Op het werk worden op verschillende manieren persoonsgegevens verwerkt. Bijvoorbeeld bij het bijhouden van een personeels- of verzuimdossier. Of bij het (al dan niet geautomatiseerd) controleren van zakelijk mailverkeer of het inzetten van software om de productiviteit van werknemers te meten.

Van belang is dat een werkgever altijd kan aantonen dat het verwerken van persoonsgegevens gelegitimeerd is. Daarnaast moeten verwerkte gegevens goed beveiligd worden, mogen niet meer gegevens worden opgeslagen of verstrekt aan anderen dan strikt noodzakelijk, en moet het personeel goed geïnformeerd worden. Is niet aan deze voorwaarden voldaan, dan kan de toezichthouder Autoriteit Persoonsgegevens handhavend optreden, bijvoorbeeld door te waarschuwen of een boete of last onder dwangsom op te leggen.

Een interessante vraag is of een werknemer ingeval van een privacyschending een schadevergoeding kan claimen. Het antwoord daarop lijkt op het eerste gezicht eenvoudig. De Algemene Verordening Gegevensbescherming (AVG) – de Europese verordening waarin de regels over het verwerken van persoonsgegevens zijn vastgelegd – schrijft immers voor dat iedere persoon die schade heeft geleden als gevolg van een inbreuk op de AVG recht heeft op een schadevergoeding.

Complicerende factor is dat privacyschendingen meestal niet tot materiële schade leiden. Het gaat vaak om immateriële schade. Wanneer werknemersgegevens als gevolg van een datalek in verkeerde handen vallen, kunnen de betrokken werknemers worden blootgesteld aan risico’s. De daadwerkelijke schade wordt echter feitelijk pas geleden op het moment dat iemand gebruik maakt van de gelekte persoonsgegevens om bijvoorbeeld identiteitsfraude te plegen. Ook de angst en stress die gepaard gaan met vergaande schendingen van de privacy op het werk, zijn – zolang een werknemer als gevolg niet arbeidsongeschikt wordt – hoofdzakelijk immaterieel van aard.

Immateriële schade

Feit is wel dat een rechter een werkgever ook kan veroordelen tot vergoeding van immateriële schade. Uit een aantal uitspraken vorig jaar van de Raad van State volgt echter dat niet iedere schending van de AVG recht geeft op immateriële schadevergoeding. Er moet sprake zijn van een ernstige schending. Bovendien zijn de in de rechtspraak tot dusver toegekende immateriële schadevergoedingen wegens AVG-schendingen qua hoogte tamelijk beperkt. Meestal zo tussen de 250 en 500 euro.

Daarmee lijken de mogelijkheden voor werknemers om schadevergoeding te claimen wegens privacyschendingen op het werk gering. Toch is hier nuance op zijn plaats. Kenmerkend aan een arbeidsovereenkomst is dat een werknemer in een gezagsverhouding staat tot de werkgever. In het arbeidsrecht wordt aangenomen dat sprake is van een zekere machtsongelijkheid tussen werkgever en werknemer. In de lijn daarvan kan bepleit worden dat een privacyschending op het werk ernstiger is dan wanneer dezelfde schending zou gebeuren in een andere setting waarin partijen niet in een afhankelijkheidsrelatie staan tot elkaar. Een schending van privacy op het werk kan bovendien vergaande gevolgen hebben. Bijvoorbeeld wanneer een werkgever gegevens over een werknemer vergaart teneinde een ontslag te onderbouwen en daarbij de AVG schendt. De consequenties van die schending zijn voor de werknemer aanzienlijk (ontslag) terwijl de compensatie die daar tegenover staat (een beperkte schadevergoeding) gering is.

Additionele ontslagvergoeding

Bevestiging hiervan is te vinden in een uitspraak van de rechtbank Amsterdam van juli 2020. De rechter kende aan een ontslagen werknemer een additionele ontslagvergoeding toe van EUR 10.000 bruto. Dit omdat de werkgever zich onaangekondigd en zonder concrete verdenking toegang had verschaft tot de mailbox van een werknemer teneinde het ontslag te kunnen onderbouwen. Overigens was de werkgever in deze zaak op meerdere punten tekortgeschoten. Het toont wel aan dat werkgevers zich heel goed bewust moeten zijn van het belang van privacy op het werk. En de gevolgen als deze privacy geschonden wordt.