Eerder werd bekend dat de Autoriteit Persoonsgegevens (“AP”) een dwangsom van EUR 48.000,- heeft ingevorderd bij Theodoor Gilissen Bankiers (TGB). De reden hiervoor was dat de bank geen gehoor had gegeven aan een verzoek van een klant om inzage te krijgen in zijn persoonsgegevens. De klant wendde zich tot de AP met een handhavingsverzoek en de AP legde TGB een last onder dwangsom op. Omdat TGB niet binnen de daartoe gestelde termijn aan het verzoek voldeed, is de AP overgegaan tot invordering van de dwangsom.
De klant van TGB deed zijn verzoek voor de inwerkingtreding van de Algemene Verordening Gegevensbescherming (“AVG”). Hij baseerde zich daarbij op artikel 35 van de destijds geldende Wet bescherming persoonsgegevens (“Wbp”). Met de inwerkingtreding van de AVG per 25 mei 2018 geldt ten aanzien van dergelijke verzoeken (een vergelijkbaar) artikel 15 van de AVG. Hierin is opgenomen dat de persoon (“de betrokkene”) waarvan persoonsgegevens worden verwerkt (dat betekent onder meer: verzameld, vastgelegd, opgeslagen en geraadpleegd), het recht heeft van degene die de persoonsgegevens verwerkt (“de verwerkingsverantwoordelijke”) te verlangen inzicht te geven in de hem betreffende persoonsgegevens.
Dat de AP in deze kwestie overgaat tot het innen van een dwangsom, bevestigt dat een verwerkingsverantwoordelijke (in dit geval TGB) een verzoek van een betrokkene (in dit geval de klant) op grond van artikel 15 AVG serieus moet nemen. Uitzonderingen daargelaten dient aan een dergelijk verzoek gehoor te worden gegeven. De AVG geeft betrokkenen echter nog meer rechten, die net als bovenstaand verzoek niet zomaar genegeerd kunnen worden. Wat betekent dit voor werknemers in de context van de arbeidsrelatie?
Privacy rechten in de arbeidsrelatie
valt een werknemer aan te merken als betrokkene in de zin van de AVG. De privacy rechten die een betrokkene op grond van de AVG heeft, gelden dus ook voor de werknemer en zijn op verschillende plekken in de AVG terug te vinden. Hieronder volgt een samenvatting van de privacy rechten die de betrokkene/de werknemer kan inroepen jegens de verwerkingsverantwoordelijke/werkgever.
Recht om toestemming in te trekken (art. 7 lid 3 AVG)
Een van de grondslagen om persoonsgegevens te mogen verwerken is op grond van de vrijelijk gegeven toestemming van de betrokkene. Een werkgever zal zich echter vaak op één van de andere grondslagen uit de AVG (moeten) beroepen, omdat de toestemming van een werknemer – gezien de afhankelijkheidsrelatie tot zijn werkgever – doorgaans niet vrijelijk zal zijn gegeven. In sommige gevallen (bijvoorbeeld bij het gebruik van een foto in een smoelenboek) kan wel met toestemming van de werknemer worden gewerkt. Als de werknemer in zo’n geval toestemming heeft gegeven dan kan hij deze toestemming ook weer te allen tijde intrekken.
Recht op transparante informatie (art. 12 AVG)
De AVG bepaalt dat informatie die bestemd is voor de werknemer – overeenkomstig het transparantiebeginsel –beknopt, eenvoudig toegankelijk en begrijpelijk moet zijn en dat duidelijke en eenvoudige taal moet worden gebruikt. Het gaat hier onder meer om de communicatie die geschiedt als de werknemer één van zijn rechten op grond van de AVG inroept.
Recht op informatie en toegang (art. 13 en 14 AVG)
De werknemer heeft het recht om te weten wat er met zijn persoonsgegevens gebeurt en waarom. Hij moet bewust worden gemaakt van de risico’s van de gegevensverweking, de regels die ervoor gelden, de waarborgen en de manier waarop hij zijn rechten met betrekking tot de verwerking van gegevens kan uitoefenen. De werkgever dient de werknemer te informeren over de gegevensverwerkingen.
Recht op inzage en kopie (art. 15 AVG)
De werknemer heeft het recht om de persoonsgegevens die van hem verzameld zijn in te zien. Hij mag de werkgever met redelijke tussenpozen vragen of, en zo ja welke, persoonsgegevens van hem worden verwerkt.
Recht op rectificatie (art. 16 AVG)
De werkgever dient er zorg voor te dragen dat wanneer er persoonsgegevens worden verwerkt, deze gegevens accuraat zijn en blijven. Als de gegevens niet (meer) accuraat zijn, dan heeft de werknemer het recht om van de werkgever te verlangen deze onjuiste persoonsgegevens onverwijld te rectificeren.
Recht op verwijdering (recht op vergetelheid) (art. 17 AVG)
De werknemer heeft onder bepaalde omstandigheden het recht om zijn persoonsgegevens door de werkgever te laten verwijderen, bijvoorbeeld als de verwerking onrechtmatig is. Daarnaast heeft de werknemer het recht om ‘vergeten te worden’. Het gaat hier bijvoorbeeld om de situatie waarin de werkgever persoonsgegevens van de werknemer openbaar heeft gemaakt (bijvoorbeeld op een website), in welk geval de werknemer het recht heeft van de werkgever te verlangen deze gegevens te wissen.
Recht op beperking van de verwerking (art. 18 AVG)
Het recht op beperking van de verwerking van persoonsgegevens houdt in dat in bepaalde situaties (bijvoorbeeld als de juistheid van de persoonsgegevens wordt betwist of verwerking onrechtmatig is) de werknemer de mogelijkheid heeft om de verwerking van zijn persoonsgegevens tijdelijk stil te laten zetten. De werknemer kan dit recht onder meer inzetten als hij meent dat er teveel persoonsgegevens van hem worden verwerkt, zonder duidelijk en legitiem doel.
Recht op dataportabiliteit (art. 20 AVG)
De werknemer heeft het recht om een kopie van zijn persoonsgegevens, die hij aan de werkgever heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen.
Recht van bezwaar (art. 21 AVG)
Een werknemer kan vanwege redenen die verband houden met zijn specifieke situatie gebruik maken van dit recht van bezwaar tegen de verwerking van hem betreffende persoonsgegevens, mits voldaan is aan de in de AVG genoemde vereisten. Als een werknemer bezwaar maakt staakt de werkgever de verwerking, tenzij dwingende gerechtvaardigde gronden anders bepalen.
Recht om niet te worden onderworpen aan geautomatiseerde besluiten (art. 22)
Er is sprake van geautomatiseerde individuele besluitvorming als persoonsgegevens worden gebruikt om tot een bepaalde beslissing te komen en deze beslissing uitsluitend is gebaseerd op geautomatiseerde verwerking van persoonsgegevens. Een werknemer heeft het recht om niet onderworpen te worden aan een enkel op geautomatiseerde verwerking gebaseerd besluit waanneer dit rechtsgevolgen heeft voor hem of hem anderszins in aanzienlijke mate treft. Dit zou bijvoorbeeld aan de orde kunnen zijn in het geval een arbeidsovereenkomst wordt opgezegd enkel omdat de computer aangeeft dat de werknemer een risico vormt voor de organisatie. In zo een geval kan de werknemer een beroep doen op het recht op een menselijke blik bij het nemen van besluiten.
Recht om een klacht in te dienen bij een toezichthoudende autoriteit (art. 77 AVG)
De werknemer heeft het recht om een klacht in te dienen bij de AP als hij vermoedt dat zijn persoonsgegevens zijn verwerkt op een manier die is strijd is met de AVG. De AP neemt hierop een besluit. Als de werknemer het niet eens is met dit besluit kan hij hiertegen nog in beroep bij de rechtbank.
Recht om een doeltreffende voorziening in rechte in te stellen (art. 78 en 79 AVG)
Een werknemer kan een voorziening in rechte instellen tegen de AP, de werkgever of een verwerker, indien hij van mening is dat de verwerking van zijn persoonsgegevens niet in lijn met de geldende wet- en regelgeving heeft plaatsgevonden. Dit betreft een civielrechtelijke procedure.
Collectief actierecht/recht op vertegenwoordiging (art. 80 AVG)
Een werknemer mag een organisatie, orgaan of vereniging zonder winstoogmerk machtigen om namens hem een klacht in te dienen of de rechten uit te oefenen die hem gegeven zijn uit hoofde van de AVG.
Recht op schadevergoeding (art. 82 AVG)
Als een werknemer materiële of immateriële schade heeft geleden als gevolg van een overtreding van de AVG dan heeft hij het recht om een schadevergoeding te ontvangen voor de geleden schade.
De werknemer heeft dus een breed scala aan rechten ter bescherming van zijn privacy tot zijn beschikking. Het is de verantwoordelijkheid van de werkgever om de werknemers te wijzen op deze rechten, bijvoorbeeld in een privacybeleid of – statement.