Verwerking van bijzondere persoonsgegevens
Het CBP ontdekte verder dat beide uitzendbureaus medische gegevens in geval van ziekmelding registreerden in een systeem. Krachtens art. 16 Wbp gelden medische gegevens een zogenaamd ‘bijzonder persoonsgegevens’, waarvoor in beginsel een verwerkingsverbod geldt (zie art. 21 e.v. Wbp). Een werkgever, en dus ook een uitzendbureau, mag alleen vragen naar de verwachte duur van het verzuim en de mate waarin een werknemer arbeidsongeschikt is om te bezien welke mogelijkheden er zijn voor het doen van (andere) werkzaamheden. Zie voor meer informatie omtrent dit onderwerp de speciale pagina van het CBP over dit onderwerp.
Art. 16 Wbp classificeert ook een aantal andere categorieën gegevens als ‘bijzonder persoonsgegeven’. Zo zijn gegevens “betreffende iemands ras” een bijzonder persoonsgegeven. Ook persoonlijke identificatienummers, zoals het BSN, gelden als bijzonder persoonsgegeven (art. 24 Wbp).
Het CBP stelt vast dat Randstad en Adecco een kopie van het identiteitsbewijs maken van mensen die een intakegesprek met het uitzendbureau voeren. Deze kopie wordt toegevoegd aan het dossier van de betreffende persoon. Het CBP stelt dat de bureaus dit echter pas mogen doen op het moment dat iemand voor het bureau aan de slag gaat en het uitzendbureau feitelijk de werkgever van de uitzendkracht wordt. “Adecco verstrekt bovendien in strijd met de wet kopieën van ID-bewijzen aan opdrachtgevers. Het onnodig kopiëren en bewaren van ID-bewijzen brengt risico’s met zich mee, bijvoorbeeld identiteitsfraude. Bovendien staan op ID-bewijzen rasgegevens zoals foto en nationaliteit.”
Bewaartermijnen
Tenslotte blijkt uit de onderzoeken dat zowel Randstad als Adecco persoonsgegevens van uitzendkrachten langer dan noodzakelijk bewaren. Gegevens worden soms meer dan 13 jaar (Randstad) of 24 jaar (Adecco) bewaard. De Wbp bepaalt dat gegevens moeten worden verwijderd als deze niet meer noodzakelijk zijn (art. 10 Wbp).
Lees hier het complete rapport over het onderzoek naar Randstad en over het onderzoek naar Adecco. Klik hier voor het complete artikel op de website van het CBP.
Voor meer informatie over dit onderwerp, kunt u contact opnemen met Natascha van Duuren (advocaat IT/Privacy/Cybersecurity).