De GBA berispt een werkgever voor het doorsturen van gegevens van een ex-werknemer

Context

Een werkneemster pleegt met haar bedrijfswagen een milieu-inbreuk (ongeoorloofd achterlaten van afval). Aangezien de bedrijfswagen ingeschreven staat op de vennootschap, stuurt de bevoegde overheid de administratieve geldboete voor de gepleegde inbreuk op naar de werkgever. De werkgever stuurt deze boete vervolgens door naar de werknemer, die de boete betaalt.

Ongeveer een jaar later ontvangt de vennootschap van het gemeentebestuur een nieuwe (veel hogere) boete voor dezelfde overtreding. Aangezien de werkneemster de onderneming inmiddels heeft verlaten, weet de ex-werkgever niet of de boete effectief werd betaald. Bijgevolg bevestigt de vennootschap de identiteit van de ex-werkneemster aan het gemeentebestuur, samen met haar privéhuisadres, haar privé- en zakelijke e-mailadressen, haar beroep als juriste en een ontwerpbrief met een bekentenis van de ex-werkneemster.

De vennootschap stuurt de e-mail naar drie verschillende adressen van de gemeente en plaatst de directeur financiën, de directeur personeelszaken en de voormalige chef van de werkneemster in kopie van het bericht.

De ex-werkneemster dient een klacht in bij de Gegevensbeschermingsautoriteit wegens inbreuken op de AVG.

De beslissing van de GBA

De Gegevensbeschermingsautoriteit analyseert de gegevensverwerking door de werkgever en stelt vast dat een deel van de verwerking rechtmatig en een ander deel onrechtmatig is.

De verwerking van het privé-e-mailadres en de woonplaats van de ex-werkneemster wordt beschouwd als rechtmatig. De werkgever kan zich beroepen op zijn rechtmatig belang omde werkelijke dader te identificeren en het juridisch geschil op te volgen. De verwerking is daarnaast noodzakelijk, toereikend en relevant voor de verwezenlijking van het doel van de werkgever.

Anderzijds beschouwt de GBA de verwerking van het professionele e-mailadres, de hoedanigheid van juriste en de ontwerpbrief met een bekentenis van de feiten van de ex-werkneemster als onrechtmatig.

De verwerking van deze gegevens was niet noodzakelijk voor de opvolging van het geschil: de hoedanigheid van juriste was irrelevant, de geldboete hield geen verband met de nieuwe functie van de werkneemster en de ontwerpbrief met een bekentenis werd destijds enkel ter vertaling naar een voormalige collega verzonden.

Wat ten slotte de ontvangers van de gegevens betreft, merkt de GBA op dat het niet nodig was om deze e-mail naar het algemene adres van de gemeente te sturen (verzending naar de ondertekenaar en het functievak volstaat), noch naar de voormalige chef van de werkneemster (de verwerking houdt geen verband met de voormalige functie die de werkneemster uitoefende).

De GBA besluit derhalve dat de AVG niet werd gerespecteerd. Een geldboete is volgens de GBA evenwel niet nodig, aangezien er geen sprake was van opzet, noch van een structurele schending van voormelde principes. De vennootschap krijgt alleen een berisping.

Te onthouden?

Een werkgever moet steeds toezien op de correcte naleving van de AVG, ook in het kader van een administratieve procedure betreffende zijn werknemers. In dit verband moet de werkgever ervoor zorgen dat er een juridische basis is voor iedere verwerking en dat hij alleen informatie verstrekt die strikt noodzakelijk is (wat de inhoud en deontvangers betreft) om het beoogde doel te bereiken.

Bron: Gegevensbeschermingsautoriteit, Besluit nr. 34/2022 van 10 maart 2022, beschikbaar op www.gegevensbeschermingsautoriteit.be