Persoonsgegevens zorgvuldig onderzoeken
Hoe werkt de AVG bij bedrijfsrecherche?
Onderzoek binnen een organisatie raakt bijna altijd persoonsgegevens. De AVG verbiedt onderzoek niet, maar eist een concreet doel, een geldige grondslag, zo weinig mogelijk gegevens en een zorgvuldige afweging van de gevolgen.
Niet meer verzamelen dan nodig.
De regels gelden vanaf de eerste melding of naam in een dossier tot en met het veilig verwijderen van de laatste kopie.
De toets vóór het onderzoek
Wanneer kan gerechtvaardigd belang een grondslag zijn?
Bij particulier feitenonderzoek wordt vaak naar gerechtvaardigd belang gekeken. Dat is geen vrijbrief: aan drie voorwaarden moet tegelijk worden voldaan.
Een werkelijk en rechtmatig belang
Het belang moet concreet, actueel en wettelijk toegestaan zijn. Bijvoorbeeld bescherming van eigendom, veiligheid of het onderzoeken van een ernstige contractuele onregelmatigheid.
De verwerking is noodzakelijk
De gekozen gegevens en methode moeten het doel daadwerkelijk kunnen bereiken. Een even effectief, minder ingrijpend alternatief krijgt voorrang.
De belangen zijn afgewogen
Privacy, redelijke verwachtingen, kwetsbaarheid, aard van de gegevens en mogelijke gevolgen voor de onderzochte persoon worden meegewogen.
Een snelle eerste controle.
Dit is geen definitief juridisch oordeel, maar maakt direct zichtbaar wanneer extra toetsing nodig is.
Heeft een eigen verantwoordelijkheid.
Is niet slechts een uitvoerder.
Toestemming is bij werknemers meestal geen eenvoudige oplossing.
Door de afhankelijkheidsrelatie is toestemming niet altijd vrij gegeven. Bovendien zijn voor gezondheidsgegevens en strafrechtelijke persoonsgegevens naast een gewone AVG-grondslag extra wettelijke voorwaarden nodig. Leg die beoordeling niet uit als “de werknemer heeft ooit toestemming gegeven”.
Van intake tot verwijdering
Welke privacycontroles horen in het proces?
De AVG-toets is geen eenmalig vinkje. Tijdens het onderzoek kunnen doel, risico’s en noodzaak veranderen. Dan moet de aanpak opnieuw worden beoordeeld.
Vooraf vastleggen
Doel, grondslag, betrokkenen, gegevens, ontvangers, risico’s en bewaartermijn.
Gericht verzamelen
Geen brede zoektocht als een beperkte bron de vraag kan beantwoorden.
Veilig verwerken
Toegang, overdracht, apparaten, dossiers en kopieën passend beveiligen.
Informeren
De onderzochte persoon in beginsel informeren; uitstel alleen wanneer noodzakelijk en gemotiveerd.
Bewaren of wissen
Niet-relevante gegevens verwijderen en noodzakelijke dossiers niet langer bewaren dan toegestaan.
Informatieplicht
Heimelijk betekent meestal niet: voor altijd geheim.
Informatie en inzage
Een persoon kan vragen of persoonsgegevens worden verwerkt, met welk doel, uit welke bron en aan welke ontvangers.
Rectificatie
Feitelijk onjuiste persoonsgegevens kunnen worden verbeterd. Een verschil van mening is niet automatisch een feitelijke fout.
Wissing of beperking
Kan aan de orde zijn als gegevens niet meer nodig of onrechtmatig verwerkt zijn, met wettelijke uitzonderingen.
Bezwaar en klacht
Bij gerechtvaardigd belang kan iemand vanwege de eigen situatie bezwaar maken en een klacht indienen.
Vooraf bij waarschijnlijk hoog privacyrisico.
Een DPIA onderzoekt risico’s en maatregelen vóór de verwerking start. Voor heimelijke controle van werknemers geldt volgens de Autoriteit Persoonsgegevens een DPIA-verplichting; ook andere grootschalige of systematische monitoring kan een DPIA vragen.
Controlebeleid kan instemming vragen.
Bij regelingen voor personeelsvolgsystemen of verwerking van werknemersgegevens kan de ondernemingsraad een instemmingsrecht hebben. Dat staat naast de AVG-toets en maakt een onrechtmatige methode niet vanzelf toegestaan.
Breng eerst doel, gegevens en lichtere alternatieven in kaart.
De Bedrijfsrecherchewijzer geeft een eerste richting. Een concrete AVG- en arbeidsrechtelijke beoordeling blijft nodig wanneer persoonsgegevens ingrijpend worden onderzocht.
Algemene informatie, gebaseerd op de Regeling particuliere beveiligingsorganisaties en recherchebureaus en de verplichte privacygedragscode, het OR-privacyboekje van de Autoriteit Persoonsgegevens en de uitleg van de AP over privacyrechten. De juiste grondslag, uitzonderingen en verplichtingen moeten per concrete verwerking worden beoordeeld.