De schoonmaakbranche draait om mensen. Iedere werkgever in deze sector weet hoe belangrijk het is om betrouwbare medewerkers in dienst te nemen en hen goed te begeleiden en uit te betalen. Daarvoor is veel informatie nodig: NAW-gegevens, loonadministratie, contracten, ziekmeldingen, beoordelingsformulieren en meer. SIEV-partner The Legal Company meldt er het volgende over.

Al deze informatie bevat persoonsgegevens van sollicitanten en werknemers. Deze gegevens worden doorgaans vastgelegd in personeels- en loonadministratiesystemen. Vaak gaat het om software die door externe leveranciers wordt beheerd. Dat is praktisch, maar juist daar schuilen risico’s. Want wat gebeurt er met al die gegevens? Kan het zijn dat deze data – soms zonder dat u het doorheeft – ook worden gebruikt voor analyses, benchmarking of zelfs het trainen van kunstmatige intelligentie?  

Waar moet je op letten bij het doornemen van contracten en voorwaarden? The Legal Company schetst een aantal situaties en praktijkvoorbeelden waar schoonmaakondernemers veel van kunnen leren.

Gemak met een keerzijde

Het werken met externe software voor loonadministratie, roosters of verzuimregistratie is tegenwoordig bijna onmisbaar. Het scheelt tijd en IT-zorgen. Maar gemak heeft een keerzijde. Sommige leveranciers nemen in hun voorwaarden bepalingen op die verder gaan dan nodig. Denk aan het gebruik van data voor benchmarking of zelfs AI-training. Dat klinkt onschuldig, maar in werkelijkheid betekent dit dat de gegevens van uw medewerkers buiten de afgesproken dienstverlening worden ingezet, vaak zonder rechtsgeldige AVG-grondslag. 

Praktijkvoorbeeld: Bij een HR-softwareleverancier bleek in de kleine lettertjes te staan dat persoonsgegevens van werknemers gebruikt mochten worden voor benchmarking. Toen dit aan het licht kwam, werd dit als onrechtmatige verwerking en zelfs als datalek aangemerkt. Het schoonmaakbedrijf kreeg te maken met extra werk, ongeruste medewerkers en reputatieschade. 

Advies: Controleer altijd de voorwaarden van uw leverancier. Komt u termen tegen als ‘gerechtvaardigd belang’ of ‘data-analyse’? Wees alert, vraag door en schakel juridische hulp in. 

Goede verwerkersafspraken

De juridische basis voor privacy-afspraken met een leverancier ligt in de verwerkersovereenkomst. Hierin staat wat de leverancier (de verwerker onder de AVG) wel én niet met persoonsgegevens mag doen. In de praktijk zien we dat deze afspraken in de schoonmaakbranche vaak summier of zelfs helemaal afwezig zijn.  

Zonder duidelijke afspraken kan de verantwoordelijkheid voor een datalek alsnog bij u terechtkomen. Daarom moet in de verwerkersovereenkomst ook expliciet worden opgenomen dat de leverancier een meldplicht heeft: zodra de leverancier een vermoeden van een datalek heeft, moet dit direct aan u als opdrachtgever worden gemeld, zodat u tijdig kunt reageren en wettelijke verplichtingen kunt nakomen. 

Een goede verwerkersovereenkomst bevat ten minste: 

• Dat gegevens alleen voor de afgesproken dienstverlening worden verwerkt; 
• Of en met wie gegevens gedeeld mogen worden; 
• Hoe lang gegevens na beëindiging worden bewaard; 
• Hoe en binnen welke termijn een datalek gemeld wordt. 

Contracttip: Sluit u binnenkort een contract af met een nieuwe (software-)leverancier? Laat de verwerkersafspraken (vaak verstopt in de algemene voorwaarden) dan kritisch toetsen door een privacyrechtexpert. Vraag ook expliciet wat er gebeurt na beëindiging van de samenwerking: worden alle gegevens verwijderd of blijven ze – al dan niet anoniem – ergens bewaard? 

Rechten van werknemers

Naast risico’s rond leveranciers geeft de AVG werknemers ook duidelijke rechten met betrekking tot hun persoonsgegevens. De meest bekende is het recht op inzage (artikel 15 AVG): iedere werknemer mag zijn of haar personeelsdossier opvragen en bekijken (tot op zekere hoogte). Er bestaan meer rechten, zoals onder andere: 

1. Correctierecht (artikel 16 AVG): als gegevens onjuist blijken te zijn – denk aan een verkeerde datum of adres – moet de werkgever deze corrigeren; 
2. Recht op vergetelheid (artikel 17 AVG): in bepaalde gevallen kunnen medewerkers eisen dat gegevens worden verwijderd. Een voorbeeld daarvan is een sollicitant die ooit een CV heeft achtergelaten, maar inmiddels elders aan het werk is. Die gegevens mogen niet eindeloos in de systemen van de werkgever blijven rondzwerven; 
3. Recht op bezwaar (artikel 21 AVG): werknemers mogen bezwaar maken tegen het gebruik van hun persoonsgegevens voor andere doeleinden dan strikt noodzakelijk. Denk aan persoonsgegevens die eigenlijk niet strikt noodzakelijk zijn voor salarisbetaling of contractbeheer. 

Voor werkgevers betekent dit dat u precies moet weten wáár alle personeelsdata staan. Mist u dat overzicht, dan loopt u het risico wettelijke termijnen te overschrijden met klachten of zelfs boetes van de Autoriteit Persoonsgegevens als gevolg. 

Praktische tip: Wat ons betreft begint de oplossing bij overzicht. Houd een verwerkingsregister bij. Zo weet u altijd welke gegevens u bewaart, waarom en waar. Daarmee voldoet u bovendien aan de verantwoordingsplicht uit artikel 30 AVG. 

Tekst: Hella Vercammen, ondernemingsjurist van The Legal Company

Beeld: The Legal Company