Instemmingsrecht van de OR volgens het OR-privacyboekje van de AP

Inleiding

Registratie van ziekteverzuim. Camera’s op de werkplek. En – sinds Corona steeds populairder – bepaalde ‘gluursoftware’. Allemaal voorbeelden van handelingen waarmee werkgevers (bijzondere) persoonsgegevens van medewerkers verwerken en/of medewerkers ‘volgen’. In dit verband is doorgaans wel een instemmingsrecht weggelegd voor de ondernemingsraad (OR).

Om de OR hierin te ondersteunen heeft de Autoriteit Persoonsgegevens (AP) onlangs een zeventien pagina’s tellend OR-privacyboekje gepubliceerd. Aan de hand van dit document gaan we in dit blog in op de belangrijkste punten van het instemmingsrecht van de OR.

Instemmingsrecht OR

Kort en goed heeft de OR op grond van de Wet op de ondernemingsraden (WOR) een instemmingsrecht ten aanzien van (voorgenomen) besluiten van de ondernemer tot het vaststellen, wijzigen en intrekken van:

1. regelingen omtrent het verwerken en de bescherming van persoonsgegevens van de in de onderneming werkzame personen, en
2. regelingen inzake voorzieningen die gericht zijn op of geschikt zijn voor de waarneming van of controle op de aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen (ofwel: ‘personeelvolgsystemen’).

De regelingen als hierboven bedoeld moeten betrekking hebben op alle of op een groep in de onderneming werkzame personen. Voorgenomen besluiten ten aanzien van individuele medewerkers – zoals de beslissing om voor iemand of een beperkt aantal personen bepaalde volgsoftware in te zetten – hoeven dus niet ter instemming aan de OR worden voorgelegd.

Hieronder gaan we nader op de regelingen in.

(1) Regelingen omtrent verwerken en bescherming van persoonsgegevens

De WOR verwijst hier (onder meer) naar de begrippen ‘verwerken’ van ‘persoonsgegevens’ van de in de onderneming werkzame personen.

Een persoonsgegeven is kort gezegd alle informatie die – direct of indirect – herleidbaar is tot een geïdentificeerde of identificeerbare (natuurlijke) persoon. Het begrip ‘verwerken’ is eveneens breed en omvat alle handelingen die met betrekking tot ‘persoonsgegevens’ kunnen worden verricht. Denk bijvoorbeeld aan het opvragen, registreren, doorzenden en vernietigen van persoonsgegevens.

In het OR-privacyboekje gaat de AP nader op deze begrippen in en geeft het een aantal voorbeelden van veel voorkomende persoonsgegevens die door werkgevers worden verwerkt, zoals NAW-gegevens, video-opnames en het kentekennummer van de (bedrijfs)auto van de medewerker.

Naast ‘gewone’ persoonsgegevens kent de AVG ook zogeheten ‘bijzondere persoonsgegevens’. Daaronder vallen onder meer gezondheidsgegevens, biometrische gegevens en gegevens waaruit ras, politieke opvattingen of lidmaatschap van een vakbond blijken.

Zodra sprake is van een ‘verwerking’ van ‘persoonsgegevens’ dient de verwerkingsverantwoordelijke – doorgaans in ieder geval de werkgever – aan de verplichtingen uit de AVG te voldoen. Verwerking van de categorie 'bijzondere persoonsgegevens' is bovendien aan een strikt regime onderworpen. Voor de OR is het dus goed om de ondernemer kritische vragen te stellen om te toetsen of de regeling compliant is aan de AVG en – in het verlengde daarvan – op welke manier de ondernemer de belangen van de medewerkers waarborgt. In het OR-privacyboekje geeft de AP een heldere en korte opsomming van de AVG-verplichtingen en een aantal voorbeelden van vragen die de OR daarover aan de ondernemer zou kunnen stellen.

Let wel: aardig wat vragen uit het OR-privacyboekje zijn gesloten geformuleerd. Wat ons betreft is het beter om de vragen open te formuleren, omdat hiermee meer informatie wordt verkregen (én de compliance dus beter kan worden getoetst). Daarbij komt dat het instemmingsrecht van de OR alleen geldt ten aanzien van regelingen omtrent het verwerken van (of de bescherming van) (bijzondere) persoonsgegevens. Aangezien tussen het (louter) verwerken van deze (bijzondere) persoonsgegevens en het vaststellen van een regeling daaromtrent wel enige ruimte kan zitten, dient vooraf goed te worden getoetst of inderdaad sprake is van een instemmingsplichtig besluit.

(2) Regelingen op het gebied van personeelvolgsystemen

In het OR-privacyboekje gaat de AP vervolgens nader in op het instemmingsrecht van de OR ten aanzien van regelingen over – kort gezegd – personeelvolgsystemen. Deze regelingen komen in veel organisaties voor. Denk bijvoorbeeld aan de inzet van een gps-tracksysteem in bedrijfsauto's, cameratoezicht, een aanwezigheidregistratiesysteem en volgsoftware die registreert wat medewerkers op hun computer doen.

De AP merkt in dit kader terecht op dat dit soort voorzieningen niet direct hoeven te worden gebruikt als personeelvolgsystemen. Voor het instemmingsrecht van de OR is het – gelet op de term ‘geschikt zijn voor’ waarneming of controle – namelijk al voldoende dat een bepaalde voorziening als personeelvolgsysteem gebruikt kan worden.

Overigens zal een personeelvolgsysteem doorgaans ook de verwerking van persoonsgegevens met zich meebrengen. In feite is er dan dus sprake van twee instemmingsplichtige (voorgenomen) besluiten: het invoeren, wijzigen of intrekken van een regeling over een personeelvolgsysteem én een regeling over het verwerken van persoonsgegevens.

Betrek de OR op tijd

De ondernemer moet voorafgaand aan het nemen van het besluit de OR schriftelijk en onder opgave van de beweegredenen en gevolgen van het besluit om instemming vragen. Een besluit dat is genomen zonder instemming van de OR (of (vervangende) toestemming van de kantonrechter) is op grond van de WOR nietig. Nuance hierop is wel dat de OR jegens de ondernemer een actief beroep moet doen op de nietigheid. Bovendien geldt daarvoor een termijn van één maand nadat (i) de ondernemer het besluit aan de OR heeft medegedeeld of (ii) – bij gebreke van deze mededeling – de OR is gebleken dat de ondernemer uitvoering of toepassing geeft aan het besluit.

Tot slot

Het OR-privacyboekje is een compact document dat de OR praktische handvatten biedt voor de toepassing van de AVG en het instemmingsrecht van de OR. Wel is de praktijk vaak weerbarstiger dan het OR-privacyboekje doet vermoeden. Zo is het antwoord op de vraag of de OR een instemmingsrecht heeft niet altijd klip en klaar en zullen de te stellen (open) vragen afhangen van de aandachtspunten van de regelingen in kwestie.

Heeft u vragen over dit blog of andere vragen over privacy en medezeggenschap? Neemt u dan gerust contact met ons op.