EUROPOL JOINT SUPERVISORY BODY

EUROPOL JOINT SUPERVISORY BODY Advies 12/05 van het Gemeenschappelijk Controleorgaan van Europol inzake de kennisgeving door Europol van een verwerkingsactiviteit: Werktijden//flexibele werktijden/overuren/stand-by/ploegendienst ('Flexitime') Het Gemeenschappelijk Controleorgaan van Europol (GCO) heeft de 'Flexitime'- kennisgeving onderzocht die Europol voor voorafgaande controle heeft ingediend zoals vereist op grond van artikel 28 en 30 van het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001. Het Gemeenschappelijk Controleorgaan heeft ook de volgende documenten met betrekking tot de verwerkingsactiviteit onderzocht: het formulier 'aanvraag flexitime' - EDOC#523936, de spreadsheetsjabloon 'individuele maandelijkse registratie van gewerkte uren' - EDOC#547667v10, en de spreadsheetsjabloon 'maandelijks saldo van gewerkte uren' - EDOC#547668. Bovendien is het besluit van de directeur over de werktijden, flexibele werktijden en overuren binnen Europol - EDOC#442783v35 - in aanmerking genomen. 1. Achtergrond Hoewel Europol deze verwerkingsactiviteit aanvankelijk niet beschouwde als een verwerkingsactiviteit voor 'voorafgaande controle' in de zin van artikel 30 van het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001, waren er bij de gegevensbeschermingsafdeling enkele punten van zorg ten aanzien van de vraag of de voorgestelde activiteit voldeed aan de vereisten voor gegevensbescherming, en wendde de afdeling zich tot het GCO voor advies. Op basis van de verstrekte documentatie was het GCO van mening dat vraag 8a van de kennisgeving, waar wordt gevraagd of bepaalde gevoelige gegevens (waaronder gezondheidsgerelateerde persoonsgegevens) worden verwerkt, niet met 'nee', maar met 'ja' zou moeten worden beantwoord. De reden hiervoor is dat via de flexitime-sheets die onderdeel zijn van de activiteit, persoonsgegevens over ziekteverlof en bijzonder verlof worden verzameld. Het GCO adviseert Europol derhalve de desbetreffende documenten voor voorafgaande controle te verstrekken. 1

2. Doel van de verwerkingsactiviteit Het doel van deze activiteit is: de werktijden van medewerkers te registreren teneinde te waarborgen dat deze in overeenstemming zijn met het statuut van de ambtenaren en de uitvoeringsbepalingen daarvan; medewerkers in staat te stellen het stelsel voor flexibele werktijden te gebruiken om tot een betere balans tussen werk en privéleven te komen; de berekening van de eventuele rechten op compensatie/uitbetaling wegens overuren van medewerkers te vergemakkelijken; de rechten van de stand-byvergoeding van medewerkers vast te stellen en het bedrag van die vergoeding te berekenen; en de rechten van werknemers op een toelage voor ploegendiensten vast te stellen. 3. Opmerkingen en aanbevelingen 3.1. Het kennisgevingsformulier Vraag 8a wordt met 'ja' beantwoord omdat als onderdeel van deze activiteit gezondheidsgerelateerde persoonsgegevens worden verzameld. Vraag 8b, waarin wordt gevraagd of persoonsgegevens worden verwerkt met de bedoeling persoonlijke aspecten betreffende de betrokkene, waaronder zijn of haar capaciteiten, efficiëntie en gedrag, te beoordelen, wordt met 'nee' beantwoord. Europol heeft aangegeven dat voor dergelijke beoordelingen andere procedures worden gebruikt. Het GCO wijst er met klem op dat, ook al is dit het geval, dit achteraf moet worden gecontroleerd (gebruik van logboeken en controle daarvan). Bij vraag 10, betreffende de rechtsgrondslag, worden de vele specifieke voorschriften genoemd waarop de verwerkingsactiviteit is gebaseerd. Hier zou echter ook moeten worden verwezen naar het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001, aangezien dat ook een toepasselijke rechtsgrondslag is. Bij vraag 14, over de categorieën opgeslagen gegevens, wordt aangegeven dat de 'naam' wordt opgeslagen. Verder worden hier de overige gegevens die worden verzameld via de documenten van de procedure, te weten: spreadsheet 'individuele maandelijkse registratie van gewerkte uren': afdeling, tijdelijke werknemer/contractant, rang, personeelsnummer, arbeidsuren, flexitime-uren/overuren, stand-by/ploegendienst/verlof, overgedragen saldo s en afwezigheid met toestemming; formulier voor het aanvragen van flexitime, als hierboven, maar met bovendien 'rechtvaardiging en redenen voor gebrek aan balans; spreadsheet 'maandelijks saldo van gewerkte uren': geen specificering. 2

In de individuele maandelijkse registratie van gewerkte uren wordt niet gevraagd naar de rang van de medewerkers. Dat gebeurt echter wel in het formulier voor het aanvragen van flexitime. Als de rang niet van invloed is op de regels voor flexitime, is voor dit proces geen informatie over de rang vereist en hoeft deze niet te worden verzameld via de sheet. Het maandelijkse saldo van gewerkte uren bevat geen specificeringen. Gegevens die via dit formulier worden verzameld, staan echter al in de gegevenscategorieën waarvan wordt gemeld dat ze worden verzameld voor de individuele maandelijkse registratie van gewerkte uren. Voeg het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening nr. (EG) 45/2001 toe aan de lijst van rechtsgrondslagen bij vraag 10 van het kennisgevingsformulier. Wijzig het kennisgevingsformulier zodanig dat duidelijk is dat bij de individuele maandelijkse registratie van gewerkte uren niet meer wordt gevraagd naar de rang van de medewerker. Geef aan of flexitimeregels verschillen afhankelijk van de rang van de medewerker. Als dat niet het geval is, verwijder dan het invulvakje voor rang van het formulier voor het aanvragen van flexitime en verwijder de verwijzing naar de verzameling van 'rang'-gegevens bij vraag 14 van het kennisgevingsformulier. Als de rang wel van invloed is op de flexitimeregels en het om die reden noodzakelijk is dat gegevens over de rang wordt verzameld, wijzig dan de kennisgeving zodanig dat hierin wordt vermeld dat dergelijke gegevens worden verzameld via het formulier voor het aanvragen van flexitime. 3.2. Individuele maandelijkse registratie van gewerkte uren Dit is een Excel-spreadsheet dat individuele medewerkers gebruiken om het dagelijkse aantal gewerkte uren, afwezigheid met toestemming, stand-by-/ploegendienst, flexisaldo, overuren en overgedragen saldo s vast te leggen. Zoals hierboven bij punt 3.1 vermeld, worden volgens het kennisgevingsformulier ook gegevens over de rang verzameld. In de spreadsheet wordt echter niet naar deze informatie gevraagd. Medewerkers drukken de ingevulde spreadsheets af, ondertekenen ze en sturen ze naar de administratie van hun afdeling. In de beginfasen van deze verwerkingsactiviteit waren de spreadsheets met individuele maandelijkse registraties van gewerkte uren gehecht aan de spreadsheet met het maandelijkse saldo van gewerkte uren van elke afdeling. Hierdoor kon de maandelijkse registratie van elke individuele medewerker worden gezien door iedereen van zijn afdeling. Deze praktijk was strijdig met de toepasselijke regels voor gegevensbescherming en was aanleiding tot diverse problemen, waaronder: De persoonlijke informatie die in de spreadsheets werd ingevoerd, kon worden gezien door een grotere groep mensen dan nodig: alleen de mensen die verantwoordelijk zijn voor controle, het verlenen van toestemming voor verlof, enz. (bijvoorbeeld afdelingshoofden, teammanagers, bevoegde mensen bij personeelszaken) zouden deze moeten kunnen zien Het risico is groot dat gegevens worden veranderd door mensen die de verkeerde cellen invullen (Excel is hier berucht om). 3

Als medewerkers de sheets konden opslaan op hun pc's, zouden ze waarschijnlijk de sheets van de hele afdeling opslaan (en mogelijk voor onbepaalde tijd). Een ander probleem met de spreadsheet voor de individuele maandelijkse registratie van gewerkte uren, zoals deze aanvankelijk was opgezet, was dat er een blauw gemarkeerde kolom in was opgenomen voor 'afwezigheid, bijzonder verlof of ziekteverlof'. Er was ook een kolom 'opmerkingen', waarin werd gevraagd om 'alle informatie die van belang is voor de registratie van werktijden, in het bijzonder met betrekking tot de in de blauwe kolommen ingevoerde gegevens.' Bij gebruik van de opzet van één bestand per afdeling in plaats van per individuele werknemer, zou dit kunnen betekenen dat medewerkers van de hele afdeling informatie over redenen voor ziekteverlof konden lezen. Hoewel Europol heeft uitgelegd dat het niet de bedoeling was om hier bijzonderheden over redenen voor ziekteverlof te verzamelen, omdat dit via een andere procedure verliep, zouden de instructies die in de spreadsheet werden gegeven, voor sommige medewerkers aanleiding kunnen zijn geweest om dergelijke bijzonderheden daar te noteren. Sommige afdelingen splitsten de spreadsheet voor de afdeling op in individuele spreadsheets, om te voorkomen dat de hele afdeling toegang zou hebben tot persoonsgegevens van de medewerkers. Na enige tijd werd een herziene versie van de spreadsheet uitgebracht. De spreadsheet voor individuele registratie van gewerkte uren is nu één apart bestand voor elke medewerker. Hiermee zijn veel van de problemen van de oorspronkelijke opzet, zoals hierboven beschreven, weggenomen. De individuele sheets zijn sinds 1 augustus 2011 in gebruik. Op 17 oktober 2011 liet Europol echter weten dat analisten die werken op de afdeling Operaties om technische redenen, die werden omschreven als 'incompatibiliteit tussen de documentbeheersystemen van Administratie en Operaties', voorlopig nog niet met de individuele sheets werken. Europol stelde voor dat als tijdelijke oplossing medewerkers hun individuele sheets misschien op hun privéschijf zouden opslaan en deze aan het eind van de maand naar de administratie van hun afdeling zouden sturen voor opname in het documentbeheersysteem. Europol meldt dat zijn afdeling personeelszaken van alle afdelingen individuele sheets met gewerkte uren ontvangt. Dit wijst erop dat de praktijk van het gebruik van individuele sheets in plaats van spreadsheets per afdeling met succes is ingevoerd. Europol geeft echter ook aan dat zijn afdeling personeelszaken niet controleert hoe afdelingen in de praktijk hun sheets compileren, aangezien personeelszaken alleen aan het einde van elke maand slechts een gescande kopie ontvangt. De herziene spreadsheet bevat een kolom waar gegevens kunnen worden ingevoerd over het aantal opgenomen uren vakantieverlof, ziekteverlof en bijzonder verlof (in de kennisgeving aangeduid als toegestane afwezigheid). Deze kolom is blauw gekleurd, net als diverse andere kolommen, waaronder die voor overuren, dienstreizen, enz. Net als in de eerste versie van de spreadsheet is er een kolom 'opmerkingen', waarin wordt gevraagd om 'algemene informatie die van belang is voor de registratie van de werkuren, met name met betrekking tot de gegevens die zijn ingevuld in de blauwe kolommen'. De gegevens die men daar ingevuld wil hebben, zijn eenvoudigweg referentienummers van documenten die de gevallen van afwezigheid onderbouwen. Er is in duidelijke, rode letters een extra instructie toegevoegd aan de kolom 'opmerkingen'. Deze luidt 'vermeld hier geen details over bijzonder verlof of ziekteverlof'. Dit helpt voorkomen dat medewerkers gevoelige persoonsgegevens op de 4

sheet invullen. De gegevens over ziekteverlof of bijzonder verlof in deze procedure zou op deze manier dus beperkt moeten blijven tot het aantal opgenomen dagen/uren. Het kennisgevingsformulier bevat een juiste weergave van de verzamelde gezondheidsgerelateerde gegevens bij vraag 8a (zoals hierboven genoemd onder 3.1) en bij vraag 16, die betrekking heeft op gevoelige gegevens. Europol beschrijft de verzamelde gegevens hier als 'gegevens met betrekking tot de gezondheid van de betrokkene strikt beperkt tot gegevens over de status van de ziekte, zonder vertrouwelijke informatie met een diagnose van de gezondheidstoestand van de betrokkene'. In de spreadsheet is gespecificeerd dat in het veld 'opmerkingen' geen bijzonderheden moeten worden verstrekt over bijzonder verlof of ziekteverlof. Wijzig, zoals aanbevolen onder 3.1, het kennisgevingsformulier zodanig dat duidelijk is dat bij de individuele maandelijkse registratie van gewerkte uren niet meer wordt gevraagd naar de rang van de medewerker. Implementeer de vereiste technische oplossingen om alle medewerkers in staat te stellen de spreadsheet voor individuele maandelijkse registratie van de gewerkte uren te gebruiken zoals de bedoeling is (d.w.z. één spreadsheet voor elke individuele medewerker, niet aangehecht aan een groepsspreadsheet voor een hele afdeling). Zorg er, zolang dat niet het geval is, voor dat medewerkers die de individuele sheets niet op deze manier kunnen gebruiken, een individuele spreadsheet opslaan op hun privéschijf en deze aan het eind van de maand opsturen naar de administratie van hun afdeling voor opname in het documentbeheersysteem. 3.3. Maandelijks saldo van gewerkte uren Dit is een Excel-spreadsheet die wordt gebruikt door afdelingshoofden. De ingevulde sheets bevatten de volgende gegevens voor de medewerkers van elk afdelingshoofd, zoals verstrekt via de individuele maandelijkse registratie van gewerkte uren: naam, persoonlijk identificatienummer, verrichte stand-bydiensten, flexitimestelsel, parttime werkuren, maandelijkse credit/debet en gewerkte uren. Er is ook een kolom voor opmerkingen over het overzicht van werkuren, met name wanneer een overdracht van meer dan 16 uur is goedgekeurd. Deze sheet moet maandelijks worden gevuld met de gegevens van elke medewerker, worden ondertekend door het afdelingshoofd en de adjunct-directeur en vervolgens worden gescand en naar de afdeling personeelszaken worden gestuurd. Het GCO is van oordeel dat dit document geen problemen oplevert ten aanzien van de naleving van de regels voor gegevensbescherming. 3.4. Verzoek tot flexitime (goedkeuring afdelingshoofd/lijnmanager) Dit is een formulier dat bedoeld is voor het aanvragen van flexiverlof (afwezigheid tijdens kernuren, compensatieverlof, creditoverdracht van meer dan 16 uur). Medewerkers voeren de volgende gegevens in: naam, persoonlijk identificatienummer, rang, werksysteem, flexitimecredit, soort verlof dat wordt aangevraagd (aanvinkvakje), aantal verlofuren/dagen dat die maand al is opgenomen, aangevraagde dagen/uren verlof met redenen (met name wanneer alle verloftijd al is opgenomen), en redenen voor 5

overdracht van meer dan 16 uur. De ingevulde formulieren worden opgeslagen in het administratiekantoor van elke afdeling. Zoals hiervoor onder 3.1 is aangegeven, wordt in het formulier voor het aanvragen van flexitime gevraagd naar de rang van de medewerker. Als de rang niet van invloed is op de regels voor flexitime, is voor dit proces geen informatie over de rang vereist en hoeft deze niet te worden verzameld via het aanvraagformulier. Het GCO is van mening dat het formulier, met uitzondering van de kwestie van de rangen, voldoet aan de toepasselijke regels voor gegevensbescherming. De aanbevelingen onder 3.1 over de 'rang', gelden ook hier: Geef aan of flexitimeregels verschillen afhankelijk van de rang van de medewerker. Als dat niet het geval is, verwijder dan het invulvakje voor rang van het formulier voor het aanvragen van flexitime en verwijder de verwijzing naar de verzameling van 'rang'-gegevens bij vraag 14 van het kennisgevingsformulier. Als de flexitimeregels wel verschillen afhankelijk van de rang en het om die reden noodzakelijk is dat gegevens over de rang wordt verzameld, wijzig dan de kennisgeving zodanig dat hierin wordt vermeld dat dergelijke gegevens worden verzameld via het formulier voor het aanvragen van flexitime. 4. Privacyverklaringen Elk van de drie documenten die onder 3.2-3.4 zijn behandeld, bevat een privacyverklaring. De privacyverklaringen zijn duidelijk en beknopt en bevatten bijna alle informatie die aan betrokkenen moet worden verstrekt volgens de toepasselijke voorschriften voor gegevensbescherming, op twee uitzonderingen na. In de eerste plaats wordt niet verwezen naar het feit dat het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001 een toepasselijke rechtsgrondslag is. In de tweede plaats wordt in de privacyverklaringen wel duidelijk gemaakt dat beantwoording van alle 'vragen' verplicht is, maar moet op grond van artikel 14, lid 7, van het Besluit van de directeur over de werktijden, flexitime en overuren bij Europol ook informatie worden gegeven over het 'verplichte karakter van de indiening van sheets met gewerkte uren en de gevolgen van het niet indienen van de sheets' (waar van toepassing). Dit wordt ook geëist in artikel 12, lid 1, onder d, van het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001. Zorg ervoor dat de privacyverklaringen die zijn gehecht aan het formulier 'flexitime-aanvraag' (goedkeuring afdelingshoofd/lijnmanager), de spreadsheetsjabloon 'individuele maandelijkse registratie van gewerkte uren' en de spreadsheetsjabloon 'maandelijks saldo van gewerkte uren': 6

1. duidelijk vermelden dat het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001 een toepasselijke rechtsgrondslag vormt; en 2. informatie bevatten over het 'verplichte karakter van de indiening van sheets met gewerkte uren en de gevolgen van het niet indienen van de sheets' zoals vereist in artikel 14, lid 7, van het Besluit van de directeur over de werktijden, flexitime en overuren bij Europol en artikel 12, lid 1, onder d, van het Besluit van de directeur tot tenuitvoerlegging van de beginselen van Verordening (EG) nr. 45/2001, waar van toepassing. 5. Conclusie Het GCO verzoekt Europol om binnen twee maanden na de datum van dit advies zijn opmerkingen daarover te sturen en in het bijzonder aan te tonen dat de aanbevelingen zijn doorgevoerd. Brussel, 4 januari 2012 Isabel Cruz Voorzitster, Gemeenschappelijk Controleorgaan van Europol (Ondertekend door de secretaris gegevensbescherming) 7