Privacy. Rob Brouwer. T: +31 (0)

Transcriptie

1 Privacy Rob Brouwer T: +31 (0)

2 2

3 Privacy en de wet Wet persoonsregistratie 1989 Europese privacyrichtlijn 1995 Wet bescherming persoonsgegevens 2001 Algemene Verordening Gegevensbescherming 2016 AVG is per 25 mei 2018 van toepassing. 3

4 AVG Verval Wet Bescherming Persoonsgegevens Recht op inzage en recht op kopie Recht op informatie omtrent bewaren etc. Algemene informatiebrieven Documentatieplicht voor grote werkgevers PIA (Privacy Impact Assessment) 4

5 AVG Evt. functionaris voor de gegevensbescherming Regels voor verwerkers Hoge boetes. Tijger met tanden Meldplicht bij datalekken 5

6 Meldplicht datalekken 1 januari 2016 van kracht Beleidsregels AP 2016: ± meldingen Vooruitlopend op AVG 6

7 Datalek Een inbreuk op de beveiliging, die leidt tot de (aanzienlijke kans op) ernstige nadelige gevolgen voor de bescherming van persoonsgegevens 7

8 Checklist Is er sprake van verwerking van persoonsgegevens? Is uw onderneming verantwoordelijke? Is de Wbp van toepassing? Is dit een datalek? Is er sprake van een ernstig datalek? Moet u melden aan de AP en de betrokkene(n)? 8

9 Sancties schending meldplicht datalekken Boetebevoegdheid AP: max EUR of 10% van de netto jaaromzet Na bindende aanwijzing In sommige gevallen direct een boete (recidive, opzet, ernstige verwijtbaarheid) In sommige gevallen boete aan feitelijk leidinggevende of feitelijk opdrachtgever 9

10 Wat is een persoonsgegeven en wat niet? Persoonsgegevens: Elk gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon. Overleden personen? Organisaties/bedrijven? adres? BSN? Foto werknemer? Kenteken auto s geparkeerd op uw terrein? 10

11 Wat is verwerken? Verwerken: Alle handelingen die een organisatie kan uitvoeren met persoonsgegevens. Verwerken: De Wbp bepaalt dat een organisatie alleen persoonsgegevens mag verwerken als dat noodzakelijk is voor een bepaald doel. Niet (zomaar) voor ander doel gebruiken. Beveiliging. 11

12 Grondslag voor verwerking in het arbeidsrecht Verwerking gebaseerd op: uitvoering overeenkomst, nakoming wettelijke verplichting en gerechtvaardigd belang. Dus niet zozeer op toestemming, want gezagsrelatie werkgever/werknemer. Verwerking melden bij AP? Vrijstellingsbesluit Wbp Artikel 5: Sollicitanten Artikel 6: Arbeidsbemiddeling Artikel 7: Personeelsadministratie Artikel 8: Salarisadministratie Artikel 9: Uitkering bij ontslag Artikel 10: Pensioen en vervroegde uittreding 12

13 Wie is verantwoordelijke? Wat is een bewerker? Verantwoordelijke : degene die het doel en de middelen voor de verwerking van persoonsgegevens vaststelt werkgever. Bewerker : een persoon of organisatie aan wie de verantwoordelijke de gegevensverwerking heeft uitbesteed vb. externe salarisadministrateur. Een bewerker is niet zelfstandig verantwoordelijk voor de verwerking van de persoonsgegevens, maar heeft wel een aantal afgeleide verplichtingen (o.m. beveiliging en geheimhouding). Meldplicht datalekken. Bewerkersovereenkomst. 13

14 Sollicitanten Internetsearch U googelt een sollicitant en komt pikante foto s en informatie tegen. Mag u deze informatie gebruiken? 14

15 Sollicitanten Sollicitatiegesprek Een sollicitant is zwanger. Op uw vraag of zij zwanger is, antwoordt zij ontkennend. Mag dat? Medische keuring U wilt een sollicitant laten meewerken aan een medische keuring. Kunt u dat in alle gevallen van de sollicitant verwachten? 15

16 Sollicitanten Een sollicitant dient uit eigen beweging gegevens over ziekte of handicap te melden als die van belang zijn voor de functie, voor zover hij zelf kan weten dat deze belangrijk zijn voor de functie. Mogelijke sancties Verval aanspraak loondoorbetaling tijdens ziekte, Ontslag (op staande voet). 16

17 Sollicitanten Hoge Raad Gezien de psychologische situatie waarin de werknemer zich in een sollicitatiegesprek bevindt, en gezien de ingrijpende gevolgen van een ontslag op staande voet, kan het verzwijgen tijdens een sollicitatiegesprek van een kwaal waarover de werkgever geen daarop gerichte vragen heeft gesteld, alleen dan als dringende reden worden beschouwd indien de werknemer wist of had moeten begrijpen dat die kwaal hem ongeschikt maakte voor de betrekking waarnaar hij solliciteert. 17

18 Werknemer informeren De werkgever moet de werknemer informeren over dat er persoonsgegevens over hem of haar worden verwerkt, wie de verantwoordelijke is en voor welk doel of doeleinden de werkgever de gegevens verzamelt en verwerkt. Bij aanvang dienstverband of zodra het gaat spelen denk aan ziekte. Privacy-inbreuken moeten kenbaar zijn voor de werknemer. De werknemer heeft in beginsel een reasonable expectation of privacy. 18

19 Mogen gegevens verstrekt worden aan derden? Verstrekken aan derden mag, indien dat noodzakelijk is voor uitvoering van de arbeidsovereenkomst (denk aan: leasemaatschappij of Arbodienst). Verstrekking die niet noodzakelijk is, kan o.b.v. toestemming van de werknemer plaatsvinden. Let wel op: informeer de werknemer duidelijk over waarvoor toestemming wordt gevraagd en wat de gevolgen zijn. Toestemming in de arbeidsrelatie wordt namelijk niet snel aangenomen i.v.m. gezag/afhankelijkheid. Wettelijke plicht (denk aan fiscale wetgeving). 19

20 Controle op gedrag, prestaties en aanwezigheid Camera s Het plaatsen van camera s is toegestaan als het noodzakelijk is voor de behartiging van een gerechtvaardigd belang. Er is wel een privacytoets nodig: belangenafweging werkgever/werknemer. Beveiliging eigendommen, beschermen werknemers en klanten kunnen een gerechtvaardigd belang zijn. Stel altijd de vraag of het noodzakelijk is. Cameratoezicht dient kenbaar te zijn. Bewaartermijn in beginsel 4 weken of in geval van vastlegging incident tot incident is afgehandeld. 20

21 Controle op gedrag, prestaties en aanwezigheid Heimelijk cameratoezicht is strafbaar, tenzij het gebruik kenbaar is gemaakt. Maar, kenbaar maken dient het opsporingsbelang niet. Oplossing: met instemming OR beleid invoeren en in de organisatie kenbaar maken: in voorkomende gevallen kan werkgever gebruik maken van heimelijk cameratoezicht. Bijzondere omstandigheden. Tijdelijk. Privacy-inbreuk is dan groot; verborgen camera is laatste redmiddel. 21

22 Controle op gedrag, prestaties en aanwezigheid en internet Privatisering werkplek: de werknemer heeft in zekere mate recht op vertrouwelijke communicatie op de werkplek, zonder inmenging van de werkgever. Anderzijds is controle op en internetgebruik van werknemers toegestaan als: Werknemer is of kan op de hoogte zijn van controle, gerechtvaardigd doel werkgever, geen andere minder ingrijpende optie mogelijk. Waarnemen collega tijdens ziekte en vakantie. Advies: formuleer beleid en maak dit beleid kenbaar! Inzet detective 22

23 Rol OR Adviesrecht OR: Invoering of wijziging van een belangrijke technologische voorziening, art. 25 lid 1 k WOR. Instemmingsrecht OR: Privacyreglement Een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen, art. 27 lid 1 k WOR. Volg-/controle-/registratiesystemen Een regeling inzake voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestatie van de in de onderneming werkzame personen, art. 27 lid 1 l WOR. 23

24 Inzage- en correctierecht De werkgever is verplicht om de werknemer binnen vier weken inzake te geven in de gegevens die hij over hem of haar verwerkt. De werknemer kan de werkgever verzoeken zijn gegevens te corrigeren, in welk geval de werkgever tevens derden aan wie de werkgever eerder de (onjuiste) gegevens heeft verstrekt van de wijziging op de hoogte moet stellen. Recht van verzet De werknemer heeft een recht van verzet bij de grondslag gerechtvaardigd belang. Dit ziet bijvoorbeeld op het commercieel gebruik van de persoonsgegevens. 24

25 Sociale media Internetgebruik. De werknemen informeren over dat de werkgever kan controleren en de wijze waarop. Social media beleid. en internet protocol. Duidelijk beleid geeft opties. Hoofdregel: De werkgever moet aanvaarden dat de werknemer binnen grenzen tijdens werktijd privécontacten onderhoudt waarvan hij de privacy moet respecteren, tenzij schadelijk/storend voor het werk. 25

26 Sociale media Contractueel Werknemer beledigt werkgever grovelijk in Facebookbericht. Ontbinding? Karakter privébericht is betrekkelijk, nu collega s tot vriendenkring op Facebook behoren. Postcontractueel Oud-werknemer stuurt twitterberichten aan relatie exwerkgever. Overtreding relatiebeding? NB Hangt van de formulering van het beding af. 26

27 Bewaartermijnen De werkgever mag persoonsgegevens niet langer bewaren dan noodzakelijk is voor het doel waarvoor de werkgever de gegevens verzamelt of (verder) verwerkt. Algemeen geldt: Sollicitatiegegevens: 4 weken Personeelsdossier: 2 jaar Loonbelastingverklaring en ID-bewijs: 5 jaar Fiscaal relevante gegevens salarisadministratie: 7 jaar Algemene medische (Arbo) gegevens: 10 jaar 27

28 Hartelijk dank voor uw aandacht. Zijn er nog vragen? 28

29 Rob Brouwer T: +31 (0)