Veel bedrijven maken gebruik van een digitaal informatiesysteem. Soms is dit een op maat gemaakt systeem, andere keren wordt een groter platform door diverse bedrijven gedeeld. Waarschijnlijk is dit systeem met een gebruikersnaam en wachtwoord beveiligd en wellicht zelfs met een tweefactorauthenticatie. Het toepassen van deze beveiligingsmaatregelen is echter waardeloos, indien medewerkers onvoldoende acht slaan op nut en noodzaak van vertrouwelijkheid van de uit dit systeem te verkrijgen informatie. Het is in dat geval alsof u een slot met een keurmerk op uw voordeur plaatst en ondertussen de achterdeur open laat staan.
Van u als organisatie mag worden verwacht dat u inmiddels nog slechts over die persoonsgegevens beschikt, waartoe u gelet op doel en grondslag gerechtigd bent. Maar dit houdt niet in dat tevens al uw werknemers toegang moeten hebben tot deze informatie. Een werknemer moet daarom binnen systemen slechts die informatie kunnen inzien als strikt noodzakelijk voor de uitoefening van de werkzaamheden.(1) Het personeel is net als u immers gebonden aan het need to know-principe. Een arts hoeft niet te beschikken over de financiële gegevens van zijn patiënt en de financiële administratie van het ziekenhuis hoeft niet te weten welke bloedgroep de patiënt heeft. Dit terwijl het ziekenhuis als instelling wel over deze informatie mag beschikken.
Dat dit eenvoudig mis kan gaan, is uit een recent onderzoek van de Autoriteit Persoonsgegevens gebleken. Uit dit onderzoek is gevolgd dat het HagaZiekenhuis te Den Haag haar patiëntdossiers intern niet goed heeft beveiligd. Dit kwam aan het licht nadat tientallen medewerkers van deze zorginstelling zonder noodzaak het patiëntdossier van een bekende Nederlander hebben ingezien.(2) Het HagaZiekenhuis heeft inmiddels een boete van € 460.000,00 opgelegd gekregen.(3)
Het afschermen van een informatiesysteem zal echter niet altijd mogelijk zijn. Denk hierbij aan een programma als Suwinet, waarmee overheidsorganisaties eenvoudig informatie over burgers en bedrijven bij elkaar kunnen opvragen. Bij voorbaat is niet bekend welke medewerker van een overheidsorganisatie welke burger of welk bedrijf zal moeten opzoeken. Het programma kan aldus niet op ‘klantniveau’ worden afgeschermd en zal veel meer op de inhoud moeten worden afgeschermd, zodat bijvoorbeeld financiële informatie uitsluitend door financieel medewerkers op kunnen worden gevraagd.
Hoewel de eerste ingeving van een werkgever het geven van ontslag op staande voet zal zijn na misbruik van een informatiesysteem door de werknemer, zal dit vaak geen stand houden.
Een medewerker van de Sociale Verzekeringsbank heeft het programma Suwinet ingezet om uitsluitend ten behoeve van privédoeleinden de gegevens van 23 personen, bestaande uit buren en familieleden, te verkrijgen.(4) Hierop volgde ontslag op staande voet. Hoewel de kantonrechter van oordeel was dat de werknemer zich schuldig heeft gemaakt aan een ‘flagrante’ schending van het vertrouwen van de werkgever, kon het ontslag op staande voet geen stand houden.(5) De Sociale Verzekeringsbank is immers tekort geschoten in het trainen van haar personeel op privacyvlak. De kantonrechter heeft zeer treffend verwoord dat de werkgever haar personeel moet ‘opvoeden’ tot privacygevoelige mensen.(6)
Een vergelijkbaar voorbeeld ziet op een medewerkster van een grote bankinstelling.(7) Deze medewerkster belandt in een echtscheiding welke een grote impact op haar heeft. Wanneer haar voormalig echtgenoot een nieuwe partner krijgt, haalt zij diverse informatie van de nieuwe partner uit het systeem. Zo toetst zij onder meer de elders verkregen NAW-gegevens van deze dame en kan zij zelfs zonder noodzaak een BKR-toetsing laten verrichten. De werkgever ontslaat haar op staande voet. Hoewel de kantonrechter ook in deze zaak van mening is dat van een bankmedewerkster een integere werkwijze mag worden verwacht en er belang wordt gehecht aan de geldende Gedragscode en Regeling Medewerkersintegriteit, houdt opnieuw het gegeven ontslag op staande voet geen stand.
Uit voorgaande voorbeelden kunnen we enkele actiepunten destilleren:
Ga allereerst kritisch na tot welke informatie iedere individuele werknemer toegang moet hebben. Scherm onderdelen die voor de werknemer niet strikt noodzakelijk zijn af.
Wanneer het niet mogelijk is om de toegang geheel te weigeren, dan dient u aanvullende maatregelen te nemen, welke maatregelen samen de werknemer bewust maken van privacy. Denk hierbij aan:
IT-gedragscode, inclusief handhavende maatregelen en sancties.
Training integere werknemer.
Waarschuwingsmelding bij opvallend of ongewoon gebruik van het systeem.
Wanneer het niet mogelijk is om de toegang geheel te weigeren, dan dient u aanvullende maatregelen te nemen, welke maatregelen samen de werknemer bewust maken van privacy. Denk hierbij aan:
Het juiste gebruik en de daartoe geldende regels en richtlijnen dient u regelmatig te herhalen in trainingen en cursussen. Doet u dat niet, dan loopt u het risico dat u tegen schending van het juiste gebruik door de werknemer geen of onvoldoende acties in kunt stellen.
Hebt u het vermoeden dat een medewerker zich niet aan de voorschriften houdt, stel dan zo spoedig mogelijk een nader onderzoek in naar het gedrag van de werknemer. Maak daarbij inzichtelijk hoe u in de afgelopen periode deze medewerker hebt gewezen op de geldende voorschriften.
(1) Artikel 5, eerste lid onder c AVG.
(2) Bron: Onderzoeksrapport Toegang tot digitale patiëntdossiers door medewerkers van het HagaZiekenhuis, maart 2019. Gepubliceerd via autoriteitpersoonsgegevens.nl.
(3) Bron: Besluit tot het opleggen van een bestuurlijke boete en een last onder dwangsom, 18 juni 2019. Gepubliceerd via autoriteitpersoonsgegevens.nl.
(4) Rechtbank Amsterdam 15 oktober 2015, ECLI:NL:RBAMS:2015:8341.
(5) Overigens werd wel gemeend dat de Sociale Verzekeringsbank deze werknemer niet kon handhaven als gevolg van de ernstige overtreding van de regels.(6) Rechtsoverweging 9.
(7) Rechtbank Noord-Nederland 15 september 2015, ECLI:NL: RBNNE:2015:4342.
Dit artikel vormt een samenvatting van een uitgebreidere paragraaf uit het boek: Privacy op de werkvloer, ISBN: 9789492952288.
Privacy op de werkvloer bevat allerhande praktische informatie over hoe om te gaan met privacy op de werkvloer en behandelt onderwerpen als sollicitaties, verzuimsystemen, cameratoezicht en meer.
Het boek is geschikt voor een ieder die van doen heeft met personeel; denk aan HR-adviseurs, Ondernemingsraad, salarisadministrateurs, bedrijfsjuristen, functionaris voor de gegevensbescherming en nog veel meer professionele partijen.
Klik hier voor meer informatie of om het boek te bestellen
Dit artikel is ook te vinden in het dossier Privacy op de werkvloer
