Werkgevers schakelen regelmatig een onderzoeksbureau in als zij klachten ontvangen over grensoverschrijdend gedrag van een werknemer. Dat bureau verwerkt tijdens het onderzoek uiteraard persoonsgegevens van de werknemer in kwestie, waarbij soms vergaand in het privéleven wordt ‘gedoken’. Is hiervoor toestemming van de betreffende werknemer vereist? En wat zijn de rechten van de werknemer ten aanzien van zijn persoonsgegevens? De Rechtbank Amsterdam deed hier onlangs een uitspraak over.
Wat was er aan de hand?
Een werkgever heeft klachten ontvangen van een interne klant over een werknemer in verband met grensoverschrijdend gedrag, bestaande uit bedreiging en intimidatie. De betreffende klant meldde onder meer dat de samenwerking met werknemer ernstig werd bemoeilijkt door grensoverschrijdend gedrag dat ook buiten werktijd en in de privésfeer plaatsvond, namelijk door het sturen van Whatsappberichten en e-mails naar zijn privé mailadres, waaronder ook e-mails met een aanvallende, beledigende of scheldende toon. Naar aanleiding van deze klachten schakelt de werkgever een onderzoeksbureau in, dat een rapport opstelt. Dit rapport verwijst onder meer naar de WhatsApp- en e-mailberichten van de werknemer. De werknemer werkte aanvankelijk mee aan het onderzoek, maar heeft later kenbaar gemaakt dat zij geen toestemming geeft voor het delen van het rapport met derden. De werknemer is van mening dat de werkgever en het onderzoeksbureau op meerdere punten in strijd heeft gehandeld met de Algemene Verordening Persoonsgegevens (“AVG”). Zij eist bij de Rechtbank inzage in, beperking van de verwerking van en verwijdering van de persoonsgegevens die in het rapport staan.
Onrechtmatige verwerking?
Een betrokkene heeft onder meer het recht op beperking van de verwerking en verwijdering van persoonsgegevens als deze onrechtmatig worden verwerkt. Van een onrechtmatige verwerking is onder meer sprake als er geen wettelijke grondslag is voor de verwerking (zoals het bekijken van e-mail en WhatsAppverkeer door het onderzoeksbureau). Hierop gaat de Rechtbank Amsterdam dan ook in. De werknemer in kwestie had gesteld dat zij haar toestemming voor het onderzoek had ingetrokken, waardoor de uitkomsten niet met derden mochten worden gedeeld (zoals haar werkgever). De rechter passeert dit verweer. De werkgever kon de inschakeling van het recherchebureau voor het doen van onderzoek baseren op een andere grondslag voor verwerking, namelijk haar gerechtvaardigd belang dat in deze kwestie zwaarder weegt dan het recht op privacy van de werknemer. Dat gerechtvaardigd belang vloeit in casu voort uit de Arbowet en de eis van goed werkgeverschap: de werkgever is gehouden om bij vermoedens van ongewenst/grensoverschrijdend gedrag van werknemers maatregelen te treffen.
Proportionaliteit & subsidiariteit
De rechtbank heeft vervolgens beoordeeld of het onderzoek door het bureau voldeed aan de eisen van proportionaliteit en subsidiariteit te worden getoetst. Proportionaliteit betekent dat de maatregel in een redelijke verhouding staat tot de inbreuk. Bij subsidiariteit wordt er gekeken of er een maatregel kan worden toegepast die geen of minder inbreuk maakt op de privacy van de werknemer. Volgens de rechter was de inzet van het onderzoeksbureau en de daarmee gepaard gaande inbreuk op de persoonlijke levenssfeer van werknemer proportioneel vanwege voornoemde wettelijke verplichtingen van de werkgever, op grond waarvan de werkgever gehouden was de gegrondheid van de melding van haar interne klant nader te onderzoeken. Door die melding bestond er een concreet vermoeden van grensoverschrijdend gedrag. Daarom heeft de werkgever redelijkerwijs kunnen besluiten om onderzoek te doen. De rechtbank oordeelt dat ook is voldaan aan de eis van subsidiariteit. In dat kader overweegt de rechtbank onder meer dat er eerst gesprekken hebben plaatsgevonden op de werkvloer en dat de werkgever daarna een onderzoeksbureau heeft ingeschakeld omdat zij (ook vanwege haar verleden met werknemer waarin al het een en ander was voorgevallen) wilde borgen dat het onderzoek zo zorgvuldig en objectief mogelijk zou plaatsvinden. Hierbij merkt de rechter op dat het resultaat van het onderzoek net zo goed in het voordeel van de werknemer had kunnen uitvallen. Ten slotte acht de rechter van belang dat niet is gebleken dat er andere, minder ingrijpende middelen voor handen waren om het onderzoeksdoel te realiseren en evenmin dat het bureau zich verder in het privéleven van de werknemer heeft gemengd dan noodzakelijk was voor het onderzoek.
Bureau had geen vergunning, onderzoek onrechtmatig?
De werknemer werpt tot slot nog op dat in strijd is gehandeld met de AVG omdat het bureau in kwestie niet beschikte over een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus (“Wpbr”). Volgens de werknemer was het bureau daarom niet bevoegd om het onderzoek uit te voeren en strafbaar bezig geweest op grond van de Wet Economische Delicten. De Rechtbank passeert ook dit verweer, omdat voor het rechtmatig verwerken van persoonsgegevens door een recherchebureau het beschikken over een Wpbr-vergunning geen algemeen vereiste is op grond van de AVG.
Beroep werknemer op recht op inzage, beperking en verwijdering
Het verzoek op inzage van haar gegevens door werknemer is afgewezen op grond van een gebrek aan belang. De werknemer had namelijk het onderzoeksrapport al in haar bezit en daarmee inzicht in de gegevens. Het verzoek om beperking van de verwerking en verwijdering van de onderzoekgegevens, wordt afgewezen omdat het onderzoek niet onrechtmatig is geweest, zoals hiervoor is toegelicht.
Conclusie
De werkgever in kwestie heeft door inschakeling van het onderzoeksbureau, onder de gegeven omstandigheden, niet in strijd gehandeld met de AVG. Het feit dat het bureau geen vergunning had op basis van de Wpbr heeft in dit geval voor de werkgever niet tot problemen geleid. Dat had anders kunnen zijn indien het bureau in het kader van het onderzoek strafrechtelijke (persoons)gegevens zou hebben verwerkt. Voor een rechtmatige verwerking van dat soort gegevens is de genoemde vergunning op basis van de Uitvoeringswet van de AVG namelijk wél vereist. Overweegt u voor het doen van bijvoorbeeld fraudeonderzoek een recherchebureau in te schakelen, dan is het dus aan te bevelen om te controleren of zij over deze vergunning beschikken. Ook is het van belang om te controleren of het bureau in kwestie zich conformeert aan Privacygedragscode voor recherchebureaus. In deze door de AP goedgekeurde gedragscode zijn de AVG-eisen concreet uitgewerkt voor de inzet van een dergelijk bureau. Wilt u onderzoek doen naar een vermoeden van grensoverschrijdend gedrag? Of heeft u vragen over de inzet van een onderzoeksbureau? Neemt u dan contact op met Suzan Wolters, Floortje Eijdems of een van de leden van het privacyteam van BANNING.
