Toestemming en gerechtvaardigd belang bij onderzoek op de werkvloer

In een recent arrest van Hof Arnhem/Leeuwarden (Hof Arnhem-Leeuwarden 4 februari 2014, JAR 2014/4) wordt een recherchebureau op de vingers getikt voor het onrechtmatig verwerken van persoonsgegevens. In het kader van onderzoek op de werkvloer stelt het Hof strenge eisen aan de verwerkingsgronden “toestemming” en “gerechtvaardigd belang”.

Casus

De werknemer heeft een laptop van de zaak, waarop hij ook een werkdagboek bijhoudt. Daarin maakt hij persoonlijke aantekeningen m.b.t. het (financiële) reilen en zeilen van zijn werkgever.

Tijdens een congres waar werknemer met collega’s aanwezig is, wordt een anonieme e-mail binnen de organisatie van werkgever verspreid. In die e-mail wordt een bestuurder van werkgever beticht van malversaties. De werkgever schakelt een recherchebureau in om de auteur en verzender van de e-mail te achterhalen. Ten behoeve van het onderzoek leveren werknemer en collega’s hun laptop in. Op de expliciete vraag van werknemers of hun persoonlijke documenten worden doorzocht, antwoordt de werkgever dat dit alleen gebeurt als “relevant materiaal” is gevonden.

Het IP-adres waarmee de e-mail is verzonden wordt niet aangetroffen op de laptop van de werknemer. Het bureau kon dus niet vaststellen dat werknemer de auteur of verzender van de e-mail was. Het doorzoeken van de laptop met behulp van trefwoorden uit de e-mail, leidt echter wel tot treffers in het persoonlijke dagboek van de werknemer. Daarin is ook te lezen dat de werknemer zich zorgen maakt om de financiële situatie van de werkgever. Het bureau besluit dit mee te delen aan werkgever en geeft de werkgever een kopie van het dagboek.

De werkgever concludeert op basis van het onderzoek dat werknemer bestuursleden van malversaties heeft beschuldigd en treft disciplinaire maatregelen. De werknemer wordt gedemoveerd naar een lagere functie. Uiteindelijk sluiten partijen een vaststellingsovereenkomst waardoor het dienstverband eindigt.

De werknemer start vervolgens een procedure tegen het recherchebureau. Volgens de werknemer is zowel het lezen van als het ter beschikking stellen van zijn dagboek onrechtmatig.

Het recherchebureau stelt dat zij wel kennis mocht nemen van het dagboek en dit aan de werkgever mocht toesturen, omdat zij daar toestemming van de werknemer voor had en daar een gerechtvaardigd belang voor bestond. Beide kunnen in het kader van de Wet Bescherming Persoonsgegevens een grondslag opleveren om persoonsgegevens (zoals het dagboek van werknemer) te mogen verwerken. Het Hof maakt echter korte metten met dit verweer van het recherchebureau.

* T.a.v. de toestemming

Op grond van de wet moet sprake zijn van ondubbelzinnige toestemming. Toestemming betekent een vrije, specifieke en op informatie berustende wilsuiting waarmee iemand aanvaardt dat zijn persoonsgegevens worden verwerkt. Het wettelijk criterium is streng. Bovendien geldt voor het recherchebureau een Gedragscode op het gebied van privacy. Daarin is bepaald dat essentieel is dat de betrokkene in vrijheid kon bepalen dat gegevens mochten worden verwerkt. Als het bureau twijfelt of toestemming is verleend, moet zij op grond van de Gedragscode verifiëren of er terecht van uit wordt gegaan dat toestemming is verleend voor de beoogde verwerking.

Vast staat dat de werknemer geen expliciete toestemming heeft gegeven voor het verwerken van persoonlijke documenten (zoals het dagboek). Het bureau stelt echter dat zij mocht vertrouwen op impliciete instemming van de werknemer, omdat de werknemer geen vragen had gesteld over en niet had geprotesteerd tegen het betrekken van zijn dagboek in het onderzoek. Het Hof acht dat niet voldoende om impliciete toestemming aan te nemen. Daarbij speelt mee dat niet uitgesloten kan worden dat de (ongelijke) positie als werknemer de assertiviteit van een werknemer negatief beïnvloedt.

Voor het aannemen van impliciete toestemming is volgens het Hof in ieder geval nodig dat het de werknemer bij het inleveren van zijn laptop zonder meer duidelijk was dat bij het onderzoek ook zijn persoonlijke documenten zouden worden betrokken. Aan die eis wordt hier niet voldaan.

* T.a.v. het gerechtvaardigd belang

Op grond van de wet mogen persoonsgegevens worden verwerkt indien dat noodzakelijk is voor de behartiging van een gerechtvaardigd belang, tenzij (o.a.) het recht op privacy van degene wiens persoonsgegevens worden verwerkt prevaleert.

Het Hof overweegt dat de betrokkenheid van de werknemer bij het opstellen en versturen van de e-mail niet kon worden vastgesteld. Voor die conclusie hoefde het bureau het dagboek niet aan werkgever te verstrekken. Bovendien is niet onderbouwd dat de werkgever zou worden bedreigd in haar voortbestaan c.q. dat ontwrichting van de bedrijfsvoering zou dreigen als zij geen kennis zou hebben van het dagboek. Daarom acht het Hof geen gerechtvaardigd belang aanwezig voor de kennisname van het dagboek door werkgever.

Het belang van werkgever om na ontvangst van de anonieme e-mail mogelijke tegenstanders binnen haar eigen bedrijf op te willen sporen, gaat volgens het Hof niet zover dat daarvoor het privacybelang van werknemer moet wijken.

Tot slot wijst het Hof erop dat zelfs als het onderzoek mede gericht zou zijn geweest op het vinden van de bron voor de e-mail (waarover partijen twisten), het recherchebureau de Wet bescherming persoonsgegevens heeft overtreden. In dat geval had het bureau met een aanmerkelijk minder ernstige inbreuk  op de privacy van de werknemer kunnen volstaan. Het bureau is veel te ver gegaan door het dagboek geheel buiten werknemer om en voorafgaand aan het gesprek tussen werkgever en werknemer aan werkgever te geven. Het bureau had zich moeten realiseren dat het vrijgeven van het dagboek aan werkgever, de relatie tussen werkgever en werknemer ernstig zou kunnen beïnvloeden.

Het Hof concludeert dat het bureau onrechtmatig heeft gehandeld en de schade van werknemer moet vergoeden. De omvang van die schade zal in een vervolgprocedure worden vastgesteld.

Conclusie

Het arrest maakt duidelijk dat grote voorzichtigheid geboden is bij de verwerking van persoonsgegevens op grond van een gegeven toestemming. Dat geldt in het bijzonder bij het verwerken van persoonsgegevens in het kader van (recherche)onderzoek op de werkvloer. In dat geval is het vertrouwen op een impliciete toestemming te risicovol. Een toestemming moet ondubbelzinnig gegeven zijn. Een expliciete toestemming als grond voor verwerking is evenmin aan te raden, vanwege de ongelijke positie van de werknemer ten opzichte van zijn werkgever. De werknemer zal meestal niet daadwerkelijk vrij zijn om die toestemming te weigeren. Bij het verwerken van persoonsgegevens in een arbeidsverhouding dient een werkgever dan ook vóór die verwerking te controleren of hij daarvoor een gerechtvaardigd belang heeft, waarvoor de verwerking van persoonsgegevens bovendien noodzakelijk moet zijn. Als het gerechtvaardigde belang zonder verwerking van persoonsgegevens kan worden gediend dan is die verwerking niet toegestaan. De verwerking is evenmin toegestaan als het privacybelang van de werknemer zwaarder moet wegen dan het gerechtvaardigd belang van werkgever bij die verwerking. De werkgever zal in die belangenafweging steeds moeten beoordelen of de met de gegevensverwerking gemaakte inbreuk op de privacy van de werknemer in een redelijke verhouding staat tot het doel van die verwerking (proportionaliteit) en of dat doel niet met een minder ingrijpende vorm van gegevensverwerking kan worden bereikt (subsidiariteit).