Op grond van de AVG heeft de werkgever als verwerkingsverantwoordelijke onder meer de verplichting om werknemers tijdig informatie te verschaffen over de verwerking van diens persoonsgegevens. Deze informatieplicht bestaat ook al in de Wbp, maar wordt in de AVG aanzienlijk uitgebreid. De Autoriteit Persoonsgegevens heeft daarnaast vanaf 25 mei 2018 de bevoegdheid om boetes tot 20 miljoen euro (!) op te leggen als niet aan deze informatieplicht wordt voldaan.
De informatie aan de werknemer moet in “beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal” worden verstrekt. Het doel hiervan is dat werknemers zich er beter van bewust worden dat hun persoonsgegevens worden verwerkt, waarom, door wie en welke rechten zij hebben ten aanzien van de verwerking.
Om aan deze actieve informatieplicht te kunnen voldoen zal een werkgever de werknemer een algemene informatiebrief – voorafgaand aan het dienstverband – toe moeten sturen. In deze brief dient ten minste de volgende informatie te worden opgenomen:
- in voorkomende gevallen, de contactgegevens van de functionaris voor gegevensbescherming;
- de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
- de gerechtvaardigde belangen van de werkgever indien de verwerking op gerechtvaardigd belang is gebaseerd;
- in voorkomende gevallen, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
- in voorkomende gevallen, dat de werkgever het voornemen heeft de persoonsgegevens door te geven aan een derde land of een internationale organisatie en wat de passende of geschikte waarborgen zijn;
- de periode gedurende welke de persoonsgegevens zullen worden opgeslagen (bewaartermijnen), of indien dat niet mogelijk is, de criteria ter bepaling van die termijn;
- dat de werknemer het recht heeft de werkgever te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid (dataportabiliteit);
- wanneer de verwerking op toestemming van de werknemer is gebaseerd, dat de werknemer het recht heeft de toestemming te allen tijde in te trekken;
- dat de werknemer het recht heeft een klacht in te dienen bij de Autoriteit Persoonsgegevens;
- of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de werknemer verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt;
- het bestaan van geautomatiseerde besluitvorming en nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de werknemer.
Kortom, de informatieplicht is omvangrijk en het achterwege laten van deze informatie is binnenkort geen optie meer. Wij raden u aan nu al aan de slag te gaan met het inzichtelijk maken van de verwerkingen van persoonsgegevens van uw werknemers en het opstellen van een algemene informatiebrief. Wij helpen u hier graag bij.
Vragen?
Heeft u vragen over dit artikel, neemt u dan contact op met ons team IT, Privacy & Cybersecurity.