Betreft
Een oude werkgever speelt belastende informatie door naar de nieuwe werkgever
Context
Mondelinge gegevensuitwisseling tussen een oude en nieuw werkgever van persoonsgegevens van een werknemer
Rechtsgrond
Artikel 5.1.a) GDPR: “Persoonsgegevens moeten: a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”)”.
Artikel 6 GDPR: “1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan: a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
Artikel 10 GDPR: “Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.”
Feiten
Een marketing- en communicatiemedewerker werd in 2017 ontslagen door een groepspraktijk van huisartsen (hierna: verwerkingsverantwoordelijke (1)) met een opzegtermijn van twee maanden. Tijdens deze periode zou hij niet aan zijn beroepsverplichtingen hebben voldaan waardoor werd besloten om de medewerker op onbetaald verlof te sturen. Deze laatste ging hiermee niet akkoord en besloot naar zijn vakbond te stappen.
Na het ontslag werkte de medewerker een paar maanden voor een andere onderneming (hierna: verwerkingsverantwoordelijke (2)). Opnieuw werd de medewerker ontslagen en er werd een procedure in kortgeding ingeleid door zijn laatste werkgever om bepaald bestanden van hem terug te vorderen.
In het schrijven van verwerkingsverantwoordelijke (1) naar de vakbond van de medewerker wordt hiernaar verwezen:
“Inmiddels nam zijn nieuwe werkgever – de tweede verweerder – contact met ons op om ons te informeren over zijn houding die vergelijkbaar is met deze die hij binnen ons bedrijf had, d.w.z. hij kwam niet opdagen op zijn werkplek na een bepaalde periode en bracht geen verslag uit over zijn prestaties. Het bedrijf heeft na 2 maanden zijn vooropzeg moeten geven.
Volgens mijn informatie heeft er onlangs een geschil plaatsgevonden tussen uw lid en zijn nieuwe werkgever, waarbij hij naar verluidt valse argumenten heeft gebruikt en tegen de regels van het bedrijf heeft gehandeld.
De rechtbank veroordeelde hem tot het betalen van een schadevergoeding voor deze feiten”.
De klacht die de medewerker heeft ingediend bij de Gegevensbeschermingsautoriteit omvat twee luiken:
1. Eerste luik gericht tegen verwerkingsverantwoordelijke (2):
De medewerker stelt ten eerste dat de onderneming aan de verwerkingsverantwoordelijke (1) informatie heeft verstrekt over de uitvoering van zijn werkzaamheden, alsmede informatie over de gerechtelijke procedure die de onderneming tegen hem heeft aangespannen met het oog op de terugvordering van bepaalde bestanden.
Beide verwerkingsverantwoordelijken verklaren inderdaad dat deze informatie-uitwisseling mondeling heeft plaatsgevonden. Volgens verwerkingsverantwoordelijke (2) werd er gewoonweg telefonisch algemene informatie verstrekt, informatie waarop de GDPR niet van toepassing zou zijn.
De Geschillenkamer volgt deze visie en verklaart de klacht ongegrond. De mededeling van verwerkingsverantwoordelijke (2) van de informatie dat de medewerker door de rechterlijke instanties is veroordeeld, vormt geen automatische verwerking van gegevens of een manuele verwerking van gegevens die bestemd zijn om deel uit te maken van een bestand conform artikel 2 van de GDPR.
2. Tweede luik gericht tegen verwerkingsverantwoordelijke (1):
Ten tweede stelt de medewerker verder dat verwerkingsverantwoordelijke (1) dezelfde informatie heeft verzameld bij verwerkingsverantwoordelijke (2) en deze bij brief van 14 juni 2018 heeft meegedeeld aan zijn vakbond.
Als verwerkingsverantwoordelijke is de verwerkingsverantwoordelijke (1) verplicht de gegevensbeschermingsbeginselen in acht te nemen en moet hij kunnen aantonen dat deze beginselen worden nageleefd en alle daartoe noodzakelijke maatregelen ten uitvoer te leggen.
Het verzamelen van informatie bij verwerkingsverantwoordelijke (2) en de mededeling bij brief van 14 juni 2018 van verwerkingsverantwoordelijke (1) aan de vakbond in combinatie met de informatie dat de medewerker het voorwerp is geweest van een rechterlijke beslissing, zijn volgens de Geschillenkamer wel verwerkingen van persoonsgegevens die onder de toepassing van de GDPR vallen. Zij moeten gebaseerd zijn op een van de rechtsgronden uit artikel 6 van de GDPR.
De Geschillenkamer is van oordeel dat verwerkingsverantwoordelijke (1) de genoemde gegevensverwerkingen niet kon baseren op zijn gerechtvaardigd belang. Bij gebrek aan enige grondslag voor de rechtmatigheid concludeert de Geschillenkamer dat artikel 5 § a) van de GDPR j° artikel 6 van de GDPR in het onderhavige geval niet is nageleefd. Bovendien heeft zij het loyaliteitsbeginsel niet in acht genomen door disproportionele en irrelevante informatie te verwerken, die afkomstig was van derden zonder medeweten van de medewerker.
Interessant hierbij is nog dat de Geschillenkamer nogmaals haar bevoegdheden en taken toelicht. Zo is het haar taak om de naleving van de regelgeving betreffende gegevensverwerking te controleren, ongeacht de sector waarin deze gegevensverwerking plaatsvindt. Het is evenwel niet haar taak om de rechtbanken (in dit geval de arbeidsrechtbanken) te vervangen bij de uitoefening van hun bevoegdheden.
Uitspraak
Gelet op een aantal verzachtende omstandigheden zoals (1) betwiste gegevens werden mondeling verzameld, (2) werden meegedeeld d.mv. één enkele brief, (3) aan de vakbond van de medewerker die hij vertegenwoordigde, (4) geheimhoudingsplicht vakbond, en (5) geen eerdere overtreding GDPR, besluit de Geschillenkamer om louter een berisping op te leggen aan verwerkingsverantwoordelijke (1).
Aangezien de klacht ten aanzien van verwerkingsverantwoordelijke (2) ongegrond werd verklaard, gaat zij vrijuit.
Onze mening
Het mondeling doorspelen van informatie valt volgens deze beslissing niet onder de GDPR. Het moet ofwel een automatische verwerking betreffen ofwel een manuele verwerking die bestemd is om deel uit te maken van een bestand. Het is toch minstens eigenaardig en enigszins frappant te noemen dat het mondeling doorspelen van dergelijke gevoelige gerechtelijke informatie niet onder het toepassingsgebied van de GDPR valt. De GDPR is net in het leven geroepen om het recht op privacy van de burgers te beschermen. De beslissing van de GBA is o.i. dan ook een stap achteruit in de bescherming van de burger.
Ten tweede moet er steeds getoetst worden of er een rechtmatigheidsgrond is voor de verwerking. In casu is deze niet voorhanden voor verwerkingsverantwoordelijke (1) aangezien deze niet kan verantwoorden een gerechtvaardigd belang te hebben dat proportioneel is t.o.v. de gegevensbescherming van het individu.
Artikel 10 GDPR heeft alleen betrekking op de verwerking van persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten en kan niet worden uitgebreid tot administratieve sancties of burgerrechtelijke veroordelingen. Daarmee is niet gezegd dat gerechtelijke informatie door hun aard niet gevoelig zijn.
Definitief?
Ja
Integrale beslissing