8.4.2 Het samenstellen van de dataset

Persoonsgegevens zijn volgens art. 4 lid 1 AVG ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon, met name aan de hand van een naam, identificatienummer, locatiegegevens of een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetisch, psychische, economische, culturele of sociale identiteit van de betrokken persoon’. Een dataset waarmee werknemers of platformwerkers worden geselecteerd of waarmee werk wordt verdeeld, zal veelal data bevatten met profielen van personen die een soortgelijke functie uitoefenen of hebben uitgeoefend (hierna aangeduid als functionaris). Zoals besproken kunnen dat ‘persoonlijke’ gegevens zijn zoals cv, prestatie-indicatoren en e-mailbestanden. Aan de dataset kunnen ook ‘onpersoonlijke’ data worden toegevoegd, zoals bij een dienstenplatform de preferenties van klanten in postcodegebieden.

De centrale beginselen van gegevensverwerking worden opgesomd in art. 5 AVG. Volgens deze beginselen mogen persoonsgegevens alleen gebruikt worden voor een welbepaald en uitdrukkelijk omschreven doel. De gegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Naast dit beginsel van minimale gegevensverwerking geldt het beginsel van doelbinding. Dat wil zeggen dat een persoonsgegeven niet verder mag worden verwerkt op een met de oorspronkelijke doeleinden onverenigbare wijze (art. 5 lid 1 sub b AVG). Voorts moet voor elk verzameld gegeven worden aangetoond dat er een rechtmatige verwerkingsgrondslag is, zoals vereist in art. 6 AVG.

Dit roept vragen op over de mogelijkheid om persoonsgegevens van functionarissen te gebruiken om een beslisalgoritme voor kandidaten of platformwerkers mee te bouwen. Veel functionarissen zullen werknemers zijn of anderszins een afhankelijke positie innemen.2 Toestemming van deze betrokkenen om hun gegevens voor dit doel te verwerken zal niet zo snel een rechtmatige grondslag zijn. Volgens art. 7 AVG jo. art. 4 lid 11 AVG wordt onder toestemming als grondslag voor gegevensverwerking verstaan, elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting. De betrokkene moet krachtens art. 7 lid 3 AVG het recht hebben de toestemming te allen tijde in te trekken. Omdat de werknemer afhankelijk is van zijn werkgever is de toestemming niet vrij en is deze grondslag in de arbeidsrelatie niet of nauwelijks beschikbaar.3 De werkgever moet daarom een andere grondslag aanwijzen voor gegevensverwerking. Dat zal veelal liggen in het legitieme doel in de zin van art. 6 lid 1 sub f AVG. Voor zover de gegevens al eerder om andere redenen verkregen zijn, moet dat doel voldoende dicht bij het oorspronkelijke doel liggen.

Te verdedigen valt dat de werkgever een gerechtvaardigd belang heeft bij het gebruiken van persoonsgegevens ten behoeve van de trainingsdataset, voor zover deze data in het bedrijf zelf zijn gegenereerd, zoals prestaties en tekstbestanden. Deze data mag de werkgever ten goede laten komen aan bedrijfsdoelen, waaronder het werven van nieuw personeel of het verdelen van werk. Om de impact van de verwerking te minimaliseren, kan hij deze gegevens pseudonimiseren (zie art. 32 jo. art. 4 lid 5 AVG). De vraag rijst of gegevens over de levensloop van functionarissen voorafgaand aan indiensttreding of buiten het werk ook gebruikt kunnen worden. Dit hangt mede af van de vraag of deze gegevens wel in het functieprofiel mogen voorkomen en wat er geldt op het gebied van bijzondere persoonsgegevens (zie hierna par. 8.4.3).