Het is geen ondenkbare situatie: een werknemer ondertekent een arbeidsovereenkomst en vervolgens maakt de werkgever een account aan met persoonsgegevens van de werknemer, zoals naam en foto, bij de dienst van een derde partij. Bijvoorbeeld op LinkedIn of op een ander platform dat professionals voor een specifieke sector bijeenbrengt, zoals een online verzameldatabase voor regionale makelaars, autodealers of ambachtsmannen. En dit zónder toestemming te vragen.
Mag dat? Of kan een werknemer zich hiertegen verzetten? En hoe zit het eigenlijk met de AVG die op 25 mei 2018 in werking is getreden, en die strengere regels betreffende persoonsgegevensbescherming invoerde - ook op het gebied van arbeidsrelaties?
Toestemming van de werknemer altijd vereist?
Het aanmaken van een account bij een derde partij is in de zin van de AVG een verwerking van persoonsgegevens. Voor elke verwerking van persoonsgegevens wordt een rechtsgrond vereist. Toestemming van de werknemer is één van de mogelijke rechtsgronden, hoewel die ook aan bepaalde voorwaarden moet voldoen (vooral dat die vrij gegeven moet worden, hetgeen bij een werknemer naar zijn werkgever toe meestal niet het geval is).
Daarnaast bestaan nog andere gronden - bijvoorbeeld dat het verwerken noodzakelijk voor de uitvoering van de arbeidsovereenkomst is - of dat het noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de werkgever. Echter, de werkgever dient de werknemer over de mogelijkheid van het aanmaken van een account van tevoren ten minste te informeren en het redelijke belang aan te geven.
Gerechtvaardigd belang: welke voorwaarden?
Wanneer mag een werkgever een beroep op zijn gerechtvaardigde belang doen om een account aan te maken voor een werknemer bij een dienst van een derde? De AVG kent drie cumulatieve voorwaarden (voorwaarden waaraan tegelijkertijd voldaan moet worden):
- Ten eerste moet het belang tenminste in het algemeen uit een wet of regelgeving voortvloeien, althans niet bij de wet verboden zijn. Beveiliging van eigendom van de werkgever is bijvoorbeeld een gerechtvaardigd belang. Of het kunnen aanbieden van de diensten en producten van de werkgever (bijvoorbeeld bij online diensten waarbij een account een belangrijke rol kan spelen). Afhankelijk van de soort business kan het dus aangenomen worden dat een aangemaakt account wel bijdraagt aan de behoorlijke bedrijfsvoering en hierdoor dus gerechtvaardigd is.
- Ten tweede moet aan de eisen van subsidiariteit en proportionaliteit voldaan worden. Dit betekent, dat als het gerechtvaardigde doel zonder persoonsgegevensverwerking, of op een minder ingrijpende wijze bereikt kan worden, de werkgever geen account voor de werknemer mag aanmaken.
- Tot slot moet het gerechtvaardigd belang van een werkgever zwaarder wegen dan dat van de werknemer (belangenafweging). Hier kunnen echter allerlei aspecten een rol spelen. Heeft een werknemer bijvoorbeeld een redelijk belang om niet zichtbaar te zijn op bepaalde accounts? Kan het account de reputatie, eer of goede naam van de werknemer schenden? Of maakt het account te veel persoonsgegevens openbaar, zodat de privacy van een werknemer onredelijk aangetast wordt (bijvoorbeeld door het online plaatsen van een foto, privé-adres en privé-telefoonnummer, zodat de klant de werknemer direct kan benaderen)?
Indien aan de drie voorwaarden voldaan wordt, mag een werkgever een account aanmaken voor een werknemer zonder hem daarvoor toestemming te vragen. De werknemer staat daar echter niet helemaal weerloos tegen.
Verweermiddelen werknemer
Een werknemer is bevoegd te eisen dat de werkgever ophoudt met dergelijke persoonsgegevensverwerkingen, met als gevolg dat het account verwijderd wordt (de AVG spreekt over het zogenoemde recht van bezwaar). De werkgever zou het account moeten staken, tenzij hij dwingende gerechtvaardigde gronden voor dergelijke verwerking aanvoert die zwaarder wegen dan de belangen van de werknemer (bijvoorbeeld dat de onderneming anders volledig verstoord zou worden, nieuwe klanten niet binnengehaald kunnen worden, andere werknemers dan ontslagen zouden moeten worden, en het werknemers-privacybelang toch niet erg aangetast wordt). Ook hier is echter doorslaggevend wiens belangen zwaarder wegen.
Verder, gezien het feit dat het account bij een derde aangemaakt is, kan er in beginsel ook een verzoek worden ingediend bij deze derde partij om het account te verwijderen (het zogenoemde recht op vergetelheid). Hier moet men echter voorzichtig handelen zodat de arbeidsrelatie met de werkgever niet wordt verstoord.
Tot slot
Concluderend kan het volgende gesteld worden: als de werknemer geïnformeerd was, als de werkgever er voldoende belang bij heeft en de belangen van de werknemer niet zwaar worden aangetast, dan mag een werkgever onder bepaalde voorwaarden (zonder het vragen van toestemming) een account voor een werknemer aanmaken.
Deze blog is geschreven door stagiair Tomas Havelka, in samenwerking met Fay Kartner.
