Moet de or worden betrokken bij nieuw privacybeleid als gevolg van implementatie van de privacywet AVG? Op basis van de informatievoorziening kan de or nagaan of hij een rol kan spelen op grond van het advies- of instemmingsrecht.
Door Carola Meyer-De Swaan
Privacy en in het bijzonder de Algemene Verordening Gegevensbescherming (AVG) krijgen veel aandacht in de media. Logisch, gezien de nieuwe verplichtingen en hoge boetes die de AVG introduceert en het feit dat de privacywet sinds 25 mei van toepassing is.
Uit de publicaties blijkt dat de AVG leidt tot aanpassing van het privacybeleid. Dit roept de vraag op of de ondernemingsraad hierbij moet worden betrokken.
In twee artikelen bespreek ik de meest relevante rechten van de ondernemingsraad in verband met de implementatie van de AVG. Dit deel behandelt het informatie- en initiatiefrecht. In een tweede artikel komt het instemmingsrecht aan bod.
Informatierecht, als de AVG nog niet op de agenda staat
Ten eerste kan de ondernemingsraad gebruikmaken van het informatierecht. Dat zal vooral relevant zijn als de AVG (nog) niet op de agenda van de ondernemer staat, of als de or niet of nauwelijks bij de implementatie ervan betrokken is. In dat geval kan de or de ondernemer vragen om informatie over de wijze waarop de AVG in de organisatie wordt nageleefd.
Het informatierecht verplicht de ondernemer om de ondernemingsraad alle informatie te verstrekken die deze redelijkerwijs nodig heeft voor zijn taakvervulling (artikel 31 lid 1 WOR). Dit betreft de uitoefening van de bevoegdheden van de or, waaronder het instemmingsrecht en het initiatiefrecht.
Op basis van de informatievoorziening kan de or vervolgens nagaan of hij bij de implementatie betrokken moet worden op grond van het advies- of instemmingsrecht.
Gebruikmaken van het initiatiefrecht
Naast het informatierecht kan de or ook gebruikmaken van het initiatiefrecht (artikel 23 lid 2 en 3 WOR). Op grond hiervan kan de or onderwerpen op de agenda van de ondernemer plaatsen. Het initiatiefrecht kan bijvoorbeeld gebruikt worden bij een voorstel van de or tot (vrijwillige) instelling van een functionaris voor de gegevensbescherming, of het (vrijwillig) uitvoeren van een ‘gegevensbeschermingseffectbeoordeling’ (DPIA).
De or moet uiteraard het nut en de noodzaak van de dergelijke initiatiefvoorstellen motiveren. Zeker nu uit de AVG volgt dat de ondernemer slechts onder voorwaarden verplicht is deze maatregelen te nemen.
Conclusie
Is de ondernemingsraad (nog) niet betrokken bij de implementatie van de AVG, dan zal het gebruik van het informatie- en initiatiefrecht hoogstwaarschijnlijk leiden tot verdere consultatie met de or. In dat kader zal vooral het instemmingsrecht van artikel 27 lid 1 sub k en l van belang zijn, waarover meer in een volgend artikel.
Carola Meyer-De Swaan is advocaat bij Boontje Advocaten
Lees ook:
- Privacywet: or kan passende keuzes maken
- Naleving AVG: nadruk ligt op verantwoordingsplicht
- Checklist: de privacywet (AVG) in 10 stappen (met artikeloverzicht)
Tip! download de gratis whitepaper: De Europese privacywet (AVG)
Opleiding: de nieuwe privacywetgeving voor de ondernemingsraad
Voor de or is het van groot belang om de ins en outs van de nieuwe privacywetgeving te kennen. Tijdens de 1-daagse opleiding De nieuwe Privacywetgeving voor de or wordt de privacywet uitgebreid behandeld en komen alle specifieke punten voor de or aan de orde.
Boek: Or en privacy
Het boek OR en privacy gaat uitvoerig in op de werking van de AVG en de relatie daarvan met de werkvloer, het werkveld van de ondernemingsraad. Met onder meer best practices en de wettekst van de AVG.
Kom naar Medezeggenschap op koers: over de kracht van de or in dynamische tijden
Hoe ontwikkel je de or om krachtig te opereren in deze turbulente omgeving? Kom op 1 november naar het congres Medezeggenschap op koers, met onder meer workshops gericht op teambuilding en persoonlijke ontwikkeling.
Geef een reactie