Een ziekenhuis vond dat dat een werknemer die de functies van CISO en DPO combineerde zijn job niet naar behoren uitvoerde en besloot om over te gaan tot ontslag. De werknemer vocht het ontslag aan voor de arbeidsrechtbank. Een DPO mag volgens de GDPR namelijk niet worden ontslagen of gestraft voor de uitvoering van zijn taken. Dit is een van de eerste zaken in België met betrekking tot het ontslag van een DPO.
1 Wat is een DPO?
De aanstelling van een Functionaris voor Gegevensbescherming (FG), beter gekend onder de Engelstalige benaming Data Protection Officer (DPO), is voor bepaalde organisaties verplicht onder de GDPR (bijv. overheidsinstanties). De DPO heeft over het algemeen de opdracht om te informeren en advies te verlenen over gegevensbescherming, toe te zien op de naleving van de GDPR en als contactpunt op te treden voor betrokkenen en de Gegevensbeschermingsautoriteit. Om de onafhankelijkheid van de DPO te vrijwaren, kan deze niet worden ontslagen of gestraft om redenen die verband houden met de uitoefening van zijn functie.
2 Feitelijke achtergrond
Op 9 juli 2018 werd een werknemer aangenomen met een arbeidsovereenkomst van onbepaalde duur voor de functie “gespecialiseerde adviseur (Chief Information Security Officer/ Data Privacy Officer)” bij een ziekenhuis in de publieke sector. Hoewel de benaming van de functie niet expliciet overeenstemt met de benaming in de GDPR (zijnde Data Protection Officer), staat het in deze zaak niet ter discussie dat de werknemer effectief optrad als DPO in de zin van de GDPR.
Op 28 april 2022 kreeg de werknemer per brief een ontslagvoorstel wegens een gebrek aan tevredenheid over het geleverde werk. De werknemer betwistte dit en beweerde dat zijn ontslag te maken had met de uitoefening van zijn functie als DPO. Enkele weken later ging de werkgever effectief over tot het ontslag met betaling van de wettelijke opzeggingsvergoeding van 13 weken loon.
De werknemer stelde vervolgens een procedure in voor de Franstalige arbeidsrechtbank te Brussel. Hij vorderde een schadevergoeding wegens het ontslag als “beschermde werknemer” en een vergoeding van 17 weken loon voor kennelijk onredelijk ontslag.
3 Schadevergoeding wegens ontslag DPO
De werkgever stelde dat het ontslag niets te maken had met de essentie van de taken van de werknemer als DPO. De werknemer voerde zijn functie te theoretisch en rigide uit volgens de werkgever waardoor deze onvoldoende praktisch bruikbaar advies verleende. Hij leverde bovendien te weinig werk: er werden slechts 10 teksten afgeleverd over 4 jaar, het register der verwerkingsactiviteiten was niet bijgewerkt, hij hield het incidentenregister niet naar behoren bij…
Volgens de rechtbank vormden deze probleempunten wel degelijk een geldige reden om tot ontslag over te gaan zodat de werknemer niet in aanmerking kon komen voor een vergoeding wegens onrechtmatig ontslag.
De rechtbank was echter van oordeel dat de werkgever had erkend meer belang te hechten aan de uitoefening van de functie van CISO en daardoor slechts een minimale belangstelling had vertoond over
de wijze waarop de werknemer zijn functie als DPO vervulde. De werknemer zou zijn functie als CISO niet naar behoren hebben uitgeoefend omwille van zijn functie als DPO.
De rechtbank oordeelde dat de functies van CISO en DPO in feite met elkaar vermengd waren en de werkgever niet kan aantonen dat de reden voor het ontslag uitsluitend te maken heeft met de uitoefening van de functie als CISO.
Er is geen schadevergoeding voorzien in de GDPR of de Belgische wet voor het ontslag van een DPO om redenen die verband houden met zijn functie. Onder verwijzing naar rechtspraak van het Hof van Justitie oordeelde de rechtbank dat de Belgische wetgeving op dit punt tekortschoot en verwees daarbij in haar beoordeling naar andere wettelijke beschermingsmechanismen bij ontslag. De rechtbank kende uiteindelijk een vergoeding toe van 3 maanden loon.
4 Opgelet met gecumuleerde functies
Het is essentieel om een duidelijk onderscheid te maken tussen de verschillende taken van een werknemer wanneer deze werknemer, naast zijn rol als DPO, ook andere functies binnen dezelfde organisatie vervult. Het is dan aan de werkgever om aan te tonen dat het ontslag niets te maken heeft met de uitoefening van de functie als DPO.
Matthias Vandamme
Advocaat
