De haken en ogen rondom de nieuwe privacywet (AVG)

De Algemene Verordening Gegevensverwerking (AVG) is inmiddels een vast gespreksonderwerp bij menig koffiezetapparaat. Deze wet, die per 25 mei 2018 definitief in werking trad, geeft organisaties meer verplichtingen rondom de verwerking van persoonsgegevens. Toch zijn er ook nog veel zaken onduidelijk.

We lopen tegen vragen aan waar de Autoriteit Persoonsgegevens nog geen antwoord op heeft. Ook andere privacyregels (zoals de Telecomwet en de Wet Medisch Beroepsgeheim) kunnen leiden tot onvoorziene problemen. Een paar voorbeelden:

- Veel ondernemers denken dat de AVG alleen van toepassing is op de persoonsgegevens van hun werknemers. Het gaat echter óók om persoonlijke gegevens van klanten, ingehuurde zzp’ers en persoonlijke gegevens die je van derden in handen krijgt. Denk bijvoorbeeld aan het vastleggen van e-mailadressen, geboortedatum, hobby’s of de huwelijksdatum van je klanten. En wat moet je eigenlijk regelen wanneer je derden inschakelt voor direct marketing, zoals je nieuwsbrief? Let hierbij ook op samenloop met de regels rond de direct marketing in de Telecomwet.

- Arbodienstverleners mogen geen gegevens meer verwerken die betrekking hebben op de gezonde medewerkers van hun klanten. Daardoor wordt het ineens een stuk lastiger om verzuimcijfers te presenteren aan de klant.

- Er is een nieuwe (fiscale) subsidieregeling: het LoonKostenVoordeel (LKV). Dit is een regeling waarbij de werkgever subsidie krijgt bij het in dienst nemen van een oudere of arbeidsgehandicapte medewerker. Door een overlap van verschillende wetten kent deze regeling een zeer korte periode waarin aan de voorwaarden voldaan moet worden. De aanvraag moet binnen drie maanden na indiensttreding gedaan zijn. De werkgever mag in de eerste twee maanden van de arbeidsovereenkomst echter niet vragen naar de doelgroepenverklaring die hiervoor nodig is, want dit kan gegevens over de gezondheid bevatten. Per saldo moet je de subsidieaanvraag dus binnen één maand geregeld hebben. Ben je te laat, dan riskeer je het verlies van de volledige subsidie.

- Werkgevers vragen hun medewerkers expliciet toestemming om persoonsgegevens vast te leggen en denken daarmee voldaan te hebben aan de regels van de AVG. Helaas! De Europese privacyautoriteit heeft vastgesteld dat dit niet volstaat. Toestemming kan alleen in vrijwilligheid worden gegeven en men stelt dat een werknemer deze nooit vrijwillig kan geven vanwege de gezagsverhouding met zijn werkgever.

- Assessments voor of na indiensttreding zijn eveneens uit den boze, voor zover de uitkomst leidt tot gegevens over de gezondheid van de kandidaat. Let op: het vaststellen van een IQ is ook een gezondheidsgegeven!

- En wat dan te denken van het burgerservicenummer (= persoonsgegeven) dat voor een zelfstandig ondernemer automatisch als btw-nummer wordt aangemerkt? De overheid heeft beloofd hier maatregelen voor te treffen. Maar wanneer?

Je leest het al: in de komende tijd zal er nog veel duidelijkheid moeten worden verschaft. En wat doe je in de tussenliggende tijd? Nuchter blijven nadenken bij wat je wilt vastleggen en vooral: waarom. Neem je medewerkers daar ook in mee.

Er is nog veel werk aan de winkel. Succes!