PRIVACY OP DE WERKVLOER Een onderzoek naar de privacy van de werknemer: heeft de AVG een verandering veroorzaakt op het gebied van privacy voor de

(1)

Faculteit der Rechtsgeleerdheid MASTERSCRIPTIE ARBEIDSRECHT

PRIVACY OP DE WERKVLOER

Een onderzoek naar de privacy van de werknemer: heeft de AVG een verandering veroorzaakt op het gebied van privacy voor de sollicitant, de werknemer en de ex-werknemer met betrekking tot het monitoren van e-mail-, internet-, social media- en telefoongebruik door

de werkgever?

Naam: Aimée Peterse

E-mailadres: aimeepeterse@hotmail.com Studentnummer: 11989874

Mastertrack: Privaatrecht (privaatrechtelijke track) Scriptiebegeleider: Mw. Dr. I. (Ilse) Zaal

(2)

1 Abstract

Privacy op de werkvloer is een hot topic. In de arbeidsrelatie staat het recht op privacy van de werknemer op gespannen voet met de wens van de werkgever om ongewenst gedrag op de werkvloer op te sporen. De werkgever kan dit gedrag opsporen door werknemers te monitoren in hun e-mail-, internet-, telefoon- en social mediagebruik. Op 28 mei 2018 is de Algemene verordening gegevensbescherming (de AVG) in werking getreden, welke tot doel heeft om de vele verwerkingen van persoonsgegevens aan banden te leggen. Een jaar na de inwerkingtreding maak ik de balans op: heeft de AVG iets veranderd in de privacypositie van de sollicitant, de werknemer en de ex-werknemer? In het onderzoek ga ik in op de verschillende grondslagen van het recht op privacy en bekijk ik op welke grondslag de werknemer het beste een beroep kan doen. Vervolgens zet ik de verschillende werknemersstatussen uiteen, waarbij ik per status de monitormogelijkheden van het telefoon-, internet-, e-mailen social mediagebruik analyseer. De analyse heb ik verduidelijkt door in elk hoofdstuk een casus te schetsen en deze vervolgens te beantwoorden aan de hand van relevante literatuur en jurisprudentie. Ook bespreek ik in ieder hoofdstuk de opties om op te komen tegen eventuele privacyschendingen. Mijns inziens is de privacypositie van de sollicitant gematigd verbeterd, omdat de Autoriteit Persoonsgegevens (de AP) duidelijke richtlijnen in lijn met de AVG omtrent solliciteren heeft opgesteld. Selectie door middel van algoritmes is echter een zorgelijke ontwikkeling op dit gebied. De privacypositie van de werknemer is niet veranderd. Dit wordt veroorzaakt door het ontbreken van succesvolle beroepen op de Wbp of AVG door werknemers, het missen van daadkrachtige handhaving van de AP en de omgang met onrechtmatig verkregen bewijs in de civiele procedure. Onrechtmatig verkregen bewijs wordt slechts uitgesloten van de procedure als sprake is van bijkomende omstandigheden. Dit geeft een werkgever de ruimte om te monitoren, evenwel onrechtmatig, zonder dat hier consequenties aan verbonden zijn. Dit zorgt naar mijn mening voor een beperking van de invloed van de AVG op de privacypositie van de werknemer. Ook de privacypositie van de ex-werknemer is niet veranderd. In dit stadium heeft de werkgever echter het minst snel een gerechtvaardigd belang om te monitoren. Al met al heeft de AVG weinig veranderd voor de privacypositie van de werknemer, terwijl de technologische middelen om werknemers te volgen alleen maar zullen groeien. Het initiatief tot verandering ligt naar mijn mening bij de rechter en de AP, die richtlijnen moeten geven over het onrechtmatig verkregen bewijs, werknemers meer moeten beschermen en de werkgevers strenger moeten straffen voor privacyschendingen in de arbeidsrelatie.

(3)

2 Inhoudsopgave

Hoofdstuk 1. Inleiding ... 4

1.1. Aanleiding van het onderzoek ... 4

1.2. Onderzoeksvraag ... 5

1.3. Leeswijzer ... 5

1.4. Methodologische verantwoording ... 5

Hoofdstuk 2. Het juridisch kader ... 6

2.1. De definitie, reikwijdte en werking van het recht op privacy ... 6

2.2. Artikel 17 IVBPR ... 8

2.3. Artikel 8 EVRM ... 8

2.4. Artikel 10 Grondwet... 10

2.5. Europese regelgeving en nationale uitvoeringswetten ... 12

2.5.1. De Privacyrichtlijn en de Wet bescherming persoonsgegevens ... 12

2.5.2. De Algemene verordening gegevensbescherming ... 13

2.5.2.1. Werkingssfeer ... 13

2.5.2.2. Rechten van de werknemer ... 16

2.5.2.3. Handhaving ... 17

2.6. Op welke grondslag kan de werknemer het beste een beroep doen? ... 17

Hoofdstuk 3. De sollicitatiefase en de AVG ... 20

3.1. Sollicitatiefase – casus ... 20

3.2. Sollicitatiefase – algemeen ... 20

3.3. Werving & selectie ... 21

3.4. Social media ... 22

3.5. Rechten en plichten tijdens de sollicitatieprocedure ... 23

3.6. Bespreking van de casus ... 24

3.7. Mogelijkheden voor de sollicitant bij privacyschending ... 24

Hoofdstuk 4. Monitoren tijdens dienstverband en de AVG ... 26

4.1. Monitoren tijdens het dienstverband – casus ... 26

4.2. Monitoren tijdens het dienstverband – algemeen ... 27

4.3. Monitoren van telefoongebruik ... 28

4.4. Monitoren van e-mailen internetgebruik ... 30

4.5. Monitoren van social media-gebruik... 32

(4)

3

4.8. Mogelijkheden voor de werknemer bij privacyschending ... 38

Hoofdstuk 5. Monitoren na afloop van het dienstverband en de AVG ... 40

5.1. Monitoren na afloop van het dienstverband – casus ... 40

5.2. Monitoren na afloop van het dienstverband – algemeen... 40

5.4. Mogelijkheden voor de ex-werknemer bij privacyschending ... 43

Hoofdstuk 6. Conclusie ... 44

(5)

4 Hoofdstuk 1. Inleiding

1.1. Aanleiding van het onderzoek

Op 25 mei 2018 is de Wet bescherming persoonsgegevens vervangen door de Algemene verordening gegevensbescherming (hierna: AVG). Deze nieuwe regelgeving geldt binnen de hele Europese Unie en heeft veel aandacht gevestigd op het recht op privacy.1 In deze moderne tijd met oneindig veel technologische mogelijkheden is privacy een belangrijker thema dan ooit. Het doel van de verordening is om de verwerking van grote hoeveelheden persoonsgegevens aan banden te leggen.2 De AVG is onder andere van toepassing op de arbeidsrelatie. Men staat er misschien niet zo bij stil, maar het onderhouden van contacten met collega’s, het weigeren van een bloedtest, het plannen van een vakantie onder werktijd of het sturen van privémailtjes of appjes met de werktelefoon zijn allemaal voorbeelden van privéaangelegenheden die werknemers op de werkvloer ondernemen.3

In de Europese en nationale rechtspraak is bepaald dat de werknemer ook recht op privacy heeft op de werkvloer.4 Privacy op de werkvloer is echter een paradoxaal begrip, omdat de werkplek bij uitstek niet een plaats is om met rust gelaten te worden.5 De werkgever kan veel activiteiten van de werknemer volgen en controleren door te monitoren en hiermee wangedrag van werknemers opsporen en verhelpen.6 Bijvoorbeeld als de werkgever bang is dat bedrijfsgeheimen naar buiten worden gebracht of omdat er sprake is van buitensporig internetgebruik.7 Alle activiteiten van werknemers op de computer of mobile devices kunnen gevolgd worden, zoals het internetgebruik, e-mailverkeer, gebruik van de werktelefoon of activiteiten op social media.8 Veel werkgevers hangen verborgen camera’s op om diefstal op te sporen.9 Ook worden sollicitanten vaak gecheckt op Facebook of LinkedIn.10 De grens

1

E. Itisman, Angst voor privacywet AVG blijkt ongegrond, 31 januari 2018, https://fd.nl/achtergrond/1286970/angst-voor-privacywet-avg-blijkt-ongegrond.

2_{Paragraaf 3 van de preambule van de AVG} 3

S. Hulsen, Wanneer mag je werkgever in je mail-, chat- of internetverkeer kijken?, 19 april 2019,

https://www.nu.nl/werk/5852652/wanneer-mag-je-werkgever-in-je-mail-chat-of-internetverkeer-kijken.html.

4_{EHRM 16 december 1992, ECLI:NL:XX:1992:AD1800, m.nt. E.J. Dommering (Niemietz t. Duitsland); HR 27}

april 2001, ECLI:NL:HR:2001:AB1347, m.nt. E. Verhulp (Wennekes Lederwaren).

5

P.F. van der Heijden, Privacy op de werkplek, ’s-Gravenhage: SDU Juridische & Fiscale Uitgeverij 1992, p. 14.

6_{J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer: Kluwer 2007, p. 193.} 7_{S. Hulsen, Wanneer mag je werkgever in je mail-, chat- of internetverkeer kijken?, 19 april 2019,}

https://www.nu.nl/werk/5852652/wanneer-mag-je-werkgever-in-je-mail-chat-of-internetverkeer-kijken.html.

8

A. Arnbak, Ook op de werkplek staat privacy onder druk, 20 maart 2019, https://fd.nl/opinie/1293981/ook-op-de-werkplek-staat-privacy-onder-druk-en-verwachten-werkgevers-te-veel-van-surveillance.

9_{https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/cameratoezicht/cameratoezicht-op-de-werkplek.} 10

C. Don, Sollicitant ‘checken’ mag niet meer, 1 augustus 2017,

(6)

5

tussen werk en privé wordt steeds vager, omdat werknemers niet alleen voor zakelijke, maar ook voor privédoelen mailen en internetten.11 Daarbij vragen werkgevers vaak aan werknemers om een eigen apparaat (“Bring Your Own Device”) mee te nemen.12 Privégegevens worden dan opgeslagen op hetzelfde apparaat als waar de bedrijfsgevoelige informatie op staat.13 De AVG trad op 25 mei 2019 een jaar geleden in werking en dit lijkt mij een uitgelezen moment om de balans op te maken: waar liggen de grenzen omtrent monitoren en zijn deze door de komst van de AVG versterkt?

1.2. Onderzoeksvraag

Mijn onderzoeksvraag luidt dan ook: Heeft de AVG een verandering veroorzaakt op het gebied van privacy voor de sollicitant, de werknemer en de ex-werknemer met betrekking tot het monitoren van e-mail-, internet-, social media- en telefoongebruik door de werkgever?

1.3. Leeswijzer

In hoofdstuk 2 breng ik het recht op privacy van de werknemer in kaart en zet ik de relevante wettelijke grondslagen uiteen. Ik bespreek kort de Wbp, waarna ik uitgebreid in ga op de werking van de AVG. Ook onderzoek ik op welke grondslag een werknemer het beste een beroep kan doen. In hoofdstuk 3 staat de positie van de sollicitant centraal. Welke privacyrechten geniet hij, mag een werkgever een sollicitant screenen en mag er geselecteerd worden door middel van algoritmes?14 In hoofdstuk 4 ga ik in op de privacykwesties die spelen tijdens het dienstverband. Heeft de werkgever op dat moment de meest uitgebreide monitorbevoegdheid? En welke rol spelen persoonsgegevens bij een ontslag van de werknemer? In hoofdstuk 5 bespreek ik de problemen die kunnen voorkomen na afloop van het dienstverband en de rol van de AVG daarbij. De verschillende situaties analyseer ik aan de hand van een casus. In hoofdstuk 6 beantwoord ik de hoofdvraag.

1.4. Methodologische verantwoording

Alle hoofdstukken bestaan uit een combinatie van een literatuur- en jurisprudentieonderzoek, waarbij is getracht om een duidelijke analyse te maken van de verschillende ‘werknemersstatussen’ en de privacyrechten die daarop van toepassing zijn.

11_{D.J.A. Vesters, L. Zalait, ‘De AVG, bekend maakt bemind (?)’, Tijdschrift Arbeidsrechtpraktijk 2018/2, p. 14.} 12

I.J. de Laat, H.H. de Vries, ‘De digitale werknemer: van grondrechten tot vergetelheid in de cloud’, ArbeidsRecht 2012/35.

13_Ibid. 14

G. Tuenter, Solliciteren bij een algoritme, 11 mei 2018, https://www.nrc.nl/nieuws/2018/05/11/solliciteren-bij-een-algoritme-a1602656.

(7)

6 Hoofdstuk 2. Het juridisch kader

Het recht op privéleven is neergelegd in internationale mensenrechtenverdragen en in de Nederlandse Grondwet.15 Zoals reeds opgemerkt speelt het privacyrecht ook een rol in de arbeidsrelatie.16 Allereerst bespreek ik de definitie, werking en reikwijdte van het recht op privacy, waarna ik de verschillende grondslagen uiteenzet. Vervolgens bespreek ik de Wet bescherming persoonsgegevens en de Algemene verordening gegevensbescherming. Tot slot ga ik in op de vraag op welke grondslag de werknemer het beste een beroep kan doen.

2.1. De definitie, reikwijdte en werking van het recht op privacy

Het recht op privacy is een grondrecht. Privacy omvat het recht op privéleven, ofwel: “het recht op de eerbiediging van de persoonlijke levenssfeer.”17 Een veel gebruikte definitie van het recht op privéleven is het recht om met rust gelaten te worden.18 Het grondrecht is niet absoluut, dus als sprake is van een inbreuk op de persoonlijke levenssfeer, dan wordt gekeken of deze gerechtvaardigd is, hetgeen afhangt van de omstandigheden van het geval.19 Het recht op privacy wordt in de literatuur onderscheiden in drie rechtstheoretische elementen, te weten de relationele, de informationele en de ruimtelijke privacy.20 Deze drie dimensies van dit grondrecht spelen allemaal een rol binnen de privacy op de werkvloer.21 De relationele privacy houdt het recht op selectief contact in, ofwel het recht om zelf te kiezen met wie een werknemer omgaat en relaties onderhoudt.22 De informationele privacy is het recht om te weten en te beïnvloeden welke informatie over de werknemer rondgaat en op welke wijze en aan wie deze gegevens worden verspreid.23 Hieronder kan de verwerking van persoonsgegevens worden geschaard, wat het verzamelen en het doorgegeven van

15_{I. van der Helm, De privacybescherming van de zieke werknemer (diss. Utrecht UU), Deventer: Kluwer 2009,}

p. 9. Zie: art. 12 van de Universele Verklaring van de Rechten van de Mens; art. 8 van het Europees Verdrag voor de Rechten van de Mens; art. 17 van het Internationaal Verdrag inzake burgerrechten en politieke rechten; art. 10 Grondwet.

16

A.R. Houweling (red.) e.a., Loonstra & Zondag. Arbeidsrechtelijke themata I, Den Haag: Boom Juridische Uitgevers 2018, p. 403.

17_{Art. 10 lid 1 Grondwet.}

18_{‘The right to be let alone’, S.D. Warren en L.D. Brandeis (1890), The right to privacy, Harvard Law Review,}

p. 193-201.

19_{J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer: Kluwer 2007, p. 8.}

p. 13.

p. 13. Zie ook: L.F.M. Verhey, Horizontale werking van grondrechten, in het bijzonder van het recht op privacy (diss. Utrecht UU), Zwolle: W.E.J. Tjeenk Willink 1992, p. 192-198.

22_{L.F.M. Verhey, Horizontale werking van grondrechten, in het bijzonder van het recht op privacy (diss.}

Utrecht UU), Zwolle: W.E.J. Tjeenk Willink 1992, p. 194.

23

(8)

7

persoonlijke informatie inhoudt.24 De ruimtelijke privacy is het recht dat de werknemer de fysieke en geestelijke ruimte geeft om de werkzaamheden uit te oefenen.25 Hoewel deze elementen hier worden onderscheiden, is in de praktijk meestal sprake van overlap.26

Grondrechten kunnen worden gecategoriseerd in twee soorten, de klassieke en de sociale grondrechten. De klassieke grondrechten hebben tot doel dat mensen zich zonder inmenging van de overheid naar eigen inzicht kunnen ontwikkelen.27 Sociale grondrechten verplichten de overheid juist tot actief handelen.28 Het recht op privéleven is een sociaal grondrecht, waarbij de overheid moet zorgen dat een individu zijn recht op privacy kan uitoefenen.29 Grondrechten kunnen daarnaast verticaal of horizontaal werken. De verticale werking behelst de verhouding tussen de overheid en de burger en de horizontale werking betreft de werking tussen burgers onderling.30 Tot slot kunnen grondrechten een directe of indirecte werking hebben. Bij directe werking kunnen burgers direct een beroep doen op een grondrecht. In geval van indirecte werking wordt er een beroep gedaan op het grondrecht via een open privaatrechtelijke norm.31 Grondrechten werken in de verticale verhouding altijd direct door, zodat burgers jegens de overheid rechtstreeks een beroep kunnen doen op zowel klassieke als sociale grondrechten.32 Als burgers onderling een beroep willen doen op een grondrecht, dan kan dit vaak zowel direct als indirect.33 In de jurisprudentie wordt over het algemeen terughoudend omgegaan met een direct beroep op het privacyrecht in de arbeidsrelatie.34 Daarom werkt het recht op privéleven in relatie tussen werkgever en werknemer vrijwel altijd indirect door via de open norm van art. 7:611 BW.35 In dit artikel liggen de waarden van het goed werkgeverschap en het goed werknemerschap verankerd. Volgens de Tweede Kamer vormt artikel 7:611 BW een geschikt kader om grondrechten tot uitdrukking te brengen in de

p. 14.

25

26_{A.R. Houweling (red.) e.a., Loonstra & Zondag. Arbeidsrechtelijke themata I, Den Haag: Boom Juridische}

Uitgevers 2018, p. 434.

27

E. Verhulp, Grondrechten in het arbeidsrecht, Deventer: Kluwer 1999, p. 6.

28_{E. Verhulp, Grondrechten in het arbeidsrecht, Deventer: Kluwer 1999, p. 7.}

p. 19.

30_{R. Nehmelman, C.W. Noorlander, Horizontale werking van grondrechten over een leerstuk in ontwikkeling,}

Deventer: Kluwer 2013, p. 2.

31_Ibid.

32_{E. Verhulp, Grondrechten in het arbeidsrecht, Deventer: Kluwer 1999, p. 9.} 33

E. Verhulp, Grondrechten in het arbeidsrecht, Deventer: Kluwer 1999, p. 22.

p. 42.

35

R. Nehmelman, C.W. Noorlander, Horizontale werking van grondrechten over een leerstuk in ontwikkeling, Deventer: Kluwer 2013, p. 289.

(9)

8

arbeidsverhouding, zo ook het recht op privacy.36 Kortom: als een werknemer vindt dat de werkgever zijn privacyrechten heeft geschonden, dan kan de werknemer een beroep doen op het recht op privacy (art. 8 EVRM) via de open norm van artikel 7:611 BW. De rechter maakt vervolgens een belangenafweging, waarbij men zich kan afvragen of de subjectiviteit die dit in de hand werkt, raadzaam is.37 Het voordeel van de directe werking is namelijk dat de rechtsregel van het recht op privéleven gewoon wordt toegepast en er geen belangenafweging plaatsvindt, hetgeen meer rechtszekerheid creëert.38

2.2. Artikel 17 IVBPR

Het recht op bescherming van de persoonlijke levenssfeer werd voor het eerst vastgelegd in 1950, in de Universele Verklaring van de Rechten van de Mens (UVRM), naar aanleiding van de gruweldaden uit de Tweede Wereldoorlog.39 Het Internationaal Verdrag inzake burgerrechten en politieke rechten (IVBPR) uit 1969, wederom uitgevaardigd door de VN, is in tegenstelling tot het UVRM juridisch bindend.40 Het recht op de bescherming van de persoonlijke levenssfeer is neergelegd in artikel 17 IVBPR. Ondanks dat dit artikel een positieve verplichting oplegt aan de staat om bescherming van de persoonlijke levenssfeer te garanderen, speelt het in Nederland een kleine rol.41 Dit is te wijten aan een weinig daadkrachtig handhavingssysteem van het verdrag.42 In de Nederlandse jurisprudentie wordt art. 17 IVBPR derhalve niet als toetsingskader gebruikt.43

2.3. Artikel 8 EVRM

Artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) is in Nederland de belangrijkste verdragsbepaling waarin het privacyrecht is neergelegd.44 De Raad van Europa heeft het verdrag in 1950 opgesteld.45 Het artikel luidt als volgt:

36_{Kamerstukken II 1997-98, 25 426, nr. 2, p. 6.}

37_{E. Verhulp, Grondrechten in het arbeidsrecht, Deventer: Kluwer 1999, p. 22.} 38

I. van der Helm, De privacybescherming van de zieke werknemer (diss. Utrecht UU), Deventer: Kluwer 2009, p. 33.

39_{Art. 12 UVRM. Zie ook: J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer:}

Kluwer 2007, p. 9.

40

J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer: Kluwer 2007, p. 9.

p. 19.

42_{J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer: Kluwer 2007, p. 10. Zie}

ook: I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in: Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), C.1.1.

44

L.F.M. Verhey, Horizontale werking van grondrechten, in het bijzonder van het recht op privacy (diss. Utrecht UU), Zwolle: W.E.J. Tjeenk Willink 1992, p. 199.

(10)

9

1. “Eenieder heeft recht op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie.

2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen.”46

Op grond van lid 2 is een eventuele beperking van het recht op bescherming van het privéleven mogelijk, mits deze inbreuk gerechtvaardigd kan worden.47 De belangenafweging wordt gemaakt op grond van de beginselen van proportionaliteit en subsidiariteit door internationale onafhankelijke rechters, die zitting nemen in het Europees Hof voor de Rechten van de Mens (EHRM).48 In de arbeidsrelatie kan een werknemer niet direct tegenover zijn werkgever een klacht indienen bij het EHRM. De werknemer kan zich alleen beklagen jegens een verdragsstaat, als deze tekort is geschoten in de bescherming van zijn privéleven.49 Uit art. 8 EVRM volgt immers de positieve verplichting voor de staat om dit recht te beschermen.50 De bepalingen uit het EVRM zijn ‘eenieder verbindend’, waardoor sprake is van directe doorwerking in de Nederlandse rechtsorde, hetgeen volgt uit artikel 93 en 94 van de Grondwet. De nationale rechter kan daardoor toetsen of een nationale regeling in strijd is met art. 8 EVRM. Als dit het geval is, kan hij de nationale regeling in die concrete situatie buiten toepassing verklaren.51

Het EHRM heeft art. 8 EVRM voor het eerst van toepassing verklaard op de arbeidsrelatie in de zaak Niemietz. Volgens het Hof speelt groot deel van het individuele leven van een persoon zich immers af op de werkvloer.52 In Nederland werd de directe horizontale werking van art. 8 EVRM aanvaard in 1987, dankzij de Edamse bijstands-zaak.53 Vanaf dat moment konden burgers onderling zich rechtstreeks voor de rechter beroepen op hun recht op privacy.

45

46_{Artikel 8 EVRM.}

47_{J.M.A. Berkvens, J.E.J. Prins, Privacyregulering in theorie en praktijk, Deventer: Kluwer 2007, p. 8.} 48

49_{I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in:}

Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), C.1.1.

p. 19.

51_{B.A. Kuiper-Slendebroek, ‘Het internationale recht en de nationale (t)rechter: de een ieder beschermende}

toepassing van artikel 94 Grondwet’, Ars Aequi 2016-2.

52

EHRM 16 december 1992, ECLI:NL:XX:1992:AD1800, m.nt. E.J. Dommering (Niemietz t. Duitsland).

53

(11)

10

In de arbeidsrechtelijke verhouding neigde de Hoge Raad in 2001 voor het eerst naar deze directe horizontale werking.54 In deze zaak deed een werknemer voor het eerst een beroep op art. 8 EVRM, evenals op art. 17 IVBPR en art. 10 Gw. De Hoge Raad verklaarde dat “(in ieder geval) art. 8 EVRM zich mede uitstrekt tot ‘de werkplek’.”55 Hij baseerde zich hierbij op uitspraken van het EHRM. Op de andere wetsartikelen ging de Hoge Raad (helaas) niet in.56 Deze neiging naar aanvaarding was vooral terug te zien in de uitdrukkelijke proportionaliteitstoets door de Hoge Raad.57 Deze zaak betrof een werkgever die een gerechtvaardigd belang had om werknemers heimelijk te filmen, omdat hij een voldoende concreet vermoeden had dat er werd gestolen en dit kon alleen met een verborgen camera bewezen worden. De definitieve aanvaarding van directe horizontale werking van de Hoge Raad met betrekking tot art. 8 EVRM in het arbeidsrecht volgde in het Hyatt-arrest.58 Deze aanvaarding kon worden opgemaakt uit de belangenafweging op grond van art. 8 EVRM inclusief alle beperkingscriteria.59 Een werkneemster had in haar vrije tijd drugs gebruikt, waardoor zij op staande voet werd ontslagen. In deze zaak woog het behoud van de goede bedrijfsnaam zwaarder dan het privébelang van de werkneemster. Hierbij was van belang dat de werkgever een zero tolerance drugsbeleid hanteerde. Bovendien kon ervan uit worden gegaan dat ook als het positieve testresultaat een gevolg was van drugsgebruik in de vrije tijd, de werkneemster begreep dat bij een positieve test tot ontslag kon leiden op grond van het protocol, of het drugsgebruik nu negatieve invloed op het werk had of niet.60

2.4. Artikel 10 Grondwet

In art. 10 Gw is het recht op privacy neergelegd. Het artikel luidt als volgt:

1. “Ieder heeft, behoudens bij of krachtens de wet te stellen beperkingen, recht op eerbiediging van zijn persoonlijke levenssfeer.

2. De wet stelt regels ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens.

54_{HR 27 april 2001, ECLI:NL:HR:2001:AB1347, m.nt. E. Verhulp (Wennekes Lederwaren).} 55_Ibid.

56_Ibid.

p. 36.

58_{HR 14 september 2007, ECLI:NL:HR:2007:BA5802, m.nt. E. Verhulp (Hyatt).}

60

(12)

11

3. De wet stelt regels inzake de aanspraken van personen op kennisneming van over hen vastgelegde gegevens en van het gebruik dat daarvan wordt gemaakt, alsmede op verbetering van zodanige gegevens.”61

Dit wetsartikel omvat een onthoudingsplicht voor de overheid, in tegenstelling tot de verdragen die tot nu toe zijn besproken.62 Bij de Grondwetherziening in 1983 is de reikwijdte van art. 10 Gw verruimd. De toenmalige regering was overtuigd van het belang van privacy en heeft destijds artikel 11, 12 en 13 toegevoegd aan de Grondwet.63 Deze artikelen beschermen respectievelijk de onaantastbaarheid van het lichaam, het huisrecht en het briefgeheim. Destijds zijn ook het tweede en derde lid van art. 10 Gw bijgevoegd, die de wetgever specifiek de opdracht geven om regels te stellen ter de bescherming van de informationele privacy, oftewel de bescherming van persoonsgegevens.64 Vanaf deze Grondwetsherziening zijn in totaal vijf verschillende varianten van horizontale werking van het privacyrecht te onderscheiden die de overheid dwingen tot garantie van het recht op privacy.65 Zoals blijkt uit lid 1 van artikel 10 is een beperking slechts mogelijk ‘bij of krachtens wet’, dus alleen met tussenkomst van de formele wetgever. Het is verboden om een bestaande wet te toetsen aan de Grondwet, waardoor er nauwelijks toetsingsmogelijkheden voor de rechter bestaan.66 Dit is de reden waarom er in de jurisprudentie nooit een beroep wordt gedaan op artikel 10 Gw. De Wet bescherming persoonsgegevens (oud) en de Uitvoeringswet AVG zijn voorbeelden van uitvoeringswetten van lid 2 en lid 3 van artikel 10.67 De bescherming van de zogenaamde informationele privacy wordt gewaarborgd in deze regelgeving, hetgeen tevens het belang van de informationele privacy onderschrijft.68

61

Art. 10 Gw.

62

I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in: Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), C.1.3.

66

Op grond van artikel 120 Grondwet; L.F.M. Verhey, Horizontale werking van grondrechten, in het bijzonder van het recht op privacy (diss. Utrecht UU), Zwolle: W.E.J. Tjeenk Willink 1992, p. 204.

68

(13)

12

2.5. Europese regelgeving en nationale uitvoeringswetten

2.5.1. De Privacyrichtlijn en de Wet bescherming persoonsgegevens

De Privacyrichtlijn uit 1995 stelde voor het eerst beperkingen aan het verzamelen en gebruiken van persoonsgegevens.69 De harmonisatie van Europese wetgeving op het gebied van bescherming van persoonsgegevens was bedoeld om een evenwicht te realiseren tussen het vrije verkeer van persoonsgegevens en de bescherming van het individuele privacyrecht.70 In iedere lidstaat werd een toezichtsorgaan opgericht ter bescherming van persoonsgegevens, welke in Nederland het College bescherming persoonsgegevens (hierna: Cbp) was.71 De Privacyrichtlijn werd in 2001 pas omgezet in Nederlandse nationale wetgeving en heette vanaf dat moment de Wet bescherming persoonsgegevens. Deze wet beoogde de burger te beschermen in directe en indirecte verhoudingen.72 In 2016 kreeg het Cbp pas de mogelijkheid tot het opleggen van bestuurlijke boetes tot maximaal €820.000,- of 10% van de jaaromzet van een bedrijf om de naleving van de Wbp te bevorderen.73 Het Cbp werd toen omgedoopt tot de Autoriteit Persoonsgegevens (hierna: de AP).74

In de arbeidsrechtelijke jurisprudentie is de Wbp weinig aan bod gekomen.75 De oorzaak hiervan kan zijn dat in deze wet geen specifieke arbeidsrechtelijke bepalingen zijn opgenomen.76 Een andere oorzaak is dat de richtlijn in een afzonderlijke wet was geïmplementeerd.77 Punten van kritiek op de Wbp waren de nadruk op de bestuurlijke rechtsgang bij de handhaving van de wet en onvoldoende duidelijke rechten en plichten van de betrokkene (degene wiens gegevens worden verwerkt).78 Omdat op 25 mei 2018 de AVG in werking is getreden, ga ik verder niet in op de werking van de Wbp. Het arbeidsrechtelijk belang van de Wbp kan echter niet volledig worden uitgevlakt, omdat iedere werknemer er een beroep op kon doen jegens de werkgever.79

69_{Richtlijn 95/46/EG van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met}

de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens.

70

E.P.M. Thole, F. van der Jagt en H. Roerdink, 50 vragen over privacy, Deventer: Kluwer 2010, p. 15.

71

73

https://autoriteitpersoonsgegevens.nl/nl/nieuws/cbp-krijgt-boetebevoegdheid-en-wordt-autoriteit-persoonsgegevens.

Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), A.1.

76

77_{C. Cuijpers, Privacyrecht of privaatrecht. Een privaatrechtelijk alternatief voor de implementatie van de}

Europese privacyrichtlijn (diss. Tilburg KUB), Den Haag: Boom Juridische Uitgevers 2004, p. 48.

78

79

(14)

13

2.5.2. De Algemene verordening gegevensbescherming

Op 25 mei 2018 is de Wbp na een jarenlange lobby vervangen door de Algemene verordening gegevensbescherming.80 De AVG is een verordening met directe werking in de Nederlandse rechtsorde. Daarom bestaat de verwachting dat de AVG meer impact zal hebben dan de Wbp.81 De Wbp was een omzetting van een richtlijn en daardoor bestonden in veel lidstaten verschillende beschermingsniveaus van persoonsgegevens.82 De harmonisatie van regelgeving in heel Europa beëindigt deze verschillen. Het initiatief tot een nieuwe verordening is gelegen in de toename van hoeveelheden persoonsgegevens die worden verzameld en verspreid door de digitalisering van het bedrijfsleven.83 De AVG bevat meer sterke rechten voor de betrokkene, meer bevoegdheden voor de AP en meer verplichtingen voor de verwerkingsverantwoordelijke.84 De algemene beginselen van de AVG zijn in grote lijnen hetzelfde gebleven als de Wbp.85 De AVG laat lidstaten de ruimte om aanvullende regels op te nemen over bijzondere en strafrechtelijke gegevens.86 De Uitvoeringswet AVG is de Nederlandse uitvoeringswet waarin deze aanvullende regels zijn opgesteld. Bij de bespreking van de AVG richt ik mij voornamelijk op de toepassing van de verordening in arbeidsrechtelijke verhoudingen.

2.5.2.1. Werkingssfeer

De AVG is van toepassing bij de verwerking van een persoonsgegeven. Een persoonsgegeven omvat “alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd.”87 De verwerking betekent “een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés.”88 Een

80_{Verordening (EU) 2016/679 van 27 april 2016 betreffende de bescherming van natuurlijke personen in}

verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (Algemene verordening gegevensbescherming).

81

I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in: Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), A.1.

82_{C.C.M. Kroeks-de Raaij, R.J.J. Westerdijk en G.J. Zwenne, ‘De Algemene verordening}

gegevensbescherming’, Tijdschrift voor Internetrecht, 2016/2.

84_{P.A. Nabben, E.C. Post Uiterweer, ‘De Europese privacy verordening: werkgever, bent u er klaar voor?’,}

ArbeidsRecht 2017/21.

85

K. Dorenbos, ‘AVG en ontslag’, Tijdschrift voor Ontslagrecht 2018/3 p. 99.

87

Artikel 4 lid 1 AVG.

88

(15)

14

voorbeeld van een persoonsgegeven is iemands telefoonnummer of naam. De verwerking daarvan is een breed begrip, waarbij gedacht kan worden aan het opslaan, gebruiken, verzamelen of wissen van gegevens.89

De Richtlijn was alleen van toepassing op de verwerkingsverantwoordelijke.90 Een verwerkingsverantwoordelijke is een persoon of rechtspersoon met beslissingsbevoegdheid, die het doel en de methode van de verwerking vaststelt.91 In de arbeidsrelatie is dit bijvoorbeeld de werkgever of de B.V. waar de werknemer werkzaam is. De reikwijdte van de AVG is uitgebreid ten opzichte van de Wbp, omdat de verordening nu ook van toepassing is op de verwerker.92 De verwerker is ondergeschikt aan de verwerkingsverantwoordelijke en verwerkt gegevens met de instructies van de verwerkingsverantwoordelijke; denk bijvoorbeeld aan een teamleider die is belast met de uitvoerende taak om persoonsgegevens van de werknemer te verzamelen.93 De territoriale reikwijdte is ook vergroot, omdat de verwerker niet langer gevestigd hoeft te zijn binnen de Europese Unie.94

In de UAVG zijn aanvullende regels opgesteld over bijzondere persoonsgegevens, zoals ras, etnische afkomst en gegevens over de gezondheid.95 Het verwerken van een bijzonder persoonsgegeven is verboden, tenzij er een beroep kan worden gedaan op een van de rechtvaardigingsgronden die in de AVG of de UAVG worden genoemd.96 Alle persoonsgegevens moeten op een rechtmatige, behoorlijke en transparante wijze worden verwerkt.97 De werkgever moet de werknemer dus informeren over waarom en hoe persoonsgegevens worden verwerkt.98 Er is een limitatieve lijst met zes grondslagen opgesteld waarop de verwerking gebaseerd kan worden.99 In de arbeidsrechtelijke verhouding wordt de verwerking van persoonsgegevens van de werknemer door de werkgever veelal op drie gronden gebaseerd.100 Ten eerste kan de verwerking noodzakelijk zijn voor de uitvoering

89

90_{Artikel 4 onderdeel 7 AVG.} 91

N.J. Margetson, ‘De Algemene verordening gegevensbescherming’, NTHR 2018-3.

92

Artikel 4 onderdeel 8 AVG. Zie ook: N.J. Margetson, ‘De Algemene verordening gegevensbescherming’, NTHR 2018-3.

93_{N.J. Margetson, ‘De Algemene verordening gegevensbescherming’, NTHR 2018-3.} 94

Ibid.

95_{Art. 9 AVG jo. art. 22 UAVG.}

97_{Artikel 5 lid 1 AVG.} 98

Artikel 5 onderdeel b AVG.

99_{Artikel 6 lid 1 AVG. Zie ook: A.R. Houweling (red.) e.a., Loonstra & Zondag. Arbeidsrechtelijke themata I,}

Den Haag: Boom Juridische Uitgevers 2018, p. 442.

100

(16)

15

van de arbeidsovereenkomst.101 Daarnaast kan de werkgever op grond van een wettelijke plicht gehouden zijn aan de verwerking van een persoonsgegeven.102 Tot slot baseert de werkgever de verwerking vaak op het gerechtvaardigd belang, waarbij telkens een belangenafweging moet plaatsvinden.103 De privacyinbreuk op de werknemer moet noodzakelijk en proportioneel zijn, welke beginselen voortvloeien uit art. 8 EVRM.104 Een betrokkene kan ook toestemming geven voor de verwerking. In de arbeidsverhouding kan echter geen sprake zijn van ‘vrij gegeven toestemming’, omdat deze relatie wordt getypeerd door ondergeschiktheid van de werknemer ten opzichte van de werkgever.105 De Artikel 29-Werkgroep, een adviesorgaan dat de Europese Commissie adviseerde over privacyvraagstukken, raadde bij het evalueren van de verordening het geven van toestemming in de arbeidsverhouding ten zeerste af.106 Indien een werknemer toch toestemming geeft voor de verwerking van een persoonsgegeven, dan kan deze elk moment weer worden ingetrokken.107 Met de inwerkingtreding van de AVG is de Artikel 29-Werkgroep overigens vervangen door de European Data Protection Board, waarin alle nationale privacytoezichthouders op Europees niveau met elkaar samenwerken.108

De Nederlandse wetgever heeft geen gebruik gemaakt van de mogelijkheid om extra regels te stellen met betrekking tot de arbeidsverhouding, waar in artikel 88 lid 3 AVG de mogelijkheid voor is gegeven. Volgens de Tweede Kamer geniet de werknemer reeds voldoende bescherming door de AVG. Men was bang dat het stellen van regels in de arbeidsverhouding mogelijk nadelig zou zijn van “de openheid van de relatie tussen de werkgever en de werknemer”.109 In de literatuur wordt over het afzien van uitbreiding van regels in de arbeidsrelatie gesproken over een gemiste kans, omdat nog lang niet alle knelpunten rondom privacy in de arbeidsrelatie worden opgelost in de AVG.110 Ten opzichte van de Wbp geldt een strengere informatieplicht van de werkgever jegens de werknemer

101_{Artikel 6 lid 1 sub b AVG.} 102

Artikel 6 lid 1 sub c AVG.

103

Artikel 6 lid 1 sub f AVG.

104_{F.C. van der Jagt, ‘Als ja misschien toch nee is: de toestemming van de werknemer voor de verwerking van}

persoonsgegevens’, Tijdschrift Arbeidsrechtpraktijk, 2013/4.

105

A.R. Houweling (red.) e.a., Loonstra & Zondag. Arbeidsrechtelijke themata I, Den Haag: Boom Juridische Uitgevers 2018, p. 443. Zie ook paragraaf 43 van de preambule van de AVG.

106_{Artikel 29-Werkgroep: Advies 2/2017 over de controle op elektronische communicatie op het werk,}

goedgekeurd op 8 juni 2017, WP 249.

107_{Artikel 7 lid 3 AVG.} 108

https://www.autoriteitpersoonsgegevens.nl/nl/nieuws/european-data-protection-board-vandaag-van-start.

110_{M. Westhoeve, ‘Wordt de zieke werknemer beter van de Algemene verordening gegevensbescherming?’,}

TRA 2017/71; D.J.A. Vesters, L. Zalait, ‘De AVG, bekend maakt bemind (?)’, Tijdschrift Arbeidsrechtpraktijk 2018/2.

(17)

16

onder de AVG. De werkgever moet nog duidelijker informeren over het doel van de verwerking dan voorheen.111

2.5.2.2. Rechten van de werknemer

De werknemer heeft op grond van de AVG een aantal rechten. Sommige rechten bestonden al onder de Wbp, andere zijn nieuw. Allereerst bestaat het recht op informatie over hoe en waarom bepaalde persoonsgegevens van de werknemer worden opgeslagen, gebruikt of verzameld.112 Verder heeft de werknemer recht op inzage, hij kan bijvoorbeeld zijn volledige personeelsdossier opvragen bij de werkgever.113 De werkgever moet gehoor geven aan zo’n verzoek, tenzij sprake is van een uitzondering zoals de waarborging van de nationale veiligheid.114 Het verweer van de werkgever dat de werknemer toch al weet wat in het dossier staat, slaagt niet.115 Kortom, de werkgever moet inzage geven in het personeelsdossier. Ook heeft de werknemer het recht op rectificatie en gegevensverwijdering, als de verwerking niet conform de regels plaatsvindt.116 Een nieuw recht dat voortvloeit uit de AVG is het recht op overdraagbaarheid. De werknemer krijgt beschikking en daarmee de controle over zijn gegevens, waardoor hij deze kan overdragen aan een andere verantwoordelijke.117 Denk bijvoorbeeld een werknemer die bij een andere entiteit binnen een concern gaat werken. Verder kan een werknemer bezwaar maken tegen een verwerking van de werkgever, als hij het bijvoorbeeld oneens is met de afweging die de werkgever daarbij heeft gemaakt.118 Zo maakte een werknemer bezwaar tegen het bewaren van documenten die samenhingen met een inmiddels ingetrokken waarschuwing.119 De werkgever had volgens de rechter echter een juiste belangenafweging gemaakt, omdat gebeurtenissen tijdens de arbeidsrelatie moeten worden vastgelegd ter voorkoming van toekomstige misverstanden. Een ander voorbeeld waarin een werkneemster bezwaar maakte tegen een verwerking was de verstrekking van haar contactgegevens door de werkgever aan een extern onderzoeksbureau.120 Ook daar had de werkgever een gerechtvaardigd belang, namelijk om ongewenst gedrag van de werkneemster op de werkvloer onderzoeken. Als de werkgever het bezwaar van een

111

K. Dorenbos, ‘AVG en ontslag’, Tijdschrift voor Ontslagrecht 2018/3, p. 104.

112_{Paragraaf 60 van de preambule en artikel 14 AVG.} 113_{Paragraaf 63 van de preambule en artikel 15 AVG.} 114_{Art. 41 UAVG.}

115_{Kantonrechter Den Haag 31 augustus 2018, ECLI:NL:RBDHA:2018:10910.} 116

Artikel 16 jo. 17 AVG.

117_{Paragraaf 68 van de preambule en artikel 20 AVG.} 118_{Artikel 21 AVG.}

119

Kantonrechter ‘s-Gravenhage 6 oktober 2010, JAR 2010/282.

120

(18)

17

werknemer gegrond acht, dan wordt de verwerking beëindigd. De werkgever moet uiterlijk binnen een maand op een verzoek inzake persoonsgegevens van de werknemer reageren.121

2.5.2.3. Handhaving

Toezichthouders hebben een uitgebreidere boetebevoegdheid gekregen in de AVG. De AP kan overtredingen beboeten met bedragen van maximaal 20 miljoen euro of vier procent van de wereldwijde jaaromzet.122 De hoge boetebevoegdheid van de AP heeft de aandacht van veel werkgevers getrokken.123 Daarnaast kan de AP periodieke controles opleggen.124 Ter ondersteuning van de AP hebben verwerkers de verantwoordelijkheid om binnen organisaties zelf een privacyfunctionaris aan te stellen, die erop toeziet dat de regels van de AVG worden nageleefd.125 Het is tevens mogelijk om een verwerker aan te spreken op grond van een onrechtmatige daad (6:162 BW) in geval van een onrechtmatige verwerking. Zo moest Hoffmann Recherche een schadevergoeding betalen wegens onrechtmatig gebruik van privégegevens bij een bedrijfsonderzoek.126

2.6. Op welke grondslag kan de werknemer het beste een beroep doen?

Nu alle relevante privacyregelgeving is besproken, maak ik de balans op hoe de grondslagen zich onderling tot elkaar verhouden? Op artikel 17 IVBPR beroept een werknemer zich eigenlijk niet. Dit komt door het lastige handhavingssysteem van het verdrag en het ontbreken van de beperkingsgronden in het IVBPR.127 De EVRM-artikelen bevatten wel beperkingsgronden en duidelijke toetsingsvoorwaarden, welke in de jurisprudentie van het EHRM uitgebreid en duidelijk zijn gemotiveerd.128 Daarnaast is art. 8 EVRM een eenieder verbindende bepaling en heeft deze rechtstreekse werking in Nederland.129 Het toepassingsbereik van artikel 8 EVRM is breed en strekt zich uit tot de werkvloer, waardoor dit artikel een goed uitgangspunt is bij de beoordeling van een privacyinbreuk.130

122

Artikel 83 AVG.

123_{D.J.A. Vesters, L. Zalait, ‘De AVG, bekend maakt bemind (?)’, Tijdschrift Arbeidsrechtpraktijk 2018/2, p.}

14.

124

I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in: Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), C.1.1.

125_{Artikel 37 AVG.}

126_{Kantonrechter Zwolle 4 juli 2012, ECLI:NL:RBZLY:2012:BY2941.}

127_{I. van der Helm, De privacybescherming van de zieke werknemer (diss. Utrecht UU), Deventer: Kluwer}

2009, p. 61.

128_Ibid.

129_{Op grond van art. 93 jo. art. 94 Gw.} 130

D.J.A. Vesters, L. Zalait, ‘De AVG, bekend maakt bemind (?)’, Tijdschrift Arbeidsrechtpraktijk 2018/2, p. 14.

(19)

18

Werknemers doen altijd een indirect beroep op hun privacyrecht via het goed werkgeverschap (7:611 BW), waarna de rechter een afweging maakt tussen de belangen van de werkgever en van de werknemer.131

Voor de Grondwet geldt het toetsingsverbod (art. 120 Gw), waardoor de rechter niet rechtstreeks kan toetsen aan art. 10 Gw.132 Bovendien kan het recht uit artikel 10 Gw alleen beperkt worden met tussenkomst van de formele wetgever, dat wil zeggen door een beperking van een wet in formele zin.133 Daarom doen werknemers geen beroep op art. 10 Gw.

Kortom, art. 8 EVRM lijkt de meest geschikte grond voor een werknemer om een beroep op te doen. Wat is dan de onderlinge verhouding tussen de AVG (voorheen de Wbp) en art. 8 EVRM? Onder beide grondslagen wordt de informationele privacy, te weten de bescherming van persoonsgegevens, geschaard.134 Deze grondslagen bevatten echter verschillende toetsingsvoorwaarden bij privacyschending. Voor een beroep op art. 8 EVRM moet eerst sprake zijn van een inbreuk op het privéleven, waarna deze inmenging eventueel gerechtvaardigd kan worden.135 Of sprake is van een schending van de AVG, gaat het niet om een inbreuk op iemands privacy, maar of er een persoonsgegeven is verwerkt en of deze verwerking rechtmatig was.136 Bij gegevensverwerkingen is dus niet automatisch sprake van een inmenging in het privéleven van de werknemer.137 Als er geen sprake is van zo’n inmenging, dan wordt de gegevensverwerking niet beschermd door art. 8 EVRM.138

De belangenafweging van art. 8 EVRM en van een gegevensverwerking op grond van de AVG zijn daarentegen zeer vergelijkbaar, omdat beiden gebaseerd moet worden op rechtvaardigingsgronden en de eisen van proportionaliteit en subsidiariteit. Daarmee kan een rechter bij de belangenafweging van beide rechtsgronden heel goed tot dezelfde uitkomst komen, ondanks de verschillende toepassingsvoorwaarden.139

131_{I. van der Helm, De privacybescherming van de zieke werknemer (diss. Utrecht UU), Deventer: Kluwer}

2009, p. 36.

132

14.

134

A.R. Houweling (red.) e.a., Loonstra & Zondag. Arbeidsrechtelijke themata I, Den Haag: Boom Juridische Uitgevers 2018, p. 439; F.C. van der Jagt, ‘Grondrechten: de nationale, Europese en internationale dimensie’, Ars Aequi 2013, p. 163.

14.

136

Ibid.

137_{F.C. van der Jagt, ‘Grondrechten: de nationale, Europese en internationale dimensie’, Ars Aequi 2013, p. 183.} 138_Ibid.

139

D.J.A. Vesters, L. Zalait, ‘De AVG, bekend maakt bemind (?)’, Tijdschrift Arbeidsrechtpraktijk 2018/2, p. 14.

(20)

19

Zoals besproken biedt de AVG de werknemer een uitbreiding van zelfstandige rechten, waar hij zelf een beroep op kan doen.140 Hiervoor hoeft dus geen sprake te zijn van een privacyinbreuk; een verwerking van een persoonsgegeven is voldoende.141 De bescherming van AVG lijkt daardoor verder te gaan dan die van art. 8 EVRM.

Het materiële normenkader van de AVG verschilt nauwelijks met de Wbp, waardoor dit inhoudelijk tot dezelfde uitkomst kan leiden. Het beroep op deze rechtsgrond vindt desondanks heel weinig plaats.142 Dit wordt mede veroorzaakt door meerdere open normen die moeten worden ingevuld, welke onder de Wbp ook al niet goed uit de verf kwamen.143 Dit zorgt mijns inziens voor een wisselwerking: omdat er in de rechtspraak weinig succesvolle voorbeelden bestaan van een beroep op de AVG of Wbp, zijn werknemers sneller geneigd om een beroep te doen op het vertrouwde art. 8 EVRM via de open norm van artikel 7:611 BW.

140_{K. Dorenbos, ‘AVG en ontslag’, Tijdschrift voor Ontslagrecht 2018/3, p. 99;}

15.

142

I.J. de Laat, M. Breugem, ‘Commentaar op de Algemene Gegevensverordening art. 5, 6 en 15’, in:

Commentaar Arbeidsrecht Thematisch, Den Haag: SDU 2018 (online), C.6.7.1; D.J. Kolk, M. Verbruggen, ‘Het verborgen bestaan van de Wet bescherming persoonsgegevens, ArbeidsRecht 2002/32.

143

M. Westhoeve, ‘Wordt de zieke werknemer beter van de Algemene verordening gegevensbescherming?’, TRA 2017/71.

(21)

20 Hoofdstuk 3. De sollicitatiefase en de AVG

In dit hoofdstuk ga ik in op de sollicitatiefase. Aan welke regels zijn werkgever en werknemer gebonden? In hoeverre kan een werkgever monitoren tijdens een sollicitatieprocedure? En hoe kan een sollicitant een beroep doen op zijn privacyrecht?

3.1. Sollicitatiefase – casus

Persoon X is zich al een tijdje aan het oriënteren op de arbeidsmarkt en hij ontdekt via LinkedIn de vacature van een populair traineeship bij bedrijf A. Als hij besluit te solliciteren, ziet hij dat de eerste ronde een videosollicitatie betreft. X heeft dit nog nooit eerder gedaan en houdt helemaal niet van camera’s. Hij is echter bang dat weigeren negatieve gevolgen heeft voor de rest van het sollicitatieproces, dus hij besluit mee te doen. X moet bij het insturen van de video tevens aangeven of hij referenten wil opgeven aan bedrijf A. X geeft hiervoor toestemming. Na het insturen van zijn sollicitatie, krijgt X een melding dat zijn LinkedIn-pagina is bekeken door bedrijf A. X mag door naar de volgende ronde. Vervolgens vraagt de werkgever om een Verklaring Omtrent Gedrag aan X, omdat deze ‘onmisbaar’ is voor de invulling van de functie. Helaas valt X in de laatste ronde af, waarna hij zich afvraagt wat er gebeurt met alle verstrekte persoonsgegevens?

3.2. Sollicitatiefase – algemeen

De sollicitatieprocedure kan worden gekwalificeerd als een precontractuele fase.144 Deze fase wordt beheerst door contractsvrijheid, waardoor partijen de onderhandelingen op elk gewenst moment weer kunnen afbreken.145 Dit is ook logisch, want de werkgever moet de – in zijn ogen – meest geschikte sollicitant voor een functie kunnen aannemen.146 Anderzijds moet een sollicitant de procedure ook kunnen beëindigen als hij dit wil. In het arbeidsrecht is de werknemer echter ondergeschikt aan de werkgever en daarom is ook de positie van de sollicitant erkend kwetsbaar.147 Het sollicitatieproces is bij uitstek een proces waarbij veel persoonsgegevens worden verzameld door de werkgever.148 De verwerking wordt veelal gebaseerd op een wettelijke plicht of een gerechtvaardigd belang van de werkgever.149 Een

144_{R.F. Kötter, De rechtspositie van de sollicitant en van de werknemer tijdens de proeftijd (diss. Leiden LU),}

145_Ibid.

148

De NVP sollicitatiecode.

149

(22)

21

verwerkingsgrond kan ook gevonden worden in de noodzakelijkheid voor de uitvoering van de arbeidsovereenkomst, omdat verwerkingen voorafgaand aan de sluiting daarvan hieronder vallen.150

3.3. Werving & selectie

De werving van sollicitanten gebeurt op veel verschillende manieren, zoals via bemiddelingsbureaus of het LinkedIn. Een nieuwe vorm van solliciteren is een videosollicitatie, waarin de sollicitant zijn kwaliteiten en ervaringen toelicht.151 Zo’n video bevat bijzondere persoonsgegevens, omdat hierbij gegevens over ras of gezondheid zichtbaar zijn.152 Hierdoor wordt iemand sneller op uiterlijk geselecteerd, hetgeen een discriminerende behandeling in de hand kan werken.153 De verwerking van zo’n bijzonder persoonsgegeven is in principe verboden, tenzij deze kan worden gebaseerd op een specifieke uitzonderingsgrond of uitdrukkelijke toestemming van de sollicitant.154 Normaliter is toestemming geen geldige verwerkingsgrond voor de werkgever, maar de AP wijkt bij het videosolliciteren af van de normale richtlijnen.155 Er mag toestemming voor videosolliciteren worden gevraagd, mits de werkgever het alternatief biedt om per brief te solliciteren.156 De keuze voor deze laatste optie mag vervolgens geen negatieve gevolgen hebben voor de sollicitatie, maar in geval van een groot aantal sollicitanten zou de weigering van de videosollicitatie reëel gezien kunnen leiden tot afwijzing van de vacante positie.157

Steeds meer bedrijven maken gebruik van geautomatiseerde wervings- en selectieprocedures voor sollicitanten.158 Deze geautomatiseerde systemen worden ingericht met behulp van algoritmes.159 Op grond van art. 22 AVG mag de sollicitant niet worden onderworpen aan een uitsluitend op een geautomatiseerde verwerking gebaseerd besluit, zoals profilering op grond van algoritmes.160 Menselijke beoordeling bij een verwerking is in principe verplicht. Als

150_{Dit volgt uit art. 6 lid 1 sub b AVG.}

152

Artikel 9 lid 1 AVG.

154

Op grond van art. 9 lid 2 AVG. Zie ook: D.J.A. Vesters, ‘De AVG in het sollicitatieproces, een goed begin is het halve werk’, TRA 2019/26.

155

https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/sollicitaties?qa=videosolliciteren&scrollto=1.

156_Ibid. 157

D.J.A. Vesters, ‘De AVG in het sollicitatieproces, een goed begin is het halve werk’, TRA 2019/26.

158_{G. Tuenter, Solliciteren bij een algoritme, 11 mei 2018,}

https://www.nrc.nl/nieuws/2018/05/11/solliciteren-bij-een-algoritme-a1602656.

159

W.L. Roozendaal, ‘Big data op de werkvloer’, TRA 2018/66.

160

(23)

22

deze menselijke beoordeling ontbreekt bij zo’n besluit, is dit een overtreding van de AVG. Bovendien bestaat bij profilering de angst voor oneerlijke of discriminerende uitkomsten, die in alle gevallen voorkomen moeten worden.161

Het screenen van een sollicitant betreft het checken van referenties of het uitvoeren van een medische keuring.162 Deze verwerking is zeer ingrijpend en kan daarom uitsluitend worden gebaseerd op een wettelijke verplichting.163 De werkgever mag alleen de persoonsgegevens nagaan die van belang zijn voor de functie waarnaar wordt gesolliciteerd en de sollicitant moet hierover geïnformeerd worden.164 Een kinderopvang is bijvoorbeeld verplicht om een VOG te vragen in een sollicitatieprocedure.165 Een medische (aanstellings-)keuring mag alleen als een functie speciale eisen stelt aan de medische geschiktheid van de sollicitant.166 Het aanwijzen van een ex-werkgever als referent door een sollicitant betekent dat de sollicitant toestemming geeft voor het verstrekken van gegevens over hem als persoon en zijn functioneren.167 De referent moet vervolgens een helder beeld schetsen van de sollicitant, anders kan hij aansprakelijk worden gesteld door de ‘nieuwe’ werkgever. Kortom: de referent moet alle belangrijke informatie geven over een sollicitant, ook als deze negatief is en de potentiele werkgever daardoor iemand afwijst.168

3.4. Social media

Het opzoeken van een sollicitant op internet door de werkgever, oftewel een internetsearch lijkt aan de orde van de dag te zijn.169 Het bekijken van een social media-profiel is wederom een verwerking van bijzondere persoonsgegevens, omdat gegevens over ras en gezondheid zichtbaar zijn.170 De enige geschikte rechtvaardigingsgrond in dit geval zou kennelijke openbaarmaking kunnen zijn.171 Als een sollicitant er zelf voor kiest om zijn profiel openbaar in te stellen, dan geldt dit als een openbaarmaking. Dit geeft werkgevers volgens de Artikel

161

Ibid.

162_{V. Laan, E.P.M. Thole, ‘Nieuwsgierige werkgevers: Let op privacygrenzen bij verwerken van gegevens van}

sollicitanten en werknemers’, ArbeidsRecht 2016/8.

163

CBP: do’s & don’ts bij screening, internet en sociale media, 2014; de verwerking wordt dan gebaseerd op art. 6 lid 1 sub c AVG.

164_{V. Laan, E.P.M. Thole, ‘Nieuwsgierige werkgevers: Let op privacygrenzen bij verwerken van gegevens van}

sollicitanten en werknemers’, ArbeidsRecht 2016/8.

165

Op grond van de Wet justitiële en strafvorderlijke gegevens.

166_{De NVP sollicitatiecode en de Wet op de medische keuringen.}

167_{Op grond van art. 6 sub 1 AVG. Zie Hof Arnhem-Leeuwarden 21 augustus 2018,}

ECLI:NL:GHARL:2018:7492, r.o. 4.2.

168_{Hof Arnhem-Leeuwarden 21 augustus 2018, ECLI:NL:GHARL:2018:7492.} 169

C. Don, Sollicitant ‘checken’ mag niet meer, 1 augustus 2017,

https://www.nrc.nl/nieuws/2017/08/01/sollicitant-checken-mag-niet-meer-12312039-a1568497.

170_{E.P.M. Thole, A. Engelfriet, ‘Q&A over privacy, social media en de werkplek’, ArbeidsRecht 2012/34.} 171

Op grond van art. 9 lid 2 onderdeel e AVG. Zie ook: D.J.A. Vesters, ‘De AVG in het sollicitatieproces, een goed begin is het halve werk’, TRA 2019/26.

(24)

23

29-Werkgroep echter geen vrijbrief om gegevens te mogen verwerken.172 Een zakelijk profiel (zoals LinkedIn) komt eerder in aanmerking om te checken, maar het moet noodzakelijk zijn voor de uitvoering van de vacante functie om deze gegevens te verzamelen.173 De grote vraag is of deze regels te handhaven zijn, want wie komt erachter dat een werkgever een sollicitant heeft gegoogeld?174

3.5. Rechten en plichten tijdens de sollicitatieprocedure

Tijdens de sollicitatiefase moet de sollicitant alle gegevens verstrekken aan de werkgever die van belang zijn bij het uitoefenen van de functie.175 Daar staat tegenover dat de werkgever terughoudend moet zijn bij het informeren naar het privéleven van een sollicitant tijdens een sollicitatieprocedure op grond van artikel 8 EVRM.176 De werkgever heeft een uitgebreidere informatieverplichting jegens de sollicitant dan andersom, ter bescherming van het privacyrecht van de sollicitant.177 Zo vroeg een werkgever in een zaak bij de kantonrechter Assen naar een ‘witte vlek’ op het cv van de sollicitant.178

De sollicitant verklaarde dat hij gedurende die periode psychische problemen had, waarna partijen een arbeidsovereenkomst aangingen. Een week later vertelde hij alsnog dat hij een zedendelict had gepleegd en hiervoor 2,5 jaar TBS had ondergaan, waarna hij op staande voet werd ontslagen wegens het verzwijgen van deze informatie. Volgens de rechter mocht de sollicitant zich beperken tot de mededeling van ernstige psychische problemen. De aard van de functie (magazijnwerkzaamheden) vroeg niet om verstrekking van aanvullende informatie. Al met al was het ontslag niet rechtsgeldig gegeven en moet een werkgever voorzichtig zijn “met het inwinnen van informatie omtrent onderwerpen die het privéleven diepgaand (kunnen) raken.”179 In het kader van de resocialisatie van sollicitanten met een strafblad, mag een werkgever slechts doorvragen indien dit relevant is voor de uitoefening van de functie.180 Verder mag de selectie op grond van de sollicitatiegegevens geen directe discriminatie door

172

Artikel 29-Werkgroep: Advies 2/2017 over de controle op elektronische communicatie op het werk, goedgekeurd op 8 juni 2017, WP 249.

173_{D.J.A. Vesters, ‘De AVG in het sollicitatieproces, een goed begin is het halve werk’, TRA 2019/26.} 174

I.J. de Laat, H.H. de Vries, ‘De digitale werknemer: van grondrechten tot vergetelheid in de cloud’, ArbeidsRecht 2012/35.

175_{O. van der Kind, ’De spreekplicht en het zwijgrecht van de sollicitant’, ArbeidsRecht 1998/11, nr. 69.} 176_{HR 11 mei 2001, ECLI:NL:HR:2001:AB1559, r.o. 4.13.}

178_{Kantonrechter Assen 6 maart 2006, ECLI:NL:RBASS:2006:AV5303.} 179_Ibid.

180

R.F. Kötter, De rechtspositie van de sollicitant en van de werknemer tijdens de proeftijd (diss. Leiden LU), Deventer: Kluwer 2010, p. 95.

(25)

24

de werkgever opleveren.181 Indien een sollicitant wordt afgewezen, is in de AVG geen harde bewaartermijn van persoonsgegevens opgenomen. De gegevens mogen bewaard worden zolang dit noodzakelijk is.182 De AP stelt hiervoor een richtlijn van vier weken.183

3.6. Bespreking van de casus

Al met al is het sollicitatieproces van bedrijf A mijns inziens niet ‘AVG-proof’. Bij het selecteren door videosollicitatie mag de werkgever niet eisen van de sollicitant om een video in te sturen.184 De sollicitant moet hiervoor expliciete toestemming geven en de mogelijkheid krijgen om op andere wijze te solliciteren.185 Dit is beide niet gebeurd. Door het opgeven van referenten aan bedrijf A geeft X toestemming om deze referenties na te gaan. Dit kwalificeert als een geldige verwerkingsgrond. Het bekijken van de LinkedInpagina van X is in principe geoorloofd, omdat X zijn persoonsgegevens geopenbaard heeft via een niet afgeschermd social media-profiel.186 Bovendien is LinkedIn een zakelijk medium en zal deze zich dus eerder voor een internetsearch lenen.187 Het moet echter wel noodzakelijk voor uitvoering van de functie zijn om deze gegevens te verwerken. Als bedrijf A dit niet kan motiveren, is de verwerking alsnog onrechtmatig. We zullen nooit weten of bedrijf A ook andere social media-profielen van X heeft bekeken, hier krijgt X namelijk geen melding van. Het aanvragen van de VOG kan slechts gebaseerd worden op een wettelijke plicht.188 Bedrijf A heeft dus geen grondslag voor de verwerking van een VOG. Na de afwijzing van X moeten alle persoonsgegevens na een maand verwijderd worden volgens de richtlijnen van de AP.189

3.7. Mogelijkheden voor de sollicitant bij privacyschending

Werknemer X zou een onrechtmatige daadsactie kunnen starten jegens de werkgever, wegens schending van zijn privacyrechten uit art. 8 EVRM en de AVG. De selectieprocedure van een sollicitant is nagenoeg niet wettelijk vastgelegd, hetgeen niet bevorderlijk is voor zijn rechtspositie.190 De NVP sollicitatiecode is het enige document met zogenaamde

181

E. Verhulp, Grondrechten in het Arbeidsrecht, Deventer: Kluwer 1999, p. 158.

182_{Art. 5 lid 1 sub e AVG.}

183_{https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/sollicitaties. Zie ook: K. Dorenbos,}

‘AVG en ontslag’, Tijdschrift voor Ontslagrecht 2018/3, p. 101.

184_{https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/sollicitaties.} 185_{Art. 9 lid 1 sub a AVG}

186_{Op grond van de uitzondering uit art. 9 lid 2 sub e AVG. Zie ook: D.J.A. Vesters, ‘De AVG in het}

sollicitatieproces, een goed begin is het halve werk’, TRA 2019/26.

187

M.J. Aantjes, ‘Werk vinden en verliezen door sociale media’, TAP 2012/2.

188_{Art. 9 lid 2 sub b AVG.}

189_{https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/sollicitaties.} 190

R.F. Kötter, De rechtspositie van de sollicitant en van de werknemer tijdens de proeftijd (diss. Leiden LU), Deventer: Kluwer 2010, p. 109.