De rol van de ondernemingsraad bij de privacy van werknemers

Een ondernemingsraad denkt bij privacy waarschijnlijk direct aan het instemmingsrecht dat hij heeft bij een regeling inzake de verwerking en bescherming van persoonsgegevens van werknemers. Daarbij kan worden gedacht aan regelingen op het gebied van verzuimregistratie, salarisadministratie, personeelsdossiers en personeelsinformatiesystemen. De ondernemingsraad kan bij de invoering of wijziging van dergelijke regelingen zijn rol pakken door kritische vragen te stellen en zeker te stellen dat de belangen van de werknemers zijn behartigd en de AVG op de juiste wijze wordt nageleefd.

Met de invoering van de AVG hebben veel ondernemingen zich genoodzaakt gezien om het privacybeleid aan te passen, of in ieder geval om hier nog eens goed naar te kijken. Ook hebben organisaties verwerkingsregisters opgesteld en hebben zij de werknemers schriftelijk geïnformeerd over de wijze waarop hun persoonsgegevens worden verwerkt. Dit heeft in vrijwel alle gevallen geleid tot wijzigingen in werkprocessen en de wijze waarop de onderneming omgaat met de persoonsgegevens van werknemers. Toch zijn niet alle ondernemingsraden actief door de bestuurder betrokken bij het ‘AVG-proof’ maken van de organisatie. Een veelgehoord argument daarvoor was dat de wijzigingen in de op zich instemmingsplichtige regelingen zouden worden opgelegd door de nieuwe wetgeving en dat enkel de AVG werd gevolgd, zodat de ondernemingsraad daar inhoudelijk niets over te zeggen zou hebben. Dat is echter niet juist. De AVG vraagt júíst van de onderneming dat zij zelf verschillende opties afweegt en op basis van de grondbeginselen van de AVG onderbouwde keuzes maakt. Die beslissingsvrijheid voor de bestuurder maakt dat de ondernemingsraad hier juist wel inhoudelijk over kan meepraten en waardevolle input kan leveren. Voor zover de implementatie van de AVG nog niet is afgerond, wat bij veel organisaties het geval is, kan de ondernemingsraad daar dus nog steeds een rol bij spelen en invloed uitoefenen op het te voeren beleid.

Het instemmingsrecht bij regelingen omtrent de verwerking van persoonsgegevens ziet overigens alleen op de persoonsgegevens van ‘in de onderneming werkzame personen’. Ziet een regeling op de verwerking van de persoonsgegevens van derden, zoals websitebezoekers, klanten en leveranciers, dan heeft de ondernemingsraad over het algemeen geen instemmingsrecht.

De tekst van artikel 27 lid 1 sub k WOR brengt mee dat het instemmingsrecht van de ondernemingsraad naar de letter van de wet ook niet ziet op sollicitanten, of uitzendkrachten die minder dan 24 maanden in de onderneming werkzaam zijn. Zij zijn namelijk geen “in de onderneming werkzame personen” in de zin van de WOR (artikel 1 lid 3 sub a WOR). Hetzelfde geldt voor ZZP-ers, omdat zij geen arbeidsovereenkomst met de onderneming hebben (en ook geen publiekrechtelijke aanstelling). Deze beperking van het instemmingsrecht staat echter ter discussie. Er wordt ook wel aangenomen dat het instemmingsrecht zich niet beperkt tot werknemers maar zich ook kan uitstrekken tot andere personen die in een afhankelijke positie staan ten opzichte van de onderneming, zoals sollicitanten en flexwerkers. Een beperkte uitleg van de WOR op dit punt zou onwenselijke gevolgen kunnen hebben en ook niet bij een redelijke uitleg van de WOR passen. Het ligt voor de hand dat de ondernemingsraad zich ook voor deze personen inzet en over hun privacy in gesprek gaat met de bestuurder en meekijkt met eventuele regelingen, los van de vraag of een instemmingsrecht juridisch kan worden afgedwongen.

Ook bij het invoeren van personeelsvolgsystemen heeft de ondernemingsraad een instemmingsrecht. Daarbij kan worden gedacht aan cameratoezicht, tijdsregistratiesystemen, toegangspassen en e-mailcontrole. De ondernemingsraad zal ook daar de privacy van werknemers in het achterhoofd moeten houden als hij een instemmingsverzoek ontvangt, of als dit instemmingsverzoek juist uitblijft terwijl de bestuurder wel wijzigingen wil doorvoeren. Het is goed om te bedenken dat de ondernemingsraad al een instemmingsrecht heeft op het moment dat de bestuurder een bepaalde voorziening wil gaan gebruiken die geschikt is om personeel te controleren, ongeacht of de voorziening daarvoor wordt gebruikt. Zo is een besluit tot het aanschaffen van nieuwe bedrijfsauto’s instemmingsplichtig als deze auto’s GPS hebben, ook als de bestuurder op dat moment niet van plan is de GPS-functie te gebruiken. De ondernemingsraad kan vervolgens in het instemmingstraject duidelijke afspraken maken over het al dan niet gebruiken van de GPS.

De ondernemingsraad kan ook verder denken dan het instemmingsrecht. De ondernemingsraad heeft bijvoorbeeld een adviesrecht over voorgenomen besluiten inzake belangrijke technologische voorzieningen, en daarbij kunnen privacyaspecten ook een rol spelen.

Daarnaast heeft de ondernemingsraad in sommige situaties een overeenstemmingsrecht. Bijvoorbeeld bij de keuze voor een Arbodienst. Bij die keuze kijkt de ondernemingsraad natuurlijk goed naar de kwaliteiten van de Arbodienst, maar moet de ondernemingsraad ook nagaan of de te kiezen Arbodienst wel goed omgaat met de privacy van werknemers. De ondernemingsraad kan bijvoorbeeld vragen om inzage in de te sluiten verwerkersovereenkomst.

De ondernemingsraad zal de ontwikkelingen binnen de onderneming op het gebied van privacy van werknemers dus goed in de gaten moeten houden, bijvoorbeeld door dit ter sprake te brengen in de overlegvergadering of door gebruik te maken van zijn informatierecht of initiatiefrecht. En als er iets speelt, kan de ondernemingsraad gebruik maken van zijn instemmingsrecht en soms het adviesrecht of overeenstemmingsrecht. Mocht u vragen hebben, bijvoorbeeld naar aanleiding van een instemmingsaanvraag of juist omdat u zich afvraagt of u een instemmingsverzoek zou moeten krijgen, neem dan contact met ons op.

Heeft u vragen over dit artikel, neemt u dan contact op met ons team Arbeidsrecht, Medezeggenschap & mediation