Om de toestemming te verkrijgen van werknemers voor het verwerken van hun persoonsgegevens moet de toestemming aan een aantal voorwaarden voldoen. Vanaf 25 mei 2018 zijn nieuwe  en strengere voorwaarden bepaald door de GDPR van toepassing. Bent u voorbereid om een nieuwe “ja” te vragen aan uw werknemers?

Onder de huidige wetgeving vormt de toestemming reeds één van de rechtsgronden die toelaten om de verwerking van persoonsgegevens te rechtvaardigen. De GDPR heeft de geldigheidsvoorwaarden van de toestemming echter verstrengd.

Nieuwe voorwaarden

De toestemming voor de verwerking van persoonsgegevens zal moeten gegeven worden door de betrokken persoon via een ondubbelzinnige actieve handeling, bijvoorbeeld door een vakje aan te kruisen op een internet website. Een impliciete toestemming, een vakje dat standaard is aangekruist of niets ondernemen zal niet langer volstaan.

Bovendien moet de betrokken persoon voortaan zijn toestemming op een vrije, specifieke, geïnformeerde en ondubbelzinnige wijze geven. Opdat de toestemming geïnformeerd is, moet de betrokken persoon minstens de identiteit kennen van de persoon verantwoordelijk voor de verwerking van de persoonsgegevens, alsook de doelen van de verwerking. Voorts zal er vermoed worden dat de toestemming niet vrij werd gegeven indien de toestemming vereist is voor de uitvoering van de overeenkomst, en dit onafhankelijk van het feit of de toestemming noodzakelijk is voor deze uitvoering. De persoon die zijn toestemming heeft gegeven kan deze ook ten allen tijde intrekken. Hij moet bovendien geïnformeerd worden over dit recht om zijn toestemming in te trekken.  De toestemming wordt dus een minder “solide basis” voor de verwerking van persoonsgegevens.

De GDPR bepaalt ook dat indien de verwerking meerdere doelen heeft, de toestemming moet gegeven worden voor het geheel van die doelen. Indien de toestemming gegeven is in het kader van een geschreven verklaring die andere vragen dekt, moet de vraag voor toestemming voorgesteld worden in een vorm die zich duidelijk onderscheidt van de andere vragen.

Een clausule in de arbeidsovereenkomst waarmee de werknemer zijn akkoord bevestigt met de verwerking van zijn persoonsgegevens zal moeten aangepast worden aan deze nieuwe voorwaarden. Dit is belangrijk aangezien de verantwoordelijke voor de verwerking moet aantonen dat indien de verwerking gebaseerd is op toestemming, de betrokken persoon zijn toestemming ook daadwerkelijk heeft gegeven.

Opmerkingen

Het is belangrijk te onderlijnen dat in het kader van de arbeidsrelaties, de nationale wetgever de mogelijkheid heeft om nog strengere voorwaarden te voorzien. Het is dus mogelijk dat de geldigheidsvoorwaarden voor de toestemming van werknemers nog verstrengd zullen worden door de Belgische wetgever in de toekomst.

De toestemming is niet de enige rechtsgrond voor de verwerking van persoonsgegevens. Vanuit het standpunt van arbeidsrelaties wordt aanbevolen, op basis van de huidige teksten, zich te baseren op andere rechtsgronden, zoals de noodzakelijkheid van verwerking voor de uitvoering van een overeenkomst. Aangezien de werkgever in ieder geval zijn werknemers moet informeren over bepaalde aspecten van de gegevensverwerking, zou hij gebruik kunnen maken van deze informatie om de toestemming van de werknemers te verzekeren, als bijkomende rechtsgrond, opdat de verwerking geldig zou zijn.