Privacy op de werkvloer. 22 maart 2018 / Emiel de Joode / Marta Stephanian

Transcriptie

1 Privacy op de werkvloer 22 maart 2018 / Emiel de Joode / Marta Stephanian

2 Programma Introductie Privacy op de werkvloer Enkele thema s: Aangaan arbeidsovereenkomst Ziekmelding Internet, , social media Cameratoezicht Afronding

3 Privacywetgeving in NL Wbp Wet meldplicht datalekken (1 januari 2016) AVG 25 mei 2016 en 25 mei 2018 Uitvoeringswet AVG

4 Kernbegrippen AVG Persoonsgegevens Verwerking Verwerkingsverantwoordelijke Verwerkingsgrondslag Gerechtvaardigde doeleinden

5 Beginselen inzake gegevensverwerking Rechtmatigheid, behoorlijkheid en transparantie Doelbinding Voor welbepaalde en uitdrukkelijk omschreven en welbepaalde doeleinden & geen verwerking die onverenigbaar is met die doeleinden Evenredigheid / minimale gegevensverwerking Zorgvuldigheid Opslagbeperking Integriteit en vertrouwelijkheid Verantwoordingsplicht Kunnen aantonen dat je je aan de wet houdt!

6 Kahoot! kahoot.it

7 Waar raakt privacy HRM? Personeelsadministratie; Salarisadministratie; Ziekteverzuim en re-integratie; Personeelsvolgsystemen (o.a. cameratoezicht); (Controle op) gebruik van , internet en andere communicatiemiddelen; Verstrekking en verlies van auto, telefoon, laptop, creditcard, toegangspas, tankpas, USB-stick, dossiers etc.; Opnemen van telefoongesprekken; Pensioen en verzekeringen; Wangedrag in de privésfeer; Medische keuringen; Klokkenluiders; Online screening sollicitanten; Bedrijfsrecherche; Bring your own device ; Loonbeslag; Etc. 7

8 Verwerkingsgrondslagen 1. Toestemming; 2. Noodzakelijk voor uitvoering overeenkomst; 3. Noodzakelijk om te voldoen aan wettelijke verplichting; 4. Noodzakelijk om de vitale belangen te beschermen; 5. Noodzakelijk voor de vervulling van een publiekrechtelijke taak; 6. Noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke (mits de grondrechten/fundamentele vrijheden van de betrokkene niet zwaarder wegen)

9 Bijzondere persoonsgegevens 1. Ras of etnische afkomst 2. Politieke opvattingen 3. Religieuze overtuigingen 4. Lidmaatschap van een vakbond 5. Genetische gegevens 6. Biometrische gegevens 7. Gezondheidsgegevens 8. Strafrechtelijke gegevens 9. Gegevens met betrekking tot iemands seksueel gedrag of voorkeur. Uitgangspunt: verboden, tenzij grondslag voor de verwerking aanwezig én aan bepaalde voorwaarden is voldaan. Voorwaarden verschillen per categorie, maar in de meeste gevallen is uitdrukkelijke toestemming voldoende.

10 Thema 1: aangaan arbeidsovereenkomst Aanvang verwerking persoonsgegevens Doelbinding: noodzakelijke gegevens Grondslag: arbeidsovereenkomst Ten behoeve van activiteiten, zoals personeelsadministratie, salarisverwerking Wie is er vanuit werkgever bevoegd om de persoonsgegevens te verwerken? Worden er derde partijen ingeschakeld voor de verwerking?

11 Thema 1: aangaan arbeidsovereenkomst Rechten betrokkenen (werknemers) op basis van de AVG: Informatie Inzage Rectificatie Vergetelheid Beperking van de verwerking Bezwaar maken

12 Thema 1: aangaan arbeidsovereenkomst Acties werkgever vereist in verband met de AVG: Informatieverstrekking bij start verwerking persoonsgegevens Personeelsprotocol (doeleinden verwerking, bewaartermijnen, andere rechten van de betrokkenen Indien derden worden ingeschakeld: verwerkersovereenkomst

13 Thema 2: zieke werknemer Medische gegevens zijn bijzondere persoonsgegevens Verwerking medische gegevens niet toegestaan, tenzij Slechts beperkte uitzonderingen toestemming werknemer? Noodzakelijkheidsvereiste beperkt verwerking medische gegevens door werkgever Medisch beroepsgeheim bedrijfsarts! Beleidsregels AP: relatie werkgever zieke werknemer; relatie werkgever bedrijfsarts; relatie werknemer bedrijfsarts; taak en rol

14 Thema 2: zieke werknemer Medische gegevens zijn bijzondere persoonsgegevens Beleidsregels AP: Werkgever mag bij ziekmelding alleen vragen: Tel. nummer en verpleegadres Vermoedelijke duur van verzuim Lopende afspraken en werkzaamheden Vangnetbepaling ZW Verband met arbeidsongeval Sprake van een verkeersongeval

15 Thema 2: zieke werknemer Medische gegevens zijn bijzondere persoonsgegevens Ook bedrijfsarts mag slechts beperkte informatie aan werkgever verschaffen: Tot welk werk is de werknemer nog in staat Verwachte duur van het verzuim Mate van arbeidsongeschiktheid Eventuele adviezen over aanpassingen, werkvoorzieningen, etc. in het kader van de re-integratie

16 Thema 2: zieke werknemer Medische gegevens zijn bijzondere persoonsgegevens Digitale verzuimsystemen Organisatorische en technische maatregelen ter beperking van veiligheidsrisico s, zoals: Autorisaties van gebruikers moeten zodanig zijn ingesteld dat personen die geen medische gegevens mogen verwerken ook geen toegang hebben, systeembeheerder incluis; Werkgever heeft alleen toegang tot die gegevens noodzakelijk voor begeleiding zieke werknemer; Het dient onmogelijk te zijn voor werkgever om rapportages met medische gegevens uit te draaien;

17 Thema 2: zieke werknemer Acties werkgever vereist in verband met AVG Verzuimprotocol met daarin onder meer informatie over: Welke persoonsgegevens worden verwerkt bij een ziekmelding; Wijze waarop medische gegevens worden verwerkt; Aan wie werkgever de persoonsgegevens verstrekt in het kader van de ziekmelding en reintegratie; Informatievoorziening door de bedrijfsarts; Beveiliging van (medisch) dossier Afspraken met derden (bedrijfsarts, verzuimverzekeraar, re-integratiebedrijf) over verwerking (medische) persoonsgegevens

18 Thema 3: internet, en social media Monitoren van internet, en social media gebruik van werknemers Privé gebruik van , internet en social media op het werk valt in beginsel onder begrip Private life op basis van art. 8 EVRM. Is controle van privégebruik toegestaan? Steekproefsgewijs Gerechtvaardigd belang Geen andere minder vergaande manieren Geen controle vertrouwelijke informatie En vooral belangrijk Informeren van personeel!

19 Thema 3: internet, en social media Monitoren van internet, en social media gebruik van werknemers EHRM 5 september 2017 (Barbulescu): privé gebruik van zakelijke Vooraf informeren dat controle mogelijk is Inclusief de doeleinden, aard en reikwijdte van de monitoring Alleen als minder verstrekkende middelen niet mogelijk zijn Personeelsvolgsysteem is onderhevig aan instemming OR Acties werkgever in verband met AVG: Zorg voor een goed internet, , social media protocol Inclusief mogelijkheid van heimelijke controle (bij specifiek vermoeden)

20 Thema 4: Cameratoezicht Cameratoezicht Uit oogpunt van veiligheid, bescherming van personen en eigendommen Gerechtvaardigd belang Toezicht moet noodzakelijk zijn Inbreuk op de privacy dient zo gering mogelijk te zijn (werknemers komen in beeld) Werkgever moet werknemers informeren over het cameratoezicht OR

21 Thema 4: Cameratoezicht Verborgen cameratoezicht Redelijke verdenking van een misstand of strafbaar feit Er kan niet met minder ingrijpende maatregelen een einde aan de misstand worden gemaakt Het verborgen cameratoezicht is van tijdelijke duur Er is een protocol waarin staat dat in bepaalde situaties, zoals fraude of diefstal, verborgen cameratoezicht mogelijk is Werknemers worden achteraf over het verborgen cameratoezicht geïnformeerd EHRM 9 januari 2018 (Lopez Ribalda Spain)

22 Onrechtmatige verwerking Controle , internet en verborgen cameratoezicht vaak in verband met misdragingen werknemer Verwerking in strijd met wet- en regelgeving / art. 8 EVRM Onrechtmatig verkregen bewijs (Barbulescu / Lopez Ribalda) Uitsluiting van bewijs? Billijke vergoeding / Schadevergoeding? Nieuwe rechten voor betrokkenen in AVG: Klacht indienen bij AP (art. 77) Instellen doeltreffende voorziening bij de rechter (art. 79) Collectieve actie (art. 80) Schadevergoeding van verantwoordelijke of verwerker (art. 82)

23 Transparantie en accountability Heeft u. vastgelegd welke persoonsgegevens u over uw werknemers verwerkt? vastgelegd voor welke doeleinden u persoonsgegevens over uw werknemers verwerkt? vastgelegd hoe lang u diverse persoonsgegevens zult bewaren? uw personeelsdossiers voldoende beveiligd? voldaan aan uw verplichting om uw werknemers over verwerking te informeren? uw werknemers geattendeerd op hun rechten uit hoofde van de AVG? vastgelegd hoe uw werknemers hun rechten kunnen inroepen? met alle betrokken verwerkers een verwerkersovereenkomst gesloten? Kortom: is uw personeelsadministratie AVG-proof?

24 Verwerking van persoonsgegevens op de werkvloer in kaart gebracht Welke documenten en protocollen moeten AVG-proof worden gemaakt? Model-arbeidsovereenkomst; Protocol personeelsdossier; Ziekteverzuimprotocol; - internet en social media protocol; Cameratoezichtprotocol; Autoregelingen (tracking devices); Protocol datalekken; Bring your own device Andere personeelsvolgsystemen Etc.

25 Bedankt voor uw aandacht!