AVG: Kerstkaarten met medewerkers erop versturen?
Laatst kreeg ik de vraag of je kerstkaarten zou mogen versturen naar klanten en relaties, waar de medewerkers op staan. Los van de vraag of die medewerkers dat wel willen of niet, zo, gezellig met z’n allen in een foute kersttrui op de foto, zichtbaar voor iedereen.
Kerstkaarten versturen
Laat ik voorop stellen dat het maken van een kerstkaart met alle medewerkers erop en die versturen, iets heel anders is dan de vraag of je überhaupt naar klanten en relaties kerstkaarten mag versturen.
Over dat laatste maakte ik vorig jaar al een blogpost en video.
LawStories in je mailbox?
Welke grondslag kun je gebruiken?
“Moet ik dan aan elk personeelslid toestemming vragen?” werd mij gevraagd.
Nou, ja. Of eigenlijk nee. Het is een soort catch 22. Volgens de Autoriteit Persoonsgegevens zou zoiets als een kerstkaart met portretten van de medewerkers en zelfs een intern smoelenboek alleen maar kunnen met toestemming. Maar die toestemming moet altijd vrijelijk gegeven kunnen worden, dus zegt de Autoriteit Persoonsgegevens ook dat dit eigenlijk niet kan, omdat een medewerker altijd een afhankelijke positie heeft.
Wat, namelijk, als je geen ja zegt? Misschien krijg je dan geen promotie, wordt de arbeidsovereenkomst niet verlengd of krijg je alleen nog maar de stomme opdrachten.
Toestemming zit er dus niet helemaal in. Kunnen we dan wat met de grondslag gerechtvaardigd belang? Volgens de Autoriteit Persoonsgegevens is deze maar zelden van toepassing. Laten we dat eens uitproberen.
Gerechtvaardigd belang als grondslag
Om gebruik te kunnen maken van de grondslag gerechtvaardigd belang, moeten de belangen van de verwerkersverantwoordelijke (de partij die de persoonsgegevens wil gebruiken) en de belangen van de betrokkene (de persoon van wie de persoonsgegevens zijn) tegen elkaar worden afgewogen. Het zijn bijna altijd grondrechten die tegen elkaar moeten worden afgewogen. Als de belangen van de betrokkene zwaarder wegen dan die van de verwerkersverantwoordelijke of een derde, kan de verwerkersverantwoordelijke géén beroep doen op het gerechtvaardigd belang.
Maar hoe moet je die afweging dan precies maken?
Allereerst is de vraag of de betrokkene de soort verwerking redelijkerwijs had mogen verwachten. Natuurlijk moet een verwerking ook in de privacyverklaring vermeld worden en wordt iemand er in die zin altijd al van op de hoogte gebracht, maar dat is pas nadat die belangenafweging al is gemaakt. Je moet juist vooraf bedenken of iemand de verwerking had kunnen of mogen verwachten. Dat hangt dus ook samen met de manier waarop de persoonsgegevens verkregen worden. Het hangt daarom telkens af van de specifieke omstandigheden waarin de persoonsgegevens verwerkt worden.
Drie voorwaarden voor het gerechtvaardigd belang
Natuurlijk is over deze vraag al eens een rechtszaak geweest. Daaruit kwamen drie voorwaarden naar voren (r.o. 28), die eigenlijk ook al wel in de tekst van de wet (art. 6 sub f AVG) zelf te lezen zijn.
- Gerechtvaardigd belang en doel
- Noodzakelijkheid van de verwerking
- Afweging belangen en rechten
Doel of belang
Een doel of belang kan natuurlijk het marketingbelang zijn. Je wil klanten en relaties kunnen laten zien hoe het team eruit ziet, in beeld laten zien hoe het team gegroeid is, dat het zo’n mooie mix is van leeftijden en geslacht of iets anders wat met een foto toch beter doordringt of tot de verbeelding spreekt dan wanneer je wat getallen achterop de kaart afdrukt.
Het doel of het belang is de reden waarom je wil doen wat je wil doen.
Dat je een doel of belang hebt, maakt hem natuurlijk nog niet per definitie rechtvaardig. Dat is het was wanneer het:
- rechtmatig en aanvaardbaar is
- voldoende duidelijk is verwoord en dus voldoende specifiek is
- een werkelijk belang vertegenwoordigt (niet speculatief)
Noodzakelijk
Is de verwerking noodzakelijk om het doel te bereiken? Om te weten of het noodzakelijk is, moet ook beken worden of de verwerking wel proportioneel is ten opzichte van het doel en of aan het subsidiariteitsvereiste is voldaan. Ofwel: Gaat deze verwerking niet te ver? Zou er niet ook een andere, minder op het privéleven ingrijpende methode mogelijk zijn om hetzelfde doel te bereiken?
Bij alles geldt eigenlijk: als een minder ingrijpend middel mogelijk is, moet dat gebruikt worden.
Afweging
Bij de afweging of de verwerking mag speelt voornamelijk een rol wat de verwachtingen mochten zijn van de betrokkene en in hoeverre de verwerking een nadelige invloed heeft op de ‘rechten en vrijheden’ ofwel op de privacy, van de betrokkene. Wat zijn de gevolgen voor de betrokkene?
Ook lezenswaardig hierover: Opinie van Werkgroep 29 (nu EDPB) / Sdu blog over gerechtvaardigd belang / Normuitleg AP
Kerstkaart met foto medewerkers versturen?
Mag je, als je alles hierboven gelezen hebt, nu die kerstkaart met een foto van medewerkers versturen?
Je hebt natuurlijk een marketingbelang en je hebt de vrijheid om te ondernemen. Maar je kunt ook iets anders op je kerstkaart zetten om van dit marketingmoment gebruik te maken. Het doel van de kerstkaart is immers niet om weer iets over je team te vertellen of te laten zien hoe leuk ze allemaal zijn, maar om weer even onder de aandacht van een klant of relatie te komen. Dat kun je op een minder privacyingrijpende manier uitvoeren.
Hier strandt de beoordeling daarom al. Aan de afweging kom je niet eens meer toe.
Weten of jij persoonsgegevens kunt gebruiken onder de grondslag gerechtvaardigd belang en hoe je die afweging moet maken en omschrijven? Boek een Oploskoffie.