Sinds de invoering van de AVG (Algemene Verordening Gegevensbescherming) is het een stuk makkelijker geworden voor privacy autoriteiten om hoge boetes op te leggen. In 2021 zijn 11 AVG-boetes opgelegd, ter waarde van ruim 5 miljoen euro.
De AVG geldt voor alle bedrijven, stichtingen en verenigingen die persoonsgegevens verwerken. Bedrijven en organisaties hebben meer verplichtingen bij het verwerken van persoonsgegevens en moeten kunnen aantonen dat ze de juiste organisatorische en technische maatregelen hebben genomen om aan de AVG te voldoen.
Echter gaat het wel eens mis tijdens de verwerking van persoonsgegevens. Zo is onlangs in Japan een IT-medewerker in dronken toestand een usb-stick verloren met daarop persoonsgegevens van ruim 460.000 burgers. De IT-er werkt voor een onderneming die coronasteunpakketten faciliteert. Het verwerken van persoonsgegevens is bij deze onderneming dan ook aan de orde van de dag.
Stel u een dergelijke situatie in Nederland voor. Zo’n datalek zou vallen onder de regelgeving van de AVG. De betreffende onderneming kan dan een hoge boete verwachten in verband met overtreding van de AVG.
Kan deze boete vervolgens verhaald worden op de werknemer?
Aansprakelijkheid werknemer
In principe geldt dat werknemers niet aansprakelijk zijn voor het eventueel niet nakomen van de AVG. Dit betekent dat de werkgever de AVG boete niet kan verhalen op de werknemer. Er vanuit gaande dat er geen sprake is van opzet of grove nalatigheid.
De werkgever / onderneming wordt gezien als de verwerkingsverantwoordelijke en is dan ook verantwoordelijk voor het naleven van de AVG.
In de Nederlandse wetgeving valt dit onder artikel 6:170 BW: Voor schade, aan een derde toegebracht door een fout van een ondergeschikte, is degene in wiens dienst de ondergeschikte zijn taak vervult aansprakelijk, indien de kans op de fout door de opdracht tot het verrichten van deze taak is vergroot en degene in wiens dienst hij stond, uit hoofde van hun desbetreffende rechtsbetrekking zeggenschap had over de gedragingen waarin de fout was gelegen.
Indien een werknemer de persoonsgegevens zelf gaat gebruiken voor andere doelen dan voor zijn werkgever of eigen doeleinden, dan wordt de werknemer zelf de verwerkingsverantwoordelijke. De werkgever kan de werknemer hier dan wel op aanspreken en de boete eventueel op de werknemer verhalen. Let wel dat de werkgever dan niet op de hoogte mag en moet zijn van het feit dat deze verwerkingen worden verricht door de werknemer.
Geheimhoudingsbeding
Is het voor de werkgever toch mogelijk om eventuele overtredingen van de AVG af te wentelen op de werknemer, door de werknemer bijvoorbeeld een geheimhoudingsbeding te laten tekenen?
Een geheimhoudingsbeding is een aparte overeenkomst of bepaling in de arbeidsovereenkomst waarin de werkgever met een werknemer afspreekt dat bepaalde gevoelige bedrijfsgegevens niet met anderen mag worden gedeeld. Hier wordt een boete aan gekoppeld.
Het in het geheimhoudingsbeding opnemen van de mogelijkheid tot verhalen van de AVG boete op de werknemer is niet mogelijk. Sommige werkgevers verschuiven deze verantwoordelijkheid echter naar de werknemers middels een geheimhoudingsbeding. Een overtreding van de AVG door de werknemer valt hier dus niet onder. Deze boete is zo in het nadeel van de werknemer, dat dit niet af te dwingen is. Uiteraard behoudens gevallen van grove schuld en nalatigheid.
Conclusie
Let er op dat u als werkgever ervoor zorgt dat ook uw werknemers AVG-proof werken om overtredingen van de AVG te voorkomen. Daarbij zijn bepalingen zoals “iedere overtreding van de AVG wordt aangemerkt als opzet of grove nalatigheid” niet te volharden.
Heeft u hulp nodig bij het voldoen aan de AVG of heeft u een andere vraag. Onze sectie arbeidsrecht kan u daarmee helpen. Neem contact op met mw. mr. Britt Paulissen, mw. mr. Joyce Houben of mr. Serge Blommendaal via telefoonnummer 045 – 5741488 of stuur een e-mail naar b.paulissen@ruttenwelling.nl.
