtlijn 1995 moest immers
in alle lidstaten worden geïmplementeerd – en was het de
wens van de Commissie om aan die versnippering een einde
te maken.3 Gekozen werd voor een EU-verordening, zodat
de nieuwe regels rechtstreekse werking zouden hebben. Na
een moeizaam proces bereikten de lidstaten eind 2015 een
hoofdlijnenakkoord4 waarna op 27 april 2016 de definitieve
tekst werd gepubliceerd van de Verordening (EU) 2016/679
(Algemene Verordening inzake Gegevensbescherming) internationaal beter bekend als de General Data Protection
Regulation, ofwel GDPR.5
De relevantie van nieuwe regels op het gebied van persoonsgegevensverwerking voor de arbeidsrechtpraktijk is evident:
1
2
3
4
5
Mr. P.A. Nabben en mr. E.C. Post Uiterweer zijn advocaat bij Bronsgeest
Deur Advocaten N.V. te Amsterdam.
Persbericht IP/12/46 en considerans 6 en 7 Verordening (EU) 2016/679.
Considerans 9 Verordening (EU) 2016/679.
Persbericht IP/15/6321.
Verordening (EU) 2016/679 van 27 april 2016 van het Europees Parlement
en de Raad Betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije
verkeer van die gegevens en tot intrekking van Privacyrichtlijn 1995 (Algemene Verordening Gegevensbescherming).
12
T2_ArbeidsRecht_1704_bw_V02.indd 12
werkgevers verwerken op veel en uiteenlopende manieren
persoonsgegevens. Naast de gebruikelijke gegevens die bijvoorbeeld in de personeelsadministratie worden verwerkt, worden
mogelijk ook gegevens verwerkt met betrekking tot (controle
op) aanwezigheid op het werk. Hierbij kan worden gedacht
aan de inzet van cameratoezicht, het gebruik van zogenaamde
tracking systemen zoals GPS voor bijvoorbeeld chauffeurs en
salesmedewerkers of zelfs het gebruik van biometrische gegevens zoals een vingerafdruk of irisscan, bijvoorbeeld om toegang te krijgen tot een gebouw. En uiteraard begint de gegevensverwerking al in de sollicitatiefase, in het kader waarvan de
eerste persoonsgegevensverwerking plaatsvindt.
Genoeg reden dus voor werkgevers om zich bijtijds in de
Verordening (EU) 2016/679 te verdiepen. Enigszins ter geruststelling kan vooraf worden opgemerkt dat veel van
de voornaamste uitgangspunten in de Verordening (EU)
2016/679 gelijk zijn aan de huidige Nederlandse Wet Bescherming Persoonsgegevens (hierna: ‘Wbp’). Werkgevers
die momenteel in lijn handelen met de huidige regels hebben dan ook een goed vertrekpunt om van daaruit te zorgen voor compliance met de nieuwe regels per 25 mei 2018.
Echter bevat de Verordening (EU) 2016/679 wijzigingen die
nog altijd aanzienlijk zijn.
2.
Wat blijft hetzelfde?
Veel van de in de Wbp gebruikte begrippen en beginselen
keren terug in de Verordening (EU) 2016/679, zoals de zeer
ruim uitgelegde begrippen ‘persoonsgegeven’ en ‘verwerking’. De Wbp definieert een persoonsgegeven als ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. Zowel nu als onder de Verordening (EU)
2016/679 geldt het uitgangspunt dat als iemands identiteit
direct of zonder onevenredige inspanning vastgesteld kan
worden, er sprake is van een persoonsgegeven.
De (recht)persoon of ieder ander die het doel van de gegevensverwerking vaststelt, blijft de (verwerkings)verantwoordelijke heten. De term ‘bewerker’ uit de Wbp (een bewerker is degene die ten behoeve van de verantwoordelijke
gegevens verwerkt) wijzigt in de Verordening (EU) 2016/679
in ‘verwerker’.
Wat eveneens gelijk blijft zijn de algemene beginselen voor
gegevensverwerking, te weten de beginselen van rechtmatigheid, behoorlijkheid, transparantie en vertrouwelijkheid.
Ook het beginsel van doelbinding (gegevens mogen enkel
worden verwerkt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden en niet daarbuiten6 )
en van minimale gegevensbescherming (gegevens mogen
6
Art. 7 en 9 Wbp, art. 5 lid 1 sub b Verordening (EU) 2016/679.
Afl. 4 - april 2017
ArbeidsRecht 2017/21
4/11/2017 4:52:18 PM
Artikelen
DE EUROPESE PRIVAC Y VERORDENING: WERKGEVER, BENT U ER KL A AR VOOR?
enkel worden verwerkt voor zover toereikend, ter zake
dienend en niet bovenmatig7) blijven onverkort gelden. Gehandhaafd blijft verder het uitgangspunt dat gegevens nooit
langer mogen worden bewaard dan noodzakelijk is voor de
verwezenlijking van de doeleinden van de verwerking.8
De limitatieve lijst van mogelijke verwerkingsgronden zoals
verwoord in art. 8 van de Wbp zien we geheel terugkeren in
art. 6 van de Verordening (EU) 2016/679. Voor de arbeidsrechtpraktijk zijn met name vier gronden voor rechtsgeldige verwerking relevant, te weten:
– toestemming van de betrokkene;
– de verwerking is noodzakelijk voor de uitvoering van
een overeenkomst waarbij de betrokkene partij is (dat
kan i.c. een arbeidsovereenkomst zijn, hoewel uiteraard ook gedacht kan worden aan bijvoorbeeld ZZPcontracten);
– de verwerking is noodzakelijk om te voldoen aan een
wettelijke verplichting die op de verantwoordelijke
rust;
– de verantwoordelijke heeft een gerechtvaardigd belang
bij de verwerking, welk belang, kort gezegd, dient te
prevaleren boven dat van de betrokkene.
Daarnaast blijven, net als in de Wbp, afwijkende regels
gelden voor enkele bijzondere categorieën van persoonsgegevens, te weten gegevens omtrent godsdienst of levensovertuiging, ras, politieke gezindheid, seksueel leven en
vakbondslidmaatschap, alsmede medische en strafrechtelijke gegevens.9 Zowel naar huidig als naar komend recht
genieten deze gegevens extra bescherming.
Tot slot blijft grotendeels in stand de regelgeving omtrent
doorgifte van persoonsgegevens naar landen buiten de EU10 ,
iets wat ook in de arbeidsrechtelijke praktijk bij multinationale ondernemingen veelvuldig gebeurt. De hoofdregel is
dat een organisatie personeelsgegevens alleen mag doorgeven naar landen of regio’s buiten de EU als deze landen een
passend beschermingsniveau hebben. De Europese Commissie heeft een beperkt aantal landen, regio’s of organisaties erkend die aan de voorwaarden voor een passend beschermingsniveau voldoen.11 Zo voldoen ondernemingen in
de VS, aangesloten bij de EU-US Privacy Shield, de opvolger
van de Safe Harbour-beschikking, bijvoorbeeld aan de voorwaarden voor een passend beschermingsniveau.12 Het ligt
7
8
9
10
11
12
Art. 11 Wbp, art. 5 lid 1 sub c Verordening (EU) 2016/679.
Art. 10 Verordening (EU) 2016/679, art. 5 lid 1 sub e Verordening (EU)
2016/679.
Art. 16-23 Wbp, art. 9 en 10 Verordening (EU) 2016/679.
Art. 76-78 Wbp, art. 44-50 Verordening (EU) 2016/679.
De geactualiseerde lijst is vindbaar via http://ec.europa.eu/justice/dataprotection/international-transfers/adequacy/index_en.htm .
Het Hof van Justitie heeft op 6 oktober 2015 de belangrijkste basis voor
de doorgifte van persoonsgegevens aan bedrijven in de VS, beschikking EC/2000/520 van de Europese Commissie,beter bekend als de Safe
Harbour-beschikking, ongeldig verklaard. De Europese Commissie heeft
op 12 juli 2016 de zogenaamde EU-VS-Privacy Shield goedgekeurd, maar
Europese privacy-toezichthouders waaronder de Nederlandse Autoriteit
Persoonsgegevens zijn kritisch: zij oordelen dat ook deze overeenkomst de
privacy onvoldoende waarborgt. Het voert te ver om in dit artikel in detail
op dit punt in te gaan.
ArbeidsRecht 2017/21
T2_ArbeidsRecht_1704_bw_V02.indd 13
in de rede dat te zijner tijd ook het Verenigd Koninkrijk op
de lijst zal worden gezet, als de Brexit een feit is. Uitgangspunt blijft, ook onder de Verordening (EU) 2016/679, dat
voor doorgifte naar een land zonder passend beschermingsniveau, de ondubbelzinnige instemming van de betrokkene
c.q. werknemer met de doorgifte nodig zal zijn. Zonder deze
instemming is de doorgifte in het gros van de gevallen naar
huidig en komend recht enkel mogelijk indien tussen de organisaties in Nederland en het betreffende derde land gebruik is gemaakt van zogenaamde standaard contractuele
bepalingen, uitgewerkt in verschillende EU-modellen.13 Een
alternatief is het opstellen van bindende bedrijfsvoorschriften, de zogeheten ‘Binding Corporate Rules’, die ter goedkeuring aan de bevoegde privacy toezichthouder dienen te
worden voorgelegd. De Europese Commissie verwacht in de
toekomst dat met name multinationals op grotere schaal
voor deze laatste optie zullen kiezen.
3.
Wat verandert er?
Enkele hiervoor genoemde verschillen daargelaten is er tot
zover weinig nieuws ten opzichte van de huidige regels en
basisprincipes. Het zijn echter de hierna te bespreken veranderingen die laten zien dat met de nieuwe regels op een
aantal onderdelen een heel aantal nieuwe verplichtingen op
werkgevers afkomen per 25 mei 2018.
Allereerst zal het territoriaal toepassingsgebied van de
Verordening (EU) 2016/679 ruimer zijn: niet alleen ondernemingen met minstens één vestiging in Europa vallen
onder het bereik van de Verordening (EU) 2016/679, maar
ook niet-Europese ondernemingen die goederen of diensten
aanbieden aan personen binnen Europa.14 Gezien de voor de
arbeidsrechtelijke praktijk beperkte relevantie volstaan wij
hier met de enkele signalering daarvan.
De Verordening (EU) 2016/679 introduceert een aantal
nieuwe begrippen, te weten onder meer ‘profilering’, ‘pseudonimisering’, ‘privacy by design’, ‘privacy by default’ en
‘the right to be forgotten’, met de in het Nederlands wat ongelukkige vertaling ‘het recht op vergetelheid’. Voor zover in
een arbeidsrechtelijke context relevant komen deze nieuwe
termen hierna aan bod.
De volgende inhoudelijke wijzigingen in de Verordening
(EU) 2016/679 ten opzichte van de Privacyrichtlijn 1995 en
de Wbp behoeven in het kader van dit artikel een nadere
bespreking.
3.1
Meer rechten voor de betrokkene c.q. werknemer
De Verordening (EU) 2016/679 kent de betrokkene een aantal aanvullende rechten toe ter versterking van de controle
van de betrokkene over hem betreffende persoonsgegevens.
Ten eerste is het recht op inzage uitgebreid. Dit recht bestaat
al onder de Wbp; nieuw is dat de werknemer onder de Ver-
13
14
Art.l 26 lid 2 Privacyrichtlijn 1995.
Art. 2 (considerans 22-24) Verordening (EU) 2016/679.
Afl. 4 - april 2017
13
4/11/2017 4:52:18 PM
Artikelen
DE EUROPESE PRIVAC Y VERORDENING: WERKGEVER, BENT U ER KL A AR VOOR?
ordening (EU) 2016/679 ook het recht heeft op informatie
over hoe lang de verantwoordelijke c.q. werkgever de gegevens beoogt te bewaren, of de gegevens worden gebruikt
voor automatische besluitvorming, of de werkgever voornemens is gegevens naar het buitenland te transporteren en
zo ja, welke waarborgen hij daarvoor heeft voorzien. Verder
dient de werkgever o.a. te informeren over het recht op rectificatie en het recht om een klacht in te dienen bij de privacy toezichthouder.
In de Wbp is de verplichting van de verantwoordelijke opgenomen om een betrokkene desgevraagd mede te delen of
hem betreffende persoonsgegevens worden verwerkt, en zo
ja, dan heeft de betrokkene het recht op een volledig overzicht daarvan. De Wbp koppelt daaraan het voorschrift dat,
als een derde naar verwachting bedenkingen zal hebben tegen het doen van een zodanige mededeling, de verantwoordelijke die derde eerst de gelegenheid geeft om zijn zienswijze naar voren te brengen indien de mededeling gegevens
bevat die hem betreffen (een en ander tenzij dit onmogelijk
blijkt of een onevenredige inspanning kost). De Verordening
(EU) 2016/679 is op dit punt iets anders van opzet. De Verordening (EU) 2016/679 bevat, explicieter geformuleerd dan
de Wbp, het recht van kopie: de werknemer mag op basis
daarvan vragen om een kopie van het volledige personeelsdossier.15 Voorts regelt de Verordening (EU) 2016/679 dat dit
recht op kopie geen afbreuk doet aan de rechten en vrijheden van anderen. De Wbp noemt de rechten en vrijheden
van anderen ook als uitzonderingsgrondslag voor het recht
op kopie16 . Het voorschrift dat een derde zijn zienswijze mag
geven, keert in de Verordening (EU) 2016/679 niet terug. In
een arbeidsrechtelijke context geldt vanaf de Verordening
(EU) 2016/679 dus dat de verantwoordelijke c.q. werkgever
bij het verstrekken van een kopie van i.c. bijvoorbeeld een
personeelsdossier, zal moeten nagaan of de privacy rechten
van derden daarmee niet worden geschonden. Die derde
zou bijvoorbeeld een collega kunnen zijn, of een contactpersoon bij een klant.
In de huidige Nederlandse rechtspraak over verschaffing
van het personeelsdossier aan de werknemer werd een nuance aangebracht: het recht van een werknemer om een
kopie van zijn personeelsdossier op te vragen, strekt zich
niet uit tot interne notities die persoonlijke gedachten van
medewerkers van de werkgever bevatten en uitsluitend
bedoeld zijn voor intern overleg en beraad, tenzij op grond
van die notities een definitief rapport is opgemaakt.17 Wij
verwachten dat deze lijn ook onder de Verordening (EU)
2016/679 de toets der kritiek zal doorstaan.
15
16
17
Art. 35 lid 1 en 2 Wbp, art. 15 lid 3 en 4 en considerans 63 en 64 Verordening (EU) 2016/679. In considerans 63 Verordening (EU) 2016/679 staat
overigens nog dat, indien een verantwoordelijke een grote hoeveelheid
gegevens betreffende de betrokkene verwerkt, de verantwoordelijke de
betrokkene voorafgaand aan de informatieverstrekking moet kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft. Het is de vraag of in een arbeidsrechtelijke context snel aan dit criterium zal worden voldaan.
Art. 43 sub e Wbp.
HR 8 februari 2013, JAR 2013/72.
14
T2_ArbeidsRecht_1704_bw_V02.indd 14
De tweede wijziging is het hiervoor genoemde recht van
vergetelheid. Ook dit is een recht dat op basis van rechtspraak al bestond onder de Privacyrichtlijn 1995, via de zogeheten Google Spain zaak.18 De Verordening (EU) 2016/679
legt dit recht uitdrukkelijk vast in artikel 17 (en considerans
65). Hierin wordt opgesomd dat dit recht van vergetelheid
onder meer bestaat als de verwerking niet langer nodig is
voor verwezenlijking van het doel, als de verwerking enkel
berustte op de toestemming van de werknemer en de werknemer deze toestemming intrekt, als hij gegronde bezwaren maakt tegen de verwerking of als een rechtsgrond voor
de verwerking ontbreekt.
Hieraan gekoppeld kent de Verordening (EU) 2016/679 ook
het recht op beperking van de verwerking: bepaalde gegevens zouden dan moeten worden gemarkeerd zodat voor
de werkgever duidelijk is voor welke doeleinden de verwerking is uitgesloten, althans voor de verwerking waarvan de werknemer geen toestemming heeft gegeven. Het is
mogelijk dat hier in de toekomst discussies over gaan ontstaan, bijvoorbeeld als een werkgever en werknemer in een
arbeidsconflict geraken en de werknemer vraagt bepaalde
gegevens te verwijderen of de verwerking ervan te beperken en de werkgever meent redenen te hebben om niet gehouden te zijn aan dit verzoek te voldoen.
De derde wijziging is het recht op overdraagbaarheid van
gegevens.19 Dit recht is in beginsel bedoeld als middel om
het voor een betrokkene makkelijker te maken om gegevens
over te hevelen van de ene dienstverlener naar de andere
en behoeft daarom in een arbeidsrechtelijke context geen
verdere bespreking.
De werkgever dient in beginsel binnen een maand op de
verzoeken van de werknemer te reageren. Als de werkgever
geen gevolg geeft aan een verzoek van de werknemer, moet
hij de werknemer dit tijdig en schriftelijk laten weten, welk
bericht informatie dient te bevatten over de mogelijkheid
om een klacht in te dienen bij de privacy toezichthouder of
naar de rechter te stappen.20
3.2
Meer verplichtingen voor verwerkingsverantwoordelijke c.q. werkgever
Tegenover de toegenomen rechten van de werknemer staan
ten eerste, separaat in de Verordening (EU) 2016/679 opgesomd, de verplichtingen van de werkgever als verwerkingsverantwoordelijke om de werknemer tijdig informatie
te verschaffen omtrent de verwerking van diens persoonsgegevens: de werkgever moet de werknemer informeren
over het doel van de verwerking, de contactgegevens van de
18
19
20
HvJ EU 13 mei 2014, C-131/12, ECLI:EU:C:2014:317: als men via Google
zocht naar de Spaanse jurist Mario Costeja Gonzalez, dan toonde Google in
de zoekresultaten een negatief persartikel over hem uit een zeer ver verleden. De Spaanse jurist vorderde in rechte dat dit zoekresultaat niet meer
zou worden getoond. Het HvJ EU oordeelde uiteindelijk dat mensen onder
bepaalde voorwaarden het recht hebben op verwijdering van zoekresultaten op hun naam.
Art. 20 en considerans 68 Verordening (EU) 2016/679.
Art. 12 lid 3 en 4 Verordening (EU) 2016/679.
Afl. 4 - april 2017
ArbeidsRecht 2017/21
4/11/2017 4:52:18 PM
Artikelen
DE EUROPESE PRIVAC Y VERORDENING: WERKGEVER, BENT U ER KL A AR VOOR?
eventueel aanwezige functionaris gegevensbescherming,
de bewerkers die in het kader van de arbeidsrelatie gegevens van de werknemer zullen verwerken, of de werkgever
gegevens naar het buitenland zal transporteren en zo ja,
welke waarborgen er zijn, waar de werknemer heen kan in
geval van klachten et cetera. Ook dient de werkgever aan te
geven hoe lang hij de gegevens zal bewaren (hierop wordt
later nog ingegaan bij bespreking van de Uitvoeringswet) en
moet de informatieverschaffing uitdrukkelijk het recht bevatten dat een werknemer een eenmaal gegeven toestemming weer mag intrekken.21 Kortom, de werkgever dient
voor aanvang van de arbeidsrelatie de werknemer te wijzen
op al zijn rechten op privacy-gebied (iets wat onder Wbp
overigens ook al moet, maar in feite zeer weinig gebeurt).
De werkgever zal op dit punt in de toekomst dus moeten
gaan werken met een algemene informatiebrief aan werknemers, en hij zal op voorhand per persoonsgegeven moeten nadenken over wat de rechtsgrond voor de verwerking
is. De informatievoorziening dient ook in begrijpelijke taal
en in gemakkelijk toegankelijke vorm plaats te vinden.
Een tweede wijziging voor de werkgever onder de Verordening (EU) 2016/679 is de doorhaling van de meldingsplicht
van de gegevensverwerking, thans verwoord in art. 27 van
de Wbp. Dit ter verlaging van de administratieve rompslomp
die dit meebracht.22 In plaats daarvan introduceert de Verordening (EU) 2016/679 de documentatieplicht: werkgevers
dienen een register bij te houden van hun verwerkingsactiviteiten, waarbij alle hiervoor bedoelde informatieverstrekking aan de werknemers ook voor de eigen administratie
dient te worden vastgelegd. Deze plicht geldt voor grotere
ondernemingen (250 werknemers of meer) en voor ondernemingen die op grote schaal gegevens van individuen verwerken (te denken valt aan recruitment bedrijven die op
grote schaal gegevens van kandidaten verwerken), of indien
er sprake is van verwerking van gevoelige persoonsgegevens (bijvoorbeeld arbodiensten). Er bestaat een grote overlap van de nieuwe rechten van werknemers, de informatieplicht van werkgevers en de hier bedoelde registratieplicht.
Werkgevers dienen bijtijds documenten in orde te hebben
om te zorgen voor compliance op al deze drie onderdelen.
Een derde wijziging voor de werkgever is de verplichting
voor sommige bedrijven om een functionaris voor de gegevensverwerking aan te stellen.23 De instelling van een
functionaris is onder de Wbp optioneel. Op grond van de
Verordening (EU) 2016/679 is het een verplichting voor
publieke overheden en voor particuliere bedrijven om een
functionaris in te stellen indien i) de verwerking door een
verwerkingsverantwoordelijke wordt uitgevoerd die als
kern – en aldus hoofdtaak – heeft verwerkingsactiviteiten
uit te voeren die grootschalige, regelmatige en systematische observatie van betrokkenen vereisen; of ii) indien de
21
22
23
Art. 14 en considerans 60-62 Verordening (EU) 2016/679.
Standaard personeelsgegevens zijn naar huidig recht al vrijgesteld door
middel van het Vrijstellingsbesluit.
Art.37 Verordening (EU) 2016/679. Dit mag een werknemer van de organisatie zijn, maar ook een zelfstandige dienstverlener.
ArbeidsRecht 2017/21
T2_ArbeidsRecht_1704_bw_V02.indd 15
onderneming hoofdzakelijk is belast met de verwerking van
bijzondere persoonsgegevens. Hoe deze nogal vage definitie
dient te worden ingevuld – en dus welke bedrijven onder
deze plicht komen te vallen – is vooralsnog onduidelijk. Zo
zal de toekomst moeten uitwijzen of bijvoorbeeld verzekeringsmaatschappijen onder categorie i) en/of ii) vallen.
Een vierde wijziging die werkgevers direct raakt, is de verplichting tot verbeterde beveiliging van persoonsgegevens,
uiteraard verband houdende met de razendsnelle technologische ontwikkelingen. De Verordening (EU) 2016/679
verplicht tot een methodische aanpak, waarbij een zogeheten gegevensbeschermingseffectbeoordeling (‘Privacy Impact
Assessment’) moet plaatsvinden. Het is de bedoeling dat de
gegevensbescherming, ook en juist op het punt van beveiliging, al vanaf het begin van de gegevensverwerking een
aandachtspunt vormt (een beginsel wat in de Verordening
(EU) 2016/679 wordt omschreven als privacy by design24 ).
Deze wijziging vergt voornamelijk input op ICT-gebied
(door bijvoorbeeld een IT-auditor).
Ten slotte wordt genoemd de meldplicht bij datalekken. Deze
plicht is voor Nederland niet nieuw, aangezien de Wbp de
meldplicht datalekken sinds 1 januari 2016 al kent.25 In een
arbeidsrechtelijke context valt te denken aan een werknemer die een gegevensdrager, bijvoorbeeld een smartphone,
tablet of laptop in de trein laat liggen, of dat een bepaald
afgeschermd onderdeel van een HR-systeem per ongeluk
toegankelijk is voor het hele bedrijf. Dergelijke incidenten
geven onder omstandigheden de plicht tot melding bij de
Autoriteit Persoonsgegevens (‘AP’).26
3.3
Toestemming werknemer
Aparte aandacht verdient nog de door werkgevers veel gevraagde toestemming van de werknemer als één van de
gronden voor verwerking door zijn werkgever. Ook onder
de huidige regels moet voor toestemming sprake zijn van
een ‘vrije, specifieke en op informatie berustende wilsuiting waarmee een betrokkene aanvaardt dat de hem betreffende persoonsgegevens worden verwerkt’.27 De definitie
onder de Verordening (EU) 2016/679 is ongeveer, maar niet
precies gelijkluidend,28 zodat de vraag ontstaat of het begrip
toestemming in de toekomst anders moet worden ingevuld.
Vaststaat in elk geval dat de ‘toestemming van de betrokkene’ in een arbeidsrelatie een erg onzekere verwerkingsgrond vormt. Dit wordt in de considerans bij de Verordening
(EU) 2016/679 genoemd.29 In de MvT bij de Wbp is hierover
te lezen dat, indien de toestemming van een betrokkene
24
25
26
27
28
29
Voor de volledigheid: dit onderscheidt zich van de andere genoemde nieuwe term uit de Verordening (EU) 2016/679: privacy by default. Dit houdt
kort gezegd in in dat de meest privacy-vriendelijke instellingen voor de
Verordening (EU) 2016/679 de norm zijn.
Wet Meldplicht Datalekken, Stb. 2015/230, zie m.n. art. 34a Wbp.
Ten weten als het gaat om gevoelige persoonsgegevens of er om een andere
reden sprake is van een (aanzienlijke kans op) ernstige nadelige gevolgen
voor de bescherming van de persoonsgegevens.
Art. 1 sub i Wbp.
Art. 4 sub 11 Verordening (EU) 2016/679.
Art. 7 en considerans 43 Verordening (EU) 2016/679.
Afl. 4 - april 2017
15
4/11/2017 4:52:18 PM
Artikelen
DE EUROPESE PRIVAC Y VERORDENING: WERKGEVER, BENT U ER KL A AR VOOR?
niet voldoet aan de genoemde eisen of als deze wordt ingetrokken, de verantwoordelijke zich dan niet alsnog op één
van de andere verwerkingsgronden zou kunnen beroepen.30
Volgens ons blijkt uit de tekst van art. 6, lid 1 van de Verordening (EU) 2016/679 echter dat dit naar komend recht
waarschijnlijk anders is. Er staat:
–
“De verwerking is alleen rechtmatig indien en voor zover
aan ten minste een van de onderstaande voorwaarden is
voldaan:”
Volgens ons kan de werkgever onder de Verordening (EU)
2016/679 dus juist wel terugvallen op een andere rechtsgrond indien de ene niet succesvol blijkt. Wat daarvan zij,
het feit dat een toestemming in een arbeidsrelatie niet snel
aan de genoemde vereisten voor rechtsgeldigheid zal voldoen, is op zichzelf al een reden voor werkgevers om zoveel
mogelijk te vermijden dat zij de verwerking op toestemming
baseren, zeker als deze zeer algemeen geformuleerd is.
–
In veel arbeidsovereenkomsten wordt een bepaling opgenomen dat de werknemer door ondertekening zijn toestemming geeft voor de verwerking van zijn persoonsgegevens.
Los van de vraag of het wel nodig is om toestemming van
werknemers te vragen voor de verwerking van voor de
arbeidsrelatie relevante persoonsgegevens – één van de
gronden voor rechtsgeldige verwerking is uitvoering van
een overeenkomst waarbij de betrokkene partij is, i.c. is dat
de arbeidsovereenkomst – zal een dergelijke toestemming
geen effect hebben: vanwege de gezagsverhouding tussen
werkgever en werknemer is in het algemeen geen sprake
van de vereiste vrije wilsuiting, zodat een dergelijke veel te
algemeen geformuleerde en niet toegelichte toestemming
geen waarde heeft. Wel menen wij dat het binnen de arbeidsrelatie mogelijk is dat een toestemming wordt gegeven
die wel de toets der kritiek doorstaat, bijvoorbeeld als een
Amerikaans moederbedrijf bepaalde, beperkte gegevens
van een werknemer nodig heeft voor toekenning van long
term incentives; als in een separate overeenkomst daaromtrent een voor dat afgebakende onderdeel toestemming
wordt gevraagd en verkregen, valt niet in te zien waarom
deze toestemming niet vrijelijk, specifiek en geïnformeerd
zou kunnen worden gegeven.
3.4
Overige wijzigingen
De voornaamste overige wijzigingen in de Verordening (EU)
2016/679 zijn:
– Het ‘one-stop-shop’ principe: onder de Verordening (EU)
2016/679 zal er in internationale situaties één leidende
privacy toezichthouder worden aangesteld, te weten de
toezichthouder van de lidstaat waar de hoofdvestiging
van de groep ondernemingen ligt.31 Deze toezichthou-
4.
31
Kamerstukken II 1997/98, 25892, 3 (MvT), p. 81-82. Zie ook: F.C. van der
Jagt, Als ja misschien toch nee is: ‘de toestemming van de werknemer voor
de verwerking van persoonsgegevens’, TAP 2013/4.
De hoofdvestiging is in beginsel de plaats waar een onderneming haar
centrale administratie in de EU heeft, zie art. 4 lid 16 Verordening (EU)
2016/679.
16
T2_ArbeidsRecht_1704_bw_V02.indd 16
Nederland: wetsvoorstel Uitvoeringswet
Ondanks het doel om een einde te maken aan de versnippering van regels binnen de EU bevat de Verordening (EU)
2016/679 op een heel aantal plaatsen de mogelijkheid voor
iedere lidstaat om eigen of nadere regels te stellen. Nederland is voortvarend te werk gegaan: recentelijk, op 9 december 2016 is het Nederlandse wetsvoorstel Uitvoeringswet
Algemene verordening gegevensbescherming33 gepubliceerd. Deze Uitvoeringswet is onderdeel van een breder
pakket dat in zijn geheel de Verordening (EU) 2016/679 zal
uitvoeren respectievelijk implementeren. Beoogd is om de
Verordening (EU) 2016/679 beleidsneutraal te implemen32
33
30
der is dan de enige gesprekspartner van de multinational, en zal waar nodig overleg moeten plegen met de
autoriteit van een ander betrokken land.
Strengere regels voor verwerkers: werkgevers maken
op grote schaal gebruik van derden die namens hen
gegevens verwerken (bijvoorbeeld arbodiensten, pensioenuitvoerders, maar bij grotere ondernemingen
wordt soms de gehele HR administratie door een derde
uitgevoerd). Onder de Wbp is het uitgangspunt dat de
werkgever wettelijk jegens de werknemer de eindverantwoordelijke blijft, zij het dat hij bepaalde verplichtingen schriftelijk kan – en moet – opleggen aan
de verwerker in een bewerkingsovereenkomst. Onder
de Verordening (EU) 2016/679 geldt een reeks aanvullende en eigen plichten en verantwoordelijkheden voor
bewerkers. Zij moeten voldoende garanties bieden dat
de Verordening (EU) 2016/679 wordt nageleefd. Alle bewerkersovereenkomsten die momenteel in gebruik zijn
zullen dus onder de loep moeten.32
Een hoger sanctierisico: voor een aantal inbreuken op
de Verordening (EU) 2016/679 kan de boete oplopen
tot € 10 miljoen of, voor ondernemingen, tot 2% van de
totale wereldwijde jaaromzet in het voorgaande boekjaar. Deze boetes staan op onder meer niet naleving van
de plicht tot het aanstellen van een functionaris voor de
gegevensbescherming of de plicht tot het bijhouden van
een verwerkingsregister. Voor andere, zwaardere overtredingen geldt een boete van maximaal € 20 miljoen
of maximaal 4% van de totale wereldwijde jaaromzet in
het voorgaande boekjaar. Te denken valt hierbij aan het
niet naleven van de basisbeginselen van de gegevensverwerking, gegevensverwerking zonder rechtsgrond,
rechten van betrokkenen c.q. werknemers niet waarborgen, doorgifte buiten de EU zonder waarborgen of
een bevel van de privacy autoriteit niet naleven. Tegen
oplegging van deze sanctie staat beroep open bij de
rechtbank.
Art. 28 en considerans 81 Verordening (EU) 2016/679.
Wetsvoorstel Regels ter uitvoering van Verordening (EU) 2016/679 van
het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens en
tot intrekking van Privacyrichtlijn 1995 (algemene verordening gegevensbescherming) (PbEU 2016, L 119) (“Uitvoeringswet Algemene verordening
gegevensbescherming”), gepubliceerd op 9 december 2016.
Afl. 4 - april 2017
ArbeidsRecht 2017/21
4/11/2017 4:52:18 PM
Artikelen
DE EUROPESE PRIVAC Y VERORDENING: WERKGEVER, BENT U ER KL A AR VOOR?
teren, aldus de opstellers van het wetsvoorstel. Het is de
bedoeling dat per de datum van inwerkingtreding van de
Verordening (EU) 2016/679 en de Uitvoeringswet, de Wbp
wordt ingetrokken.34
Met de intrekking van de Wbp sneuvelt ook het daaraan gekoppelde Vrijstellingsbesluit Wbp. Dit is, in elk geval voor
de arbeidsrechtpraktijk, een aderlating te noemen. Het Vrijstellingsbesluit Wbp bevatte immers juist voor de arbeidsrechtpraktijk een aantal nuttige bewaartermijnen, zoals
de maximale bewaartermijn van sollicitantengegevens (in
beginsel vier weken) en personeelsgegevens (twee jaar). Het
is nog de vraag of een werkgever, wanneer hij deze termijnen vanaf mei 2018 blijft hanteren, compliant is met het vrij
algemeen geformuleerde art. 5 lid 1 sub e uit de Verordening (EU) 2016/679, welke voorschrijft dat ‘gegevens worden bewaard in een vorm die het mogelijk maakt gegevens
niet langer te bewaren dan nodig is voor de verwezenlijking
van het doel waarvoor de verwerking noodzakelijk was’. Te
verwachten valt dat dit wel het geval zal zijn. Immers, het
Vrijstellingsbesluit Wbp is een concrete invulling van de algemene norm uit art. 10 van de Wbp, die gelijkluidend is
aan het hiervoor genoemde art. 5 lid 1 sub e Verordening
(EU) 2016/679.
Wat daar verder van zij, werkgevers in de EU beschikken nu
reeds over voldoende informatie om in elk geval een start
te maken met aanpassing van hun HR-systemen en privacybeleid aan de komende regels. De boeteniveaus laten zien
dat het de Europese Commissie menens is met de oplegging
van de nieuwe privacyregels en met het toezicht op naleving hiervan. Dergelijke boeteniveaus zorgen ervoor dat
het dossier privacybescherming bij ondernemingen, ook op
arbeidsrechtelijk vlak, naar verwachting niet onderop de
spreekwoordelijke stapel komt te liggen.
Specifiek op arbeidsrechtelijk vlak bevat de Verordening
(EU) 2016/679 in art. 88 de uitdrukkelijke mogelijkheid voor
lidstaten om nadere regels te stellen. Van deze mogelijkheid lijkt de Nederlandse wetgever geen gebruik te maken:
de Uitvoeringswet reageert op art. 88 Verordening (EU)
2016/679 uitdrukkelijk met:
“Er is geen behoefte om gebruik te maken van de ruimte
die deze bepaling aan het lidstatelijk recht biedt.”
5.
Tot slot
Doordat er op veel meer plaatsen dan vooraf wellicht voorzien ruimte wordt gegeven tot het vaststellen van nadere
regels, gaat er in de toekomst toch weer een situatie ontstaan waarin veel EU-lidstaten hun eigen specifieke regeling zullen hebben. Op dat punt is het ‘privacy project’ dus
niet geheel geslaagd te noemen. Ook blijven er nog veel
vragen open, zoals bijvoorbeeld de vraag of onder de Wbp
gesloten EU-modelcontracten voor doorgifte naar een land
zonder passend beschermingsniveau onder de Verordening (EU) 2016/679 nog zullen voldoen of opnieuw moeten
worden gesloten, hoe concreet invulling dient te worden
gegeven in arbeidsrechtelijke situaties aan de regels uit de
Verordening (EU) 2016/679 en wat nu voor het arbeidsrecht
hanteerbare bewaartermijnen zijn na het wegvallen van het
Vrijstellingsbesluit Wbp. Het feit dat de Nederlandse wetgever geen gebruikmaakt van de mogelijkheid om voor de
arbeidsrelatie nadere regels te stellen, zien wij als een gemiste kans.
34
MvT bij wetsvoorstel Uitvoeringswet Algemene verordening gegevensbescherming, p. 19.
ArbeidsRecht 2017/21
T2_ArbeidsRecht_1704_bw_V02.indd 17
Afl. 4 - april 2017
17
4/11/2017 4:52:18 PM