Het Hof overwoog dat de werknemer bekend moet worden verondersteld met het bestaan van de inhoud van het protocol volgsystemen. De overweging van het Hof laat zien dat het belangrijk is om werknemers op de hoogte te stellen van de persoonsgegevens die van hen worden verwerkt. Of het Hof het gebruik van de locatiegegevens als onrechtmatig had bestempeld als de werkgever de werknemer niet had geïnformeerd is lastig te zeggen. Maar dat het invloed kan hebben op de rechtmatigheid, dat staat als een paal boven water. Het verwerken van persoonsgegevens mag niet uit de lucht komen vallen. Zorg er daarom als werkgever voor dat je op de juiste wijze de werknemers informeert. Proportionaliteit Een andere belangrijke overweging van het Hof ziet op de gefaseerde uitvoering van het onderzoek naar de locatiegegevens afkomstig van de black box en de urenstaat. In eerste instantie heeft de werkgever alleen de locatiegegevens en de urenstaat van week 9 onderzocht, in verband met de onregelmatigheden die waren aangetroffen in een werkbon van dezelfde week. Toen uit dat onderzoek bleek dat de uren op de urenstaat niet overeenkwamen met de locatiegegevens van de black box, heeft Trigion het onderzoek uitgebreid naar de periode vanaf 1 januari 2019. Pas toen ook uit dat onderzoek bleek dat de werknemer stelselmatig meer uren schreef dan hij werkte, is de werkgever, om er zeker van te zijn dat het ging om bestendig gedrag, in haar onderzoek teruggegaan tot april 2017. De overwegingen van het Hof laten zien dat waarde kan worden gehecht aan proportionaliteit. Oftewel, gaat de inbreuk op de privacy van de werknemer niet verder dan noodzakelijk en kan het niet een onsje minder. In dit geval wilde de werkgever uitsluiten dat het ging om incidenten. Een gefaseerde uitvoering van het onderzoek zorgt ervoor dat rekening is gehouden met proportionaliteit. 2. https://bit.ly/2LfldHr 3. https://bit.ly/2VSdVM5 4. https://bit.ly/3qJw1y6 Controle locatiegegevens in combinatie met urenstaten in lijn met AVG Het Hof oordeelt uiteindelijk dat de inbreuk op privacy niet zodanig is geschonden dat dit onrecht matig is geweest. Wat in de uitspraak niet naar voren komt, is of de werkgever een Data Protection Impact Assessment (DPIA)2 heeft (laten) uitvoeren, en welke grondslag is gebruikt voor de gegevensverwerking. Een DPIA is onder andere verplicht bij grootschalige verwerkingen en/of stelselmatige monitoring van persoonsgegevens om activiteiten van werknemers te monitoren. Een DPIA is ook verplicht bij een grootschalige verwerkingen en/of stelselmatige monitoring van locatiegegevens. Een DPIA was hier op zijn plaats geweest. Een DPIA is een uitstekend middel om de risico’s van een gegevensverwerking in kaart te brengen, en maatregelen aan te dragen om de risico’s zoveel mogelijk weg te nemen. In een DPIA kan bijvoorbeeld worden bekeken welke grondslag voor de gegevensverwerking in aanmerking komt. Komt de grondslag gerechtvaardigd belang3 in beeld? Dan kan in de DPIA een gedegen afweging plaatsvinden. Maar denk bijvoorbeeld ook aan onderwerpen als bewaartermijnen en beveiligingsmaatregelen die in een DPIA kunnen worden belicht. Onrechtmatig bewijs weegt mee Het Hof overwoog ook nog dat onrechtmatig verkregen bewijs ‘in beginsel’ meeweegt in de ontslagzaak. Het algemene maatschappelijk belang dat de waarheid aan het licht komt, weegt in principe zwaarder dan het belang van uitsluiting van bewijs. Slechts indien sprake is van bijkomende omstandigheden, kan bewijs worden uitgesloten. Hoewel dit staande rechtspraak is van de Hoge Raad4 , is het goed om deze overweging ook in deze zaak terug te zien. Het gevaar ligt op de loer dat werkgevers de afweging gaan maken om een onrechtmatige inbreuk op de privacy van werknemers te maken, omdat dit ertoe kan bijdragen dat een werkgever een ontslag bij de rechter rond kan krijgen. Een boete van de Autoriteit Persoonsgegevens of een bijkomende immateriële schadevergoeding voor de werknemer wegens een inbreuk op de privacy zal dit mogelijke gevaar recht moeten trekken. Auteur Jay Remmelzwaal Juridisch adviseur 36 ICTRecht in de Praktijk
37 Online Touch Home