AVG en het verstrekken van persoonsgegevens

Column onder redactie van Gerrit van Rooij
Functionaris Persoonsgegevens (FG) van HelloFlex group

In mijn rol als Functionaris Persoonsgegevens krijg ik regelmatig vragen over de AVG (Algemene Verordening Gegevensbescherming). Meestal zijn deze vrij simpel te beantwoorden, maar ik krijg ook vragen waar ik wat langer over moet nadenken. De AVG geeft niet altijd eenduidige en evidente antwoorden. Soms is het handig met iemand te sparren over het juiste antwoord. Dit bracht mij op het idee om een rubriek te starten waarin experts periodiek een ingebrachte vraag of case bespreken. In dit blog nodig ik Jolanda Aalten*, advocaat arbeidsrecht en privacyrecht, en Mark Appelman**, DPO ManpowerGroup, uit hun visie te delen.”

Verstrekking van persoonsgegevens
De verstrekking van persoonsgegevens van uitzendkrachten aan (mogelijke) opdrachtgevers valt onder de AVG. Zowel het uitzendbureau als de opdrachtgever moet zich dan ook aan deze wet houden. Voor de wet is het belangrijk dat er altijd een doel en een geldige grondslag is. Daarnaast moeten beide partijen de uitzendkrachten informeren en de veiligheid bij de verwerking van persoonsgegevens in acht nemen. Tenslotte moeten ze zich aan dataminimalisatie houden. Dit betekent dat alleen die gegevens verwerkt mogen worden die nodig zijn voor het doel.

Wat betekenen deze regels nu in de praktijk? Waar moet ik opletten als een ik CV naar een prospect stuur? Mag ik een VOG zomaar doorzetten? Onder welke voorwaarden mag ik een kopie ID, loonspecificatie of referentie verstrekken?

We vroegen onze experts om een aantal concrete voorbeelden en praktische do’s en dont’s.

Welke gegevens mag ik aan (potentiële) klanten verstrekken?

Jolanda Aalten:
Belangrijk is om vast te stellen dat een gegevensverstrekking noodzakelijk en relevant moet zijn voor het doel waarvoor de gegevens verstrekt worden.

Dit kan variëren voor verschillende groepen betrokkenen, bijvoorbeeld voor kandidaten of flexwerkers. Zo kan je de volgende gegevens van kandidaten aan opdrachtgevers verstrekken, al dan niet op een CV:
• Naam & woonplaats
• Beschikbaarheid
• Relevante werkervaring & relevante opleidingen en cursussen
• Aanwezigheid rijbewijs: ja/nee (indien relevant voor de functie)
• Taalvaardigheid (indien noodzakelijk)
• CV, mits deze aan bovenstaande voorwaarden voldoet

Als een uitzendkracht al ergens werkt mag je de volgende gegevens extra verstrekken:
• Telefoonnummer, e-mail, adres (op verzoek)
• Personeelsnummer
• Geboortedatum
• Geslacht
• BSN (eenmalig in het kader van de inleners- en ketenaansprakelijkheid)
• Kopie verblijfs- of werkvergunning van uitzendkrachten buiten EER
• A1 verklaring
• Gewerkte uren (via factuur)

Zie ook dit overzicht.

Als ik een CV doorstuur, kan ik dan een pasfoto toevoegen?

Mark Appelman:
Het is verboden om bijzondere persoonsgegevens te verwerken. Uit een foto kan je iemands afkomst of religie afleiden. Daarmee kan een foto een bijzonder persoonsgegeven zijn. Verwerking is dan verboden. De toezichthouder heeft eerder aangegeven dat een foto wel door u opgeslagen kan worden als de kandidaat daar zijn toestemming voor heeft gegeven. Zo’n toestemming is alleen geldig als het verstrekken van foto’s vrijwillig is en aan het niet verstrekken geen nadelige consequenties verbonden zijn. Het verstrekken van een pasfoto aan een opdrachtgever is niet noodzakelijk en kan zelfs discriminatie in de hand werken. Mijn advies is deze dus niet te verstrekken.

Het komt voor dat een opdrachtgever om referenties vraagt. Mag het uitzendbureau deze standaard delen met de opdrachtgever?

Gerrit van Rooij:
Het doel van een referentie is om competenties en vaardigheden bij een sollicitatie ‘te onderstrepen’. Het ligt dus voor de hand dat ingewonnen referenties aan de opdrachtgever worden verstrekt. Let hierbij wel op dat deze informatie verband houdt met de functie en dat deze nooit bijzondere of strafrechtelijke gegevens bevat. Vraag van tevoren om toestemming aan de kandidaat om de gegevens te verstrekken. Verder is het aan te raden in het privacystatement op te nemen hoe je omgaat met referenties.

Ik begrijp dat gezondheidsgegevens niet verwerkt mogen worden. Mag ik dan wel een ziekmelding doorgeven aan een klant?

Mark Appelman:
Een ziekmelding betreft gegevens over iemands gezondheid. Dit is dus inderdaad een gezondheidsgegeven. Deze gegevens mogen alleen verwerkt worden indien er een uitzondering is bijvoorbeeld omdat het noodzakelijk is voor de uitvoering van de wet.

Op grond van arbowetgeving kunnen uitzendbureaus ziekmeldingen verstrekken richting arbodienst of UWV. De uitzendkracht zelf moet zich op grond van de CAO ziekmelden bij de werkgever. Hij kan natuurlijk het uitzendbureau verzoeken deze ziekmelding namens hem aan de inlener door te geven. Pas op dat u hierbij geen andere gezondheidsgegevens verstrekt.

En hoe zit het met VOG’s?

Jolanda Aalten:
Die mag je in principe niet aan opdrachtgevers verstrekken. Er is geen noodzaak om dat te doen en dus mag je deze niet verstrekken. Wel kun je aangeven dat er geen belemmeringen zijn om de werkzaamheden bij de opdrachtgever uit te voeren.

Als de opdrachtgever een wettelijke verplichting heeft (bijvoorbeeld in de kinderopvang) om een kopie van de VOG te verwerken, dan is er wel een noodzaak en een wettelijke grondslag om een kopie van de VOG te verstrekken. De uitzendkracht moet dan wel geïnformeerd worden. U kunt er in een dergelijk geval ook voor kiezen om de uitzendkracht zelf een kopie van de VOG te laten verstrekken aan de opdrachtgever.

Maar pas op. Geef nooit door dat een kandidaat geen VOG heeft gekregen. Je verstrekt dan strafrechtelijke gegevens en daar is geen wettelijke grondslag voor.

Mag je wel de schoenmaat van flexwerkers aan opdrachtgevers verstrekken in verband met verstrekking van veiligheidsschoenen?

Mark Appelman:
Ja dat mag. Een schoenmaat is geen bijzonder persoonsgegeven dus de verwerking hiervan is toegestaan indien aan de overige eisen van de AVG wordt voldaan. Het doel van de verstrekking is duidelijk, namelijk het tijdig voorzien in passende beschermingsmiddelen door de inlener.

Schoenmaten mogen opgevraagd worden en doorgegeven worden aan de inlener omdat deze daar een belang bij hebben. Zo kan de inlener er namelijk voor zorgen dat schoenen tijdig besteld kunnen worden en beschikbaar zijn voor uitzendkrachten die beginnen. Als de inlener voldoende schoenen in voorraad heeft kan het natuurlijk ook zo geregeld worden dat de uitzendkracht op de eerste dag zelf zijn maat doorgeeft. Let er op dat je het de uitzendkrachten wel laat weten als je schoenmaten doorgeeft.

En als de kandidaat platvoeten heeft en er speciale inlegzolen vereist zijn?
Dan zijn dit gezondheidsgegevens die niet verwerkt mogen worden tenzij dit noodzakelijk is voor een goede uitvoering van wettelijke voorschriften. Dat zal in dit geval meestal aan de orde zijn. Als het niet noodzakelijk is – en de uitzendkracht dit ook zelf aan de inlener kan doorgeven – heeft dit de voorkeur.

Gerrit van Rooij, Functionaris Persoonsgegevens (FG) van HelloFlex group

Wil je ook een vraag inbrengen, laat het ons weten, via persoonsgegevens@helloflexgroup.com.

*Jolanda Aalten
Jolanda Aalten is advocaat privacyrecht en arbeidsrecht. Zo is zij als privacyrecht advocaat werkzaam geweest voor de ABU en werkt zij voor de Nationale Politie. Daarnaast is zij voor diverse organisaties, waaronder uitzendorganisaties werkzaam als Functionaris voor de Gegevensbescherming.

**Mark Appelman
Mark Appelman is begin 2018 aangesteld als DPO voor ManpowerGroup Nederland en is daarnaast werkzaam als IT-auditor. “Binnen een uitzendorganisatie is er haast geen proces waarin er geen persoonsgegevens worden verwerkt. Ik besteed veel aandacht aan training en awareness, zodat iedereen binnen de organisatie vanuit zijn eigen rol kan meedenken over privacy en gegevensbescherming.”

Zie ook
AVG en het gebruik van BSN