Verstrekken van personeelsgegevens aan derden 
 

Voorwaarden voor het verstrekken
Een gegevensverwerking dient in overeenstemming met de wet, behoorlijk en zorgvuldig te geschieden. De persoonsgegevens moeten verzameld zijn voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De verwerking moet een rechtmatige grondslag hebben en mag niet onverenigbaar zijn met het doel waarvoor uw werkgever de gegevens heeft verzameld. Artikel 8 Wbp bevat een opsomming van de enige gronden voor een toelaatbare gegevensverwerking. Met verwerken wordt bedoeld alle handelingen met persoonsgegevens vanaf het verzamelen tot aan het vernietigen. Verstrekken is een vorm van verwerken.

Belangrijkste grondslagen voor het verstrekken van personeelsgegevens
U mag personeelsgegevens verstrekken aan derden met name als het noodzakelijk is voor de uitvoering van een overeenkomst die u met de werknemer hebt of gaat afsluiten, als u gegevens moet verstrekken op grond van een wettelijk voorschrift of als een werknemer zijn ondubbelzinnige toestemming heeft gegeven.

Uitvoeren van een overeenkomst
Gegevens kunnen worden verstrekt aan derden indien dit noodzakelijk is voor de uitvoering van een overeenkomst (het arbeidscontract) die u met uw werknemer hebt of gaat sluiten. In dit geval wordt ervan uitgegaan dat de werknemer bij het sluiten van de overeenkomst zich ervan bewust is dat er bepaalde gegevens moeten worden verstrekt. Bijvoorbeeld indien de werknemer een lease-auto krijgt, dan worden zijn gegevens verstrekt aan de leasemaatschappij.

Wettelijke verplichting
U kunt verplicht zijn om bepaalde persoonsgegevens te verstrekken die noodzakelijk zijn voor de uitvoering van een wettelijke plicht. U bent bijvoorbeeld op grond van artikel 47 van de Algemene wet inzake rijksbelastingen verplicht om de fiscus te voorzien van alle gegevens die van belang kunnen zijn voor de belastingheffing. Ook bent u op grond van een bevel van de rechter-commissaris in strafzaken verplicht bepaalde persoonsgegevens van een verdachte werknemer te verstrekken.

Toestemming
Toestemming van de werknemer is ook een grondslag waarop u personeels- gegevens mag verstrekken aan derden. Deze toestemming kan echter op elk moment worden ingetrokken. Daarmee vervalt de grondslag van de verstrekking en is de verstrekking onrechtmatig. Instemming van de ondernemingsraad voor een bepaalde verstrekking vervangt de individuele toestemming niet. Als u toestemming vraagt, moet u duidelijk uitleggen waar de toestemming voor nodig is en wat de gevolgen zijn van het geven van toestemming.

Voorbeelden van gevallen waarin u toestemming moet vragen: het publiceren van de geïndividualiseerde productiecijfers op het (interne) netwerk of prikbord en het publiceren van een smoelenboek met de foto’s van de werknemers.

Praktijkvoorbeelden

• U kunt verplicht worden om op grond van artikel 475g, lid 3, van het Wetboek van Burgerlijke Rechtsvordering bepaalde informatie aan een gerechtsdeurwaarder te verstrekken. Als een gerechtsdeurwaarder om informatie verzoekt, kunt u naar het rolnummer en de datum van het vonnis vragen voordat u overgaat tot het verstrekken van de gevraagde informatie.
• Sommige multinationals hebben intranet met daarop persoonsgegevens van hun werknemers of hebben een centrale database met personeelsgegevens. Hierbij kan sprake zijn van een verstrekking van personeelsgegevens aan een land buiten de Europese Unie. Dat kan als u daar toestemming van de werknemers voor hebt gekregen. Deze toestemming dient betrekking te hebben op incidentele verstrekkingen. Indien er sprake is van standaardverstrekkingen op structurele basis, is toestemming niet voldoende. In dat geval kunt u een vergunning aanvragen bij de Minister van Justitie. Zie verder het informatieblad Doorgifte naar derde landen.
• U mag personeelsgegevens gebruiken voor een ander doel dan waarvoor ze zijn verkregen. Dit mag alleen als dat verenigbaar is met het oorspronkelijke doel. Of dat het geval is, hangt af van de concrete omstandigheden. Zo kan het nodig zijn dat u als schooldirecteur het telefoonnummer van een leraar verstrekt aan de (ouders van) leerlingen als de leerlingen weinig contacturen met deze leraar hebben. Als de leraar zijn toestemming heeft gegeven, zal verstrekking vrijwel steeds verenigbaar zijn met het doel van verkrijging. Als de leraar goede redenen heeft om het telefoonnummer geheim te willen houden, dient u dit te respecteren.
• Op verzoek van een vakbond kunt u voor het samenstellen van een kandidatenlijst de voor communicatie benodigde gegevens, zoals naam, geboortedatum en adres, van uw werknemers verstrekken. Het gaat hierbij om het verstrekken van gegevens aan een werknemersorganisatie in het kader van ondernemingsraadverkiezingen. U weet niet wie er lid is van een vakbond en u zult dus, als u besluit tot verstrekking over te gaan, van alle werknemers gegevens verstrekken. Dit mag overigens alleen als de werknemers gedurende een redelijke termijn in de gelegenheid zijn gesteld om verzet aan te tekenen.
• Als een werknemer dertien weken ziek is moet u hem ziekmelden bij het UWV. Dit is geregeld in artikel 38, lid 1, Ziektewet. U geeft daarbij gegevens door waaronder het sofinummer en de eerste dag van de ongeschiktheid.
• Soms wordt u door een organisatie benaderd om reclamepost te verzenden aan uw wernemers, bijvoorbeeld voor het afsluiten van een voordelige ziektenkostenverzekering. Het verstrekken van personeelsgegevens aan een andere organisatie voor direct marketing is echter niet toegestaan. U mag niet aan dit verzoek voldoen omdat het onverenigbaar zou zijn met het doel waarvoor u de gegevens heeft verkregen.

Rol van de ondernemingsraad
Artikel 27 van de Wet op de ondernemingsraden geeft een opsomming wanneer de OR instemmingsrecht heeft. De OR heeft bijvoorbeeld instemmingsrecht bij het gebruik van personeelsvolgsystemen of bij voorgenomen verstrekkingen van personeelsgegevens. Het CBP heeft een lijst opgesteld met een aantal toetspunten voor de OR. Zie verder de brochure Privacy: checklist voor de OR.

Overige rechten
Naast het recht van verzet bij direct marketing, heeft een betrokkene recht op informatie over, inzage in, aanvulling, verbetering, verwijdering en afscherming van zijn persoonsgegevens. Zie verder het informatieblad Rechten van de betrokkene. Een werknemer moet met vragen of klachten altijd eerst naar u komen.