De rol van de ondernemingsraad bij de implementatie van de AVG

Verwerkingsactiviteiten vinden in allerlei contexten plaats, waaronder op de werkvloer. Werkgevers verwerken verschillende persoonsgegevens van hun werknemers, onder meer bij de screening van (toekomstig) personeel, in personeelsdossiers, via camera’s op de werkvloer en ten gevolge van de registratie van ziekteverzuim. Sommige van deze verwerkingen kunnen ingrijpende en potentieel nadelige gevolgen met zich meebrengen en dit alles roept noodzakelijkerwijs om extra aandacht voor de privacy van werknemers. Binnen een organisatie kunnen verschillende partijen hier een belangrijke bijdrage aan leveren, waaronder ook de ondernemingsraad (hierna: ‘OR’). In dit blog bespreken wij de privacy-gerelateerde rol van de OR en de betekenis hiervan bij de praktische implementatie van de AVG.  

De ondernemingsraad: wat, wanneer & waarom?  

De Wet op de ondernemingsraden (hierna: ‘WOR’) regelt de instelling van ondernemingsraden. 

Het uitgangspunt in deze wet is dat ondernemingen of organisaties met 50 of meer medewerkers verplicht zijn om een ondernemingsraad in te stellen. Waar het een ondernemer met meerdere bedrijven of organisaties betreft, geldt dat deze voor elke onderneming of organisatie die aan dit criterium voldoet een OR moet instellen of, waar het om meerdere bedrijven of organisaties gaat met elk minder dan 50 medewerkers, 1 gemeenschappelijke OR.  

Voor ondernemingen of organisaties met 10 tot 50 medewerkers geldt dat de instelling van een OR in principe niet verplicht is. Waar een onderneming of organisatie geen OR instelt, kan er wel een verplichting bestaan tot de instelling van een personeelsvertegenwoordiging of het tweemaal per jaar geven van inspraak en informatie tijdens een personeelsvergadering.  

Een OR bestaat gewoonlijk uit werknemers van een onderneming of organisatie die meepraten over beslissingen die gemaakt worden en daarbij in het bijzonder de belangen van het personeel vertegenwoordigen. Tevens draagt zij medeverantwoordelijkheid voor de omgang met en de bescherming van persoonsgegevens op het werk. De OR heeft daarbij een aantal rechten, waaronder het instemmingsrecht, het adviesrecht, het overeenstemmingsrecht en het initiatiefrecht.  

De rol van de ondernemingsraad bij AVG-implementatie 

Via elk van de voornoemde rechten, draagt de OR bij aan de implementatie van de AVG op de werkvloer. Om deze reden staan we hierna kort stil bij elk van deze rechten en hun privacy-rechtelijke betekenis.  

Allereerst, het instemmingsrecht. Hiervan is sprake als de OR een regeling over de verwerking en bescherming van persoonsgegevens wil invoeren of wijzigen. Hierbij kan bijvoorbeeld worden gedacht aan een intern privacybeleid. De OR kan een kritische houding aannemen om te verzekeren dat de belangen van werknemers daarbij voldoende worden behartigd. Hierbij is het voor de OR mogelijk om inhoudelijk mee te praten en input te leveren ten aanzien van de implementatie van de AVG op de werkvloer. In sommige gevallen is de werkgever verplicht om instemming van de OR te vragen. Meer in het bijzonder is hiervan sprake bij een regeling voor het geruik van persoonsgegevens (bijv. het registreren van verzuim, de salarisadministratie en het bewaren van gegevens in het personeelsdossier) en bij een regeling voor een personeelsvolgsysteem (bijv. systemen die de aanwezigheid, tijd en toegang registreren, maar ook trackingsystemen in bedrijfswagens of systemen die ondersteunen bij het afhandeling van werkzaamheden.   

Naast het instemmingsrecht, kan een OR nadere invulling aan de toepassing van de AVG op de werkvloer geven middels haar adviesrecht. Het adviesrecht kent aan een OR de mogelijkheid toe om een advies uit te brengen ten aanzien van voorgenomen besluiten, bijvoorbeeld over de ontwikkeling of inzet van belangrijke technologische voorzieningen. Een dergelijk advies kan ook privacy-rechtelijke aspecten meenemen.  

Ook heeft een OR in sommige gevallen een overeenstemmingsrecht. Dit recht is niet wettelijk vastgelegd in de WOR, maar wel in andere wetgeving zoals de Arbowet. Zo heeft een OR bijvoorbeeld bij de keuze van een Arbodienst een overeenstemmingsrecht, waarbij zij niet enkel kijkt naar de kwaliteiten van de Arbodienst maar ook naar privacy-gerelateerde aspecten.  

Tot slot, kent het initiatiefrecht de mogelijkheid toe om als OR zelf het initiatief te nemen tot het doen van een voorstel voor een privacy beleid op de werkvloer indien de werkgever de implementatie van de AVG binnen de onderneming of organisatie nalaat. Ook biedt dit recht een OR de ruimte om op eigen initiatief uitspraak te doen over het gebruik van persoonsgegevens door een werkgever, bijvoorbeeld als zij vindt dat de werkgever hier anders moet handelen.  

Conclusie 

Zo bezien, heeft elk van deze rechten een belangrijke rol bij de toepassing van de AVG op de werkvloer. De vraag die nu resteert is wat dit in de praktijk betekent voor een onderneming of organisatie.