3.6.5 De AVG en directe mededelingen

Een ex-werkgever kan ook directe mededelingen doen aan de nieuwe/toekomstige werkgever van de ex-werknemer en ook dit kwalificeert als een verwerking van persoonsgegevens. Het optreden door de ex-werkgever als referent op verzoek van de ex-werknemer valt onder de grondslag van ondubbelzinnige toestemming, welke als gezegd naar mijn mening geldig is indien overeengekomen in de postcontractuele fase.1 Uit het feit dat de ex-werknemer zelf toestemming verleent mag ook worden afgeleid dat de ex-werknemer op de hoogte is van het doeleinde van de verwerking (artikel 13 AVG).2 Hoewel het bewaren van gegevens door de ex-werkgever om vragen te kunnen beantwoorden over het arbeidsverleden geen primair doeleinde is waarvoor die gegevens zijn verzameld, mogen deze gegevens door de ex-werkgever worden gebruikt zolang deze daar rechtens over mag beschikken.3

Bij het optreden als referent gaat het doorgaans om positieve informatie, die met instemming van de ex-werknemer wordt verwerkt. Dat stuit op weinig problemen, zolang de verschafte gegevens over de ex-werknemer maar juist zijn (artikel 5 lid 1 onder d AVG) en niet van een bijzondere aard zijn, zoals gezondheid (artikel 9 AVG).4 Een referent dient wel alle mogelijk relevante informatie te vermelden, ook negatieve informatie.5 Het onthouden van noodzakelijke informatie voor de nieuwe werkgever kan de ex-werkgever schadeplichtig maken. Als doorgegeven informatie onjuist is, resulteert dat niet in onrechtmatigheid als de referent dat niet wist of behoorde te weten.6

Los van beperkingen die voortvloeien uit een postcontractueel non-disparagement beding in een vaststellingsovereenkomst,7 gaat ook de NVP Sollicitatiecode uit van toestemming van de ex-werknemer als verwerkingsgrondslag. Indien die toestemming ontbreekt, kan het verschaffen van informatie onrechtmatig zijn, zelfs als de informatie feitelijk juist is.8 Dit levert namelijk een schending op van de verplichting om persoonsgegevens op behoorlijke en rechtmatige wijze te verwerken (artikel 5 lid 1 onder a AVG).9 De rechtmatigheid ontbreekt door de afwezigheid van een verwerkingsgrondslag; de ex-werknemer heeft niet ingestemd en een juridische verplichting van de ex-werkgever om gegevens aan de nieuwe/toekomstige werkgever ter beschikking te stellen zal er slechts in uitzonderingsgevallen zijn.10 De enige dan nog denkbare resterende grondslag is de aanwezigheid van een gerechtvaardigd belang van de ex-werkgever of de nieuwe/toekomstige werkgever (artikel 6 lid 1 onder f AVG). Volgens de AP hoort dit voor de nieuwe/toekomstige werkgever zelfs de hoofdweg te zijn, omdat de sollicitant in een afhankelijke relatie ten opzichte van hem staat. Voor de ex-werkgever geldt dat de ex-werknemer een ‘trap nageven’ in ieder geval geen gerechtvaardigd belang is. Er is bij deze grondslag bovendien sprake van een dubbele toets: er moet niet alleen sprake zijn van een gerechtvaardigd belang, ook moet het belang van de ex-werknemer om de gegevens niet te verwerken niet prevaleren boven dit gerechtvaardigde belang.11 Het gaat dan dus om een extrabelangenafweging als uitvloeisel van proportionaliteit.12

Er lijkt hierbij in de rechtspraak wel nog enige clementie te zijn voor zover gelieerde werkgevers onderling navraag doen.13 Verder wijs ik nog op de omstandigheden van artikel 41 lid 1 onder d en i UAVG: het voorkomen van strafbare feiten en de bescherming van de rechten en vrijheden van anderen. In dat geval zijn diverse verplichtingen niet van toepassing en zal er doorgaans een aantoonbaar gerechtvaardigd belang van de nieuwe/toekomstige werkgever zijn aan te wijzen. Het gaat hier, als gezegd, wel om uitzonderlijke omstandigheden; artikel 41 UAVG moet restrictief worden geïnterpreteerd.14 Van geval tot geval zal moeten worden gekeken of een beroep op artikel 41 UAVG toelaatbaar is, als hoofdregel zal dat niet het geval zijn.

De verwerking is te meer niet behoorlijk als de ex-werknemer daarvan voorafgaand niet op de hoogte is gesteld (artikel 13 AVG). De ratio achter die informatieverplichting is immers dat de betrokkene (de ex-werknemer) in staat is te volgen hoe gegevens over hem worden verwerkt en bepaalde vormen van verwerking of onrechtmatig gedrag van de verantwoordelijke in rechte aan te kunnen vechten.15

Tot slot mogen persoonsgegevens niet worden verwerkt op een wijze die ‘onverenigbaar’ is met het doel waarvoor ze zijn verkregen (artikel 5 lid 1 onder b AVG). Een voorloper van de AVG, de Wet persoonsregistraties, stelde dat voor gebruik buiten de organisatie van de verantwoordelijke, verstrekking aan een derde moest voortvloeien uit het doel van de registratie. Artikel 11 lid 2 Wet persoonsregistraties stelde daarnaast ook nog eens dat alleen ‘desgevraagd’ gegevens aan een derde mochten worden verstrekt. De Registratiekamer (een voorloper van de AP) stelde zich daarom destijds op het standpunt dat het ter beschikking stellen van persoonsgegevens van de ex-werknemer aan de nieuwe/toekomstige werkgever niet voortvloeide uit het doel van personeelsadministratie van de ex-werkgever en niet ongevraagd mocht geschieden.16 De AVG hanteert nu het criterium van ‘onverenigbaarheid’. Het gebruik van bijzondere persoonsgegevens en strafrechtelijke persoonsgegevens zal sneller tot de conclusie leiden dat er sprake is van onverenigbaar gebruik.17 Dat betekent dat het melden aan de nieuwe/toekomstige werkgever dat de ex-werknemer is ontslagen wegens fraude, al snel tot de conclusie leidt van onverenigbaarheid. Daar komt nog eens bij dat de ex-werknemer van deze verwerking nadelen zal ondervinden, wat nog eens extrade onverenigbaarheid benadrukt.

Bij een antecedentenregister spelen de voorgaande complicaties niet, omdat daar sprake is van een systeem waarbij de werknemers kennis hebben van het bestaan van het register, de AP heeft getoetst dat er sprake is van een gerechtvaardigd belang en het doel van de verwerking van persoonsgegevens ook ziet op het in stand houden van het register.

Mocht een ex-werkgever denken de wet te kunnen omzeilen door de nieuwe/toekomstige werkgever op te leggen dat deze niet mag verwijzen naar de door hem verschafte gegevens, dan kan hij van een koude kermis thuiskomen. De ex-werknemer heeft immers een inzagerecht (artikel 15 AVG), behalve als de uitzonderlijke omstandigheden van artikel 41 UAVG van toepassing zijn.18 Het inzagerecht ziet niet op interne notities met persoonlijke gedachten voor intern overleg en beraad, of een juridische analyse.19 Onduidelijk is of de nieuwe/toekomstige werkgever een beroep van de ex-werknemer op inzage zou kunnen ontzeggen op basis van de bescherming van de rechten van de ex-werkgever (artikel 41 lid 1 onder i UAVG); de kans lijkt mij klein, aangezien die bescherming enkel zou zien op het voorkomen van zijn aansprakelijkheid.20 Meer heil valt er voor de ex-werkgever te verwachten van het doen van mededelingen op een wijze die geheel niet onder de AVG valt.21 De werkingssfeer van de AVG is namelijk beperkt tot de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen (artikel 2 lid 1 AVG). Een bestand is een gestructureerd geheel van persoonsgegevens dat volgens bepaalde criteria toegankelijk is (artikel 4 onder 6 AVG). Een ongestructureerd, handmatig dossier over een enkel persoon valt dus niet onder de AVG.22 Een kwaadwillende ex-werkgever zou dus met de nieuwe/toekomstige werkgever kunnen afspreken dat de verschafte persoonsgegevens niet in een bestand mogen komen. Dat neemt echter niet weg dat aansprakelijkheid voor gegevens die niet in een bestand zitten, uit hoofde van bijvoorbeeld onrechtmatige daad nog mogelijk is.23

Terug naar het ABN AMRO-arrest, waar de Hoge Raad geen woord besteedt aan de toenmalige Wbp (paragraaf 3.6.3).24 Dat het al dan niet geven van een verklaring een verwerking van persoonsgegevens betreft kan moeilijk worden betwist en alleen al daarom is het vreemd dat de Wbp in het arrest schittert door afwezigheid. Het AVG-vereiste dat de persoonsgegevens van de ex-werknemer juist moeten zijn (artikel 5 AVG) kan prima als basis dienen voor een rechtsvordering tot het afdwingen van een integriteits- of werkgeversverklaring. Belangrijk is ook dat het weigeren door de ex-werkgever van een door de nieuwe/toekomstige werkgever gevraagde verklaring een verwerking van strafrechtelijke persoonsgegevens kan zijn. De AP heeft, naar mijn mening terecht, het standpunt ingenomen dat uit het niet afgeven van een verklaring omtrent het gedrag kan worden afgeleid dat er een strafrechtelijk verleden is, wat resulteert in uitwisseling van strafrechtelijke gegevens.25 Die mogen alleen worden uitgewisseld met derden met een vergunning (artikel 33 lid 4 onder c UAVG). De AP deed deze uitlating in het kader van informatie-uitwisseling tussen uitzendbureaus en opdrachtgevers over het al dan niet aanwezig zijn van een verklaring omtrent het gedrag voor uitzendkrachten. De parallel met tussen werkgevers uitgewisselde verklaringen is evident, met als enige verschil dat het niet geven van een verklaring niet per definitie een strafrechtelijk gegeven betekent. Had dit nu verschil gemaakt voor het ABN AMRO-arrest? Als naar de aangewreven handelingen van de oud-districtsdirecteur wordt gekeken niet; wat hem kwalijk werd genomen viel in de categorie vriendjespolitiek en respectloos gedrag. Dat zijn geen strafrechtelijke gegevens. In andere omstandigheden kan dat wel aan de orde zijn. Het is dan ook niet verwonderlijk dat de verwerking van persoonsgegevens van bankmedewerkers in het tuchtrechtelijk register (op basis van artikel 3:17c Wft) door middel van een voorafgaand onderzoek is goedgekeurd.26