Organisaties zijn druk bezig met de voorbereiding op de Algemene Verordening Gegevensbescherming (‘AVG’). Er wordt hard gewerkt om op 25 mei 2018 zoveel mogelijk aan de nieuwe verplichtingen te voldoen, zoals de documentatieplicht en de informatieplicht. In de praktijk zien wij dat nog wel eens vergeten wordt de ondernemingsraad bij dit proces te betrekken, terwijl de ondernemingsraad medeverantwoordelijkheid draagt voor de omgang met en de bescherming van persoonsgegevens op het werk. De ondernemingsraad dient zelfs over bepaalde besluiten om instemming of advies te worden gevraagd.
Zo is in artikel 27 lid 1 sub k van de Wet op de ondernemingsraden geregeld dat een besluit tot vaststelling, wijziging of intrekking van een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de werknemers instemmingsplichtig is. Als dus in het kader van de AVG een privacybeleid wordt opgesteld, waarin staat op welke wijze de werkgever omgaat met persoonsgegevens van werknemers, dient de ondernemingsraad om instemming te worden gevraagd. Dat is ook het geval als een reeds bestaand beleid wordt aangepast.
De ondernemingsraad moet mogelijk om advies worden gevraagd als een nieuwe technologische voorziening wordt ingevoerd of een oude voorziening wordt gewijzigd om aan de AVG te kunnen voldoen. Dat volgt uit artikel 25 lid 1 sub k van de Wet op de ondernemingsraden, waarin is bepaald dat de ondernemingsraad adviesrecht heeft op het gebied van een invoering of wijziging van een belangrijke technologische voorziening.
Over de vraag of de ondernemingsraad ook om instemming moet worden gevraagd bij de aanstelling van een Functionaris voor de Gegevensbescherming (‘FG’) verschillen de meningen. Het is niet expliciet in de wet geregeld. Hierover kunnen nog wel wat discussies ontstaan.
Vergeet in ieder geval niet de ondernemingsraad tijdig te betrekken bij de implementatie van de AVG.
Dit artikel is ook te vinden in de dossier AVG en Privacy op de werkvloer
