Privacyrecht; haken en ogen aan toestemming verwerking persoonsgegevens
Werkgevers verwerken voor allerlei doeleinden persoonsgegevens van hun werknemers. Dit moet gebeuren met inachtneming van de Wet bescherming persoonsgegevens [Wbp]. Een van de grondslagen voor de verwerking van persoonsgegevens met inachtneming van de Wbp is dat de betrokken werknemer voor de verwerking van de persoonsgegevens zijn of haar ondubbelzinnige toestemming verleent.
Vaak wordt in [aanvulling op] de arbeidsovereenkomst een bepaling opgenomen dat de werknemer aan de werkgever ondubbelzinnig toestemming geeft om zijn persoonsgegevens te verwerken in het kader van de arbeidsverhouding. Het is echter nog maar de vraag of daarmee aan het privacyrecht wordt voldaan. De toestemming moet volgens de memorie van toelichting bij de Wbp aan drie eisen voldoen:
- De betrokkene moet zijn wil met betrekking tot de gegevensverwerking in vrijheid kunnen uiten en ook daadwerkelijk hebben geuit;
- De wilsuiting moet betrekking hebben op een bepaalde gegevensverwerking of een beperkte categorie van gegevensverwerkingen;
- Er moet sprake zijn van wat men noemt “informed consent”.
In de [aankomende] relatie werknemer-werkgever staat een [potentiële]gezagverhouding die met zich meebrengt dat het wellicht twijfelachtig is of van een vrije wilsuiting sprake is wanneer een werknemer [of iemand die graag in dienst treedt bij de werkgever], zich genoodzaakt ziet om toestemming te verlenen. Een situatie van ondergeschiktheid kan reden vormen om aan te nemen dat een toestemming niet in vrijheid is verleend. Verder, naast het gegeven dat een stilzwijgende of impliciete toestemming nimmer volstaat, geldt de voorwaarde van “informed consent”. Dit betekent dat de betrokkene op voldoende en op een begrijpelijke manier moet worden geïnformeerd over de gegevensverwerking. Verder tot slot, er moet sprake zijn van een“ondubbelzinnige” toestemming. Dit betekent dat de verantwoordelijke [werkgever] er voor moet zorgen dat elke twijfel over de vraag of en waarvoor de betrokkene zijn toestemming heeft gegeven, bij betrokkene moet zijn uitgesloten.
Wanneer dus in een arbeidsverhouding wordt gekozen om de persoonsgegevens van een werknemer op basis van ondubbelzinnige toestemming te verwerken, moet de werkgever zich ervan bewust zijn dat wanneer de toestemming niet voldoet aan de hiervoor omschreven eisen, deze toestemming nietig is. Verder moet de werkgever zich realiseren dat een geldige toestemming te allen tijde door de werknemer kan worden ingetrokken. Als dat gebeurt mag een werkgever zich niet alsnog op een van de andere rechtvaardigingsgronden die in de Wbp zijn vermeld, beroepen om er zo voor te zorgen dat men met de gegevensverwerking kan doorgaan.
De werkgever doet er derhalve goed aan om de gegevensverwerkingen binnen de organisatie zoveel als mogelijk op andere grondslagen van de Wbp [zie artikel 8 van de wet] te baseren dan die van de ondubbelzinnige toestemming. Dit ook nu de Europese Commissie inmiddels in een pakket voorstellen tot hervorming van de privacyregels onder meer heeft opgenomen dat toestemming geen rechtsgrondslag voor de verwerking van persoonsgegevens kan zijn indien sprake is van een duidelijke onevenwichtigheid in verhouding tussen de betrokkene en de verantwoordelijke. Expliciet wordt aangegeven dat dit het geval is als persoonsgegevens van een werknemer door een werkgever worden verwerkt. Kortom, ook met het oog op toekomstige privacyregels op Europees niveau, doet u er als werkgever goed aan zoveel als mogelijk de verwerking van persoonsgegevens niet op de ondubbelzinnige toestemming van de werknemer te baseren maar een van de andere in artikel 8 van de Wbp limitatief opgesomde grondslagen te gebruiken.
