Rechten van de ondernemingsraad op privacygebied

Op 28 april 2021 heeft de Autoriteit Persoonsgegevens (“AP”) het OR-privacyboekje gepubliceerd. In deze handreiking wordt de rol van de ondernemingsraad (“OR”) bij privacy op de werkvloer besproken. De Wet op de Ondernemingsraden bepaalt dat de werkgever de OR moet vragen om toestemming voor:

• Regelingen omtrent het verwerken en de bescherming van persoonsgegevens van werknemers; en
• Regelingen omtrent voorzieningen die waarneming van of controle op aanwezigheid, gedrag of prestaties van werknemers (kunnen) faciliteren.

In de praktijk zorgen deze criteria regelmatig voor verwarring; wat is een “regeling omtrent verwerken”, en wat wordt precies verstaan onder voorzieningen die controle op prestaties mogelijk maken? De AP beantwoordt deze vragen in haar publicatie en geeft daarbij een aantal voorbeelden.

De AP noemt bijvoorbeeld een regeling over personeelsdossiers, verzuimregistratie en salarisadministratie. Ook personeelsvolgsystemen zijn instemmingsplichtig, zelfs als zij niet gebruikt worden om personeel te volgen, maar dit wel zou kunnen. Bijvoorbeeld een systeem waarin klantcontacten worden bijgehouden, of dossiers (inclusief logging) worden bewaard.

Door als bedrijf de OR tijdig mee te nemen in de besluitvorming en goed te informeren, krijgt de OR de mogelijkheid om bij te sturen waar nodig. Zo zorgen werkgever en OR samen voor een goede balans tussen de bedrijfsbelangen enerzijds en de (privacy)rechten van werknemers anderzijds.

Let wel: de OR moet zich zelf ook aan de privacywetgeving houden. Vaak ontvangt de OR veel (persoons)gegevens in het kader van advies- of instemmingsaanvragen. De OR heeft ten aanzien van deze gegevens een geheimhoudingsplicht op basis van de WOR. Maar ook de algemene beginselen uit de privacywetgeving moeten in acht genomen worden bij de uitwisseling van persoonsgegevens tussen werkgever en OR; zo is het bijvoorbeeld van belang om het principe van dataminimalisatie in acht te nemen. Dit houdt in dat er zo min mogelijk persoonsgegevens verwerkt (en verstrekt) worden. Bij een reorganisatie is het bijvoorbeeld niet altijd noodzakelijk om op naamsniveau inzage te geven aan de OR in een ontslaglijst. Enkel de datum van indiensttreding en geboortedatum of bijvoorbeeld personeelsnummer zou kunnen volstaan. Zorg er daarnaast ook voor dat persoonsgegevens door de OR niet langer bewaard worden dan noodzakelijk (namelijk: om advies of instemming te geven), en dat de ontvangen gegevens deugdelijk bewaard en beveiligd worden.