AP ondersteunt OR in rol bewaking privacy

De steeds toenemende digitalisering en automatisering zet de privacy steeds meer onder druk, ook op de werkvloer. Werkgevers verwerken immers de nodige persoonsgegevens van werknemers. De ondernemingsraad (OR) moet de privacy van de achterban bewaken. De Autoriteit Persoonsgegevens (AP) onderstreept en ondersteunt die rol van de OR.

De OR heeft instemmingsrecht bij de vaststelling, wijziging of intrekking van een regeling rond het verwerken of beschermen van de persoonsgegevens van de in de onderneming werkzame personen. Dit is vastgelegd in artikel 27, lid 1k van de Wet op de ondernemingsraden (WOR). Van zo’n regeling is al snel sprake. Zo verwerkt een werkgever persoonsgegevens van werknemers in de personeelsdossiers, voor de ziekteverzuimregistratie, maar ook bij het gebruik van personeelsvolgsystemen, maar de OR moet ook alert zijn bij gebruik Artificial Intelligence. Een handreiking van de AP, 'Het OR-privacyboekje' (pdf) geeft uitleg over de geldende privacywetgeving, zoals de Algemene verordening gegevensbescherming (AVG), en geeft ondernemingsraden praktische tips voor het toepassen van hun rechten, zoals het instemmingsrecht en het initiatiefrecht.

Instemmingsrecht OR bij controle op aanwezigheid, gedrag of prestaties

Vooral personeelsvolgsystemen vragen bijzondere aandacht van de OR als het aankomt op de privacy van werknemers. Zo blijkt één op de tien werkgevers de thuiswerkers te bespieden met speciale software. Voorbeelden zijn cameratoezicht, gps-systemen in (vracht)auto’s, wearables (zoals een smartwatch) en software die bijvoorbeeld toetsaanslagen, e-mailverkeer en internetgebruik van werknemers registreert. Ook bij de vaststelling, wijziging of intrekking van een regeling voor het gebruik van zulke middelen, heeft de OR instemmingsrecht. Artikel 27, lid 1l WOR geeft de OR namelijk instemmingsrecht bij regelingen voor voorzieningen die gericht zijn op – of geschikt zijn voor – waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen. Instemming van de OR is dus ook vereist als de bestuurder de middelen niet inzet met het doel om controle uit te oefenen, maar wel die mogelijkheid heeft.  

OR moet kritisch zijn en initiatief nemen

Niet alleen is het voor zowel de OR als de bestuurder van groot belang om de instemmingstrajecten in goede banen te leiden (toolbox), de OR moet daarbij ook kritische vragen stellen én waar nodig initiatief nemen om tot verbetering te komen. Zo kan de OR onderzoeken of de in te zetten middelen het beoogde doel dienen, of er ook minder ingrijpende alternatieven beschikbaar zijn en of de beveiliging voldoet aan de eisen van de AVG. De OR kan hierbij ook advies inwinnen bij de functionaris voor gegevensbescherming van de organisatie (als die is aangesteld). Ziet de OR mogelijkheden tot verbetering, dan kan de OR een concreet advies indienen bij de bestuurder op basis van het initiatiefrecht (artikel 23, lid 3 WOR). Dit geldt ook voor bestaande regelingen. De OR hoeft dus niet af te wachten tot de bestuurder wijzigingen wil doorvoeren en een instemmingsaanvraag indient.