2.3.3 Vergelijking met de AVG

Een voorbeeld van wetgeving die voorbijgaat aan het zojuist genoemde relatieve einde van de arbeidsovereenkomst, in de zin dat deze gewoon van toepassing blijft met als doel voortdurende bescherming van de zwakkere partij, is de wetgeving over de bescherming van persoonsgegevens. De AVG1 en de aanvullende UAVG werken niet met de begrippen ‘(ex-)werkgever’ of ‘(ex-)werknemer’, maar met eigen begrippen als ‘verwerkingsverantwoordelijke’ en ‘betrokkene’. De ‘verwerkingsverantwoordelijke’ is volgens artikel 4 AVG degene die het doel en de middelen van de verwerking van persoonsgegevens vaststelt, de ‘betrokkene’ is de geïdentificeerde of identificeerbare natuurlijke persoon van wie persoonsgegevens worden verwerkt. In een arbeidsverhouding geldt de werkgever als verwerkingsverantwoordelijke en de werknemer als betrokkene. In de woorden van de voormalige Artikel 29-werkgroep, is het bijzondere van (nu) de AVG in de arbeidsverhouding dat ‘although the collection of personal data of a given worker normally finishes at the end of his/her employment relationship, the processing of his personal information by the former employer may continue’.2 Van der Heijden3 noemt privacy van de werknemer een paradox; wil je privacy zien als het recht om met rust te worden gelaten, dan wordt de werknemer dat juist niet. Hoewel in mindere mate van intensiteit, wordt de ex-werknemer dat ook bepaald niet. Ex-werkgevers bewaren vaak voor kortere of langere duur de persoonsgegevens van hun ex-werknemer, al dan niet uit hoofde van een wettelijke bewaarplicht, zoals voor de loonbelasting (artikel 23 lid 5 Wet LB 1964, artikel 7.5 Uitvoeringsregeling loonbelasting 2011) of pensioen (artikel 169 Pw). Ook bewaren is een verwerkingshandeling (artikel 4 AVG). De hoedanigheid van het zijn van ‘verwerkingsverantwoordelijke’ eindigt daarmee voor de (ex-)werkgever niet op het moment dat de arbeidsovereenkomst eindigt. Dat betekent concreet dat de verplichtingen van de (ex-)werkgever onder de AVG doorlopen na het einde van de arbeidsovereenkomst, zoals de verplichting om passende maatregelen te nemen om gegevens te beveiligen (artikel 5 AVG) en inbreuken op die beveiliging te melden (artikel 33 AVG). Ook de rechten van de (ex-)werknemer lopen door, zoals het recht op rectificatie en verwijdering van persoonsgegevens (artikel 16 AVG en artikel 17 AVG).

Er is geen harde datum te noemen wanneer de (ex-)werkgever verwerkingsverantwoordelijke af is. In zijn algemeenheid fungeert als grondslag voor de verwerking van persoonsgegevens in de arbeidsrelatie artikel 6 lid 1 onder b AVG; de verwerking is noodzakelijk om de arbeidsovereenkomst uit te voeren. Die noodzaak zal doorgaans vervallen bij het einde van het dienstverband.4 Sommige (zo niet: heel veel) werkgevers opteerden ten tijde van de Wbp voor een andere grondslag, namelijk de werknemer in de arbeidsovereenkomst laten tekenen voor ondubbelzinnige toestemming om zijn persoonsgegevens te verwerken (artikel 8 onder a Wbp, nu artikel 6 lid 1 onder a AVG). Onder de Wbp werd al aangenomen dat een dergelijke toestemming niet rechtsgeldig is wegens het bestaan van een gezagsverhouding tussen werkgever en werknemer, waardoor de toestemming niet in volledige vrijheid kan worden gegeven.5 Onder de AVG en UAVG kan daarover geen twijfel meer bestaan.6 Naar mijn mening vervalt dit argument echter wanneer de arbeidsovereenkomst is geëindigd en kan dus toestemming na het einde van het dienstverband als grondslag dienen. Dat neemt niet weg dat een tijdens (of voorafgaand aan) het dienstverband gegeven ongeldige toestemming niet plotsklaps toch weer geldig wordt bij het einde daarvan, wanneer de toestemming ook ziet op de postcontractuele fase. Toestemming zal de ex-werknemer dan opnieuw moeten worden gevraagd. Een dergelijke toestemming zou naar mijn mening ook door middel van een cao kunnen worden gegeven, waarbij de vakbonden – die zich niet in een ondergeschiktheidspositie bevinden – namens de (ex-)werknemer toestemming geven.7 Voor de gebondenheid van een ex-werknemer aan cao’s verwijs ik naar hoofdstuk 5.

Voor het einde van de status van verwerkingsverantwoordelijke is ook artikel 5 lid 1 onder e AVG van belang. Dit artikel stelt dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of verwerkt, met uitzondering van bewaring van persoonsgegevens voor historische, statistische of wetenschappelijke doeleinden. Aangezien persoonsgegevens doorgaans worden verwerkt of verzameld door de werkgever om de arbeidsovereenkomst uit te kunnen voeren, zal voor veel persoonsgegevens gelden dat het niet langer noodzakelijk is deze te blijven bewaren na het einde van de arbeidsovereenkomst. Gegevens die moeten worden bewaard om te voldoen aan een wettelijke plicht of die nodig zijn voor de onderbouwing van een rechtsvordering, hoeven niet te worden gewist (artikel 17 lid 3 AVG).

Het met de inwerkingtreding van de AVG vervallen Vrijstellingsbesluit Wbp – dat de uitzonderingen bevatte voor de meldingsplicht ex artikel 27 Wbp ten aanzien van de geautomatiseerde verwerking van persoonsgegevens – bevatte in dat kader een bijzondere regeling voor onder meer de persoons- en salarisadministratie (artikel 7 Vrijstellingsbesluit Wbp en artikel 8 Vrijstellingsbesluit Wbp). De daarin vrijgestelde verwerkingen noemden als voorwaarde dat de persoonsgegevens uiterlijk twee jaar na het einde van het dienstverband dienden te worden verwijderd. Werd aan die voorwaarde niet voldaan, dan verviel de vrijstellingsgrond. Voor bijvoorbeeld pensioen en VUT werd de vrijstelling zelfs volledig losgekoppeld van het einde van de arbeidsovereenkomst, en gold dat de persoonsgegevens dienden te worden verwijderd uiterlijk twee jaar na het einde van de ‘aanspraak’ (artikel 10 Vrijstellingsbesluit Wbp). Hoewel de tweejaarstermijn slechts gold in het kader van de meldingsvrijstelling, werd deze in de praktijk door veel ex-werkgevers gehanteerd als maatstaf voor toepassing van het weinig concrete artikel 10 Wbp, de voorloper van artikel 5 lid 1 onder e AVG. Ook in het huidige AVG-tijdperk kan daarbij wellicht nog aansluiting worden gezocht, aangezien met de UAVG zoveel mogelijk aansluiting is gezocht bij het normenkader van de Wbp, met zo klein mogelijke verschillen.8 De AP doet dit in de guidance op zijn website ook en noemt daarnaast dat persoonsgegevens wel langer mogen worden bewaard als er bijvoorbeeld sprake is van een geschil, of als de persoonsgegevens anderszins relevant blijven, zoals in het geval van een reïntegratiedossier voor een ex-werkgever die eigenrisicodrager is voor de Ziektewet en WGA.9 De enkele mogelijkheid van een toekomstig geschil of strafrechtelijk onderzoek rechtvaardigt echter geen langere bewaartermijn.10

Kortom, de AVG heeft een eigen begrippenkader en blijft van toepassing op de rechtsverhouding tussen de ex-werkgever en de ex-werknemers ondanks het einde van de arbeidsovereenkomst.