Ja dat mag op grond van gerechtvaardigd belang. Maar daar zitten wel haken en ogen aan.

Dit onderwerp was aan de orde in de uitspraak van 23 november 2020 (ECLI:NL:RBMNE:2020:5111) tussen Voetbal TV en de AP. De AP stelde zich op het standpunt dat Voetbal TV onterecht persoonsgegevens heeft verwerkt op basis van gerechtvaardigd belang, aangezien Voetbal TV een zuiver commercieel belang heeft. De AP heeft hierop aan Voetbal TV een boete opgelegd. In deze uitspraak heeft de rechter bepaald dat de zienswijze van de AP met betrekking tot het feit dat een ‘gerechtvaardigd belang’ niet een zuiver commercieel belang mag zijn niet juist is. Hoe moet ‘gerechtvaardigd belang’ dan worden uitgelegd en toegepast en waarom is deze uitspraak van belang voor recruitment?

Recruitment zoekt vaak via online kanalen zoals bijvoorbeeld LinkedIn naar mogelijke kandidaten voor een functie. Dat levert geen probleem op. Immers de betrokkene heeft zelf persoonsgegevens openbaar gemaakt. De vraag is echter of  je daar dan zomaar alles mee mag doen? Nee, dat mag niet. Je mag het bekijken, iemand een connectieverzoek sturen etc. Recruitment zal echter, al dan niet bijvoorbeeld via een recruitment-seat, de gegevens downloaden en verwerken in hun eigen systeem. Voor dat laatste, het verwerken in je eigen systeem, heeft de betrokkene geen toestemming gegeven, echter dit betekent niet dat het niet mag. Het is namelijk zaak dat je goed onderbouwt waarom je deze persoonsgegevens toch mag verwerken.

Hoe zat het ook al weer?

Je bent als Recruitment verwerkingsverantwoordelijke als je persoonsgegevens van (potentiele) kandidaten verwerkt. Je mag als verwerkingsverantwoordelijke alleen persoonsgegevens verwerken als hier een wettelijke grondslag voor is. Artikel 6 AVG geeft hiervoor een limitatieve opsomming, te weten:

• Toestemming.
• Noodzakelijk voor de uitvoering van een overeenkomst, waarbij een betrokkene partij is.
• Noodzakelijk om te voldoen aan een wettelijke verplichting van de verwerkingsverantwoordelijke.
• Noodzakelijk om de vitale belangen van de betrokkene of van een ander natuurlijk persoon te beschermen.
• Noodzakelijk voor de vervulling van een taak van algemeen belang.
• Noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene, die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen.

De Autoriteit Persoonsgegevens (AP) heeft in de ‘Normuitleg grondslag gerechtvaardigd belang’ bepaald dat er geen zuiver commercieel belang mag zijn. In de normuitleg heeft de AP hier het volgende over geschreven : ‘Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc..’ Uit de uitspraak van 23 november 2020 volgt dus dat dit standpunt te kort door de bocht is. En terecht ons inziens. Het sluit niet aan bij overweging 47 uit de AVG, de richtlijnen van de Europese Data Protection Board, noch uitspraken van het Europese Hof van Justitie.

Een gerechtvaardigd belang van recruitment is een prima rechtsgrond, maar wel met inachtneming van de volgende voorwaarden:

• Dat je als een recruiter een werkelijk gerechtvaardigd belang hebt, bijvoorbeeld omdat je een openstaande vacature hebt.
• Dat de verwerking van de persoonsgegevens noodzakelijk is voor de behartiging van het gerechtvaardigd belang van jou als recruiter, bijvoorbeeld omdat je anders geen long en short list kunt maken voor je opdrachtgever.
• Dat de verwerking voldoet aan het subsidiariteitsbeginsel, dus dat dit de beste manier is om het doel te bereiken, dat de inbreuk voor de betrokkenen in verhouding is met het doel en het doel niet op minder nadelige wijze kan worden bereikt. Het is nu eenmaal een gegeven dat professionele netwerken een belangrijke rol spelen in de werving en selectie en om vraag en aanbod te matchen.
• Dat je een duidelijk afweging maakt tussen jouw belang als recruiter om een geschikte kandidaat te vinden voor een functie en het belang van de betrokkene met het oog op bescherming van zijn of haar persoonsgegevens. Deze belangenafweging is prima te maken aangezien betrokkene zelf zijn of haar persoonsgegevens openbaar heeft gemaakt via online media. Door deze persoonsgegevens als recruiter te verwerken in een systeem is bovendien de inbreuk op de rechten en vrijheden van betrokkene minimaal.

Als recruitment op basis van gerechtvaardigd belang dus in eerste instantie persoonsgegevens verwerkt moet je het bovenstaande op voorhand goed kunnen aantonen. Je hebt volgens de AVG tenslotte een verantwoordingsplicht.

Waar moet je nog meer aan denken?

• Informeer de betrokkene zo snel mogelijk dat je zijn/haar gegevens verwerkt in je eigen systeem en hoe je hier mee omgaat. Dit kun je via een e-mail of anderszins doen door te verwijzen naar bijvoorbeeld je privacy verklaring.
• Maakt betrokkene bezwaar tegen de verwerking, verwijder dan de persoonsgegevens uit je systeem. Betrokkene heeft kennelijk geen interesse in jouw bemiddeling naar een (andere) baan. Hiermee borg je bovendien dat je database accuraat en up to date is, nog zo’n verplichting op grond van de AVG, en daardoor waardevoller is voor je activiteiten als recruiter.

Er zijn ook nog vele andere verplichtingen op grond van de AVG, waarover wij je graag informeren.