Geraldine Dierinck, Medewerker, Claeys & Engels

Feiten

De verweerder was een vakbondsafgevaardigde van een onderneming en had twee e-mails uitgestuurd aan alle personeelsleden met als onderwerp: “werknemersafgevaardigden BERICHT & CONTACTGEGEVENS”. In het veld “AAN” waren de e-mailadressen van alle personeelsleden opgenomen; in het veld “CC” waren de e-mailadressen van twee secretarissen van externe vakbonden opgenomen. De twee externe vakbonden kregen dus kennis van de identiteit en de e-mailadressen van alle personeelsleden van de onderneming.

Maar liefst 14 personeelsleden dienden een klacht in bij de GBA die deze samen in één beslissing heeft behandeld.

Wie is de verwerkingsverantwoordelijke?

De GBA oordeelde dat de vakbondsafgevaardigde de verwerkingsverantwoordelijke was, aangezien hij het doel en de middelen van de verwerking bij het versturen van de kwestieuze e-mails heeft bepaald. De onderneming – hoewel deze de werkzaamheden van vakbondsafgevaardigden faciliteert (de e-mail werd bijvoorbeeld verstuurd op de systemen van de onderneming) – kon hier niet beschouwd worden als verwerkingsverantwoordelijke.

Was er een inbreuk van de AVG?

De GBA stelde twee inbreuken van de AVG (“Algemene Verordening Gegevensverwerking”) vast. Hierna gaan we enkel in op de eerste inbreuk.

De GBA oordeelde dat de vakbondsafgevaardigde het basisprincipe van “rechtmatigheid” niet had nageleefd. Het begrip “rechtmatigheid” wil zeggen dat een verwerking van persoonsgegevens alleen rechtmatig is indien en voor zover er een rechtsgrond voorhanden is.

Interessant is dat de GBA een opdeling maakt tussen de interne verspreiding van de e-mails en de externe communicatie naar de betrokken vakbonden. De beslissing van de GBA strekt zich niet uit over de interne verspreiding van de e-mails, maar ze merkt op dat de cao nr. 5 de “rechtmatige syndicale grondslag van de verwerking” is.

Wat de externe communicatie betreft, stelt de GBA zich de vraag of de vakbondsafgevaardigde zich kon beroepen op de rechtsgrond “gerechtvaardigd belang”. Opdat een verwerkingsverantwoordelijke zich zou kunnen beroepen op deze rechtsgrond, moeten er drie voorwaarden cumulatief vervuld zijn:

1. Doeltoets: de belangen die met de verwerking worden nagestreefd, moeten gerechtvaardigd zijn;
2. Noodzakelijkheidstoets: de verwerking moet noodzakelijk zijn voor de verwezenlijking van deze belangen;
3. Afwegingstoets: deze belangen moeten worden afgewogen ten opzichte van de belangen, fundamentele vrijheden en grondrechten van de betrokkenen waarbij de belangen van de verwerkingsverantwoordelijke doorwegen.

Hoewel de eerste voorwaarde was vervuld, namelijk het gerechtvaardigde belang van het informeren over de sociale verkiezingen en het delen van contactgegevens van personeelsafgevaardigden, waren de laatste twee dat niet.

De GBA stelde immers vast dat een verzending in BCC (en niet in AAN of CC) hetzelfde resultaat had bereikt, zonder dat de e-mailadressen voor iedereen zichtbaar waren. De verwerking was dus niet noodzakelijk voor de verwezenlijking van het doeleinde (de “noodzakelijkheidstoets”). Bovendien oordeelde de GBA dat de klagers de redelijke verwachting mochten hebben dat hun e-mailadres niet zou worden meegedeeld aan externen waarmee ze geen relatie hebben (de “afwegingstoets”).

De vakbondsafgevaardigde kon zich dus voor de externe communicatie op geen enkele rechtsgrond beroepen en kreeg voor beide inbreuken een waarschuwing.

Conclusie

Ook al faciliteert de onderneming syndicale activiteiten, ze kan niet worden beschouwd als verwerkingsverantwoordelijke voor het versturen van e-mails met syndicale informatie door de vakbondsafgevaardigden.

De vakbondsafgevaardigde die verwerkingsverantwoordelijke is, moet zich kunnen beroepen op een rechtsgrond. Voor interne communicatie zou dat cao nr. 5 kunnen zijn; voor externe communicatie zou dat haar gerechtvaardigd belang kunnen zijn. Bovendien dient de verwerkingsverantwoordelijke zich steeds de vraag te stellen of met andere (minder ingrijpende) middelen hetzelfde resultaat kan worden bereikt. Dit was in dit dossier het geval, namelijk door de bestemmelingen van de externe communicatie in BCC te plaatsen.