Algemene Verordening Gegevensbescherming (AVG)

Een verwerkersovereenkomst is niet nodig omdat de groothandel zélf verantwoordelijk is. Wel mag u van de groothandel verwachten dat zij een afdoende privacybeleid hebben en dat de persoonsgegevens bij hun veilig zijn.

Voorwaarde is natuurlijk wel dat de klant ervan op de hoogte is dat de groothandel de materialen direct bij hun gaat afleveren. Dat kunt u oplossen door dit bijvoorbeeld in de offerte te vermelden of later bijvoorbeeld per mail nog een akkoord te vragen.

Zorg dat de klanten standaard het advies krijgen een backup van de gegevens te maken voordat het apparaat bij u wordt ingenomen. Wanneer het apparaat niet meer werkt, en dus géén nieuwe backup kan worden gemaakt, zult u uw klant moeten laten weten dat het risico bestaat dat de bestanden op de computer zullen verdwijnen.

Om discussie achteraf te voorkomen: zorg dat bijvoorbeeld op de inname bon een tekst is opgenomen waarmee u de klant expliciet informeert over het risico. Een apart briefje met deze info kan natuurlijk ook prima, daarmee wordt de attentiewaarde van de mededeling groter. Daarnaast moet de klant ook mondeling, aan de balie, van het risico op dataverlies worden geattendeerd. Een duidelijke, aantoonbare, instructie voor het personeel is daarbij van belang.

In het kader van de arbeidsovereenkomst mag u de gegevens van de werknemers verwerken. U bent echter wel verplicht uw werknemers te informeren over welke gegevens u bewaart of aan derden verstrekt. Het gaat dan om de volgende punten:

• Identiteit en contactgegevens van de werkgever, de andere organisaties die in het kader van de arbeidsrelatie persoonsgegevens verwerken (bijv. de arbodienst, verzuimverzekeraar, externe administrateurs, etc.);
• Het doel of de doelen waarvoor u de persoonsgegevens verwerkt;
• Of u persoonsgegevens naar het buitenland transporteert en welke waarborgen dat land biedt ter bescherming van het recht op privacy. Hiervan kan sprake zijn als bijv. een kopie van bepaalde personeelsgegevens centraal wordt opgeslagen op een server van het hoofdkantoor in het buitenland;
• Hoe lang de gegevens worden bewaard;
• De rechten die de werknemer heeft m.b.t. de verwerking van zijn persoonsgegevens. Denk aan het recht op inzage, rectificatie, wissing, beperking, recht om bezwaar te maken en om een klacht in te dienen bij de Autoriteit Persoonsgegevens (AP), en het recht om een eenmaal gegeven toestemming weer in te trekken. Om aan de informatieplicht te voldoen, kunt u uw huidige en nieuwe werknemers een informatiebrief sturen waarin zij worden geïnformeerd over hun privacyrechten. Als u een personeelshandboek of arbeidsreglement hebt, kunt u er ook voor kiezen daarin een privacyprotocol op te nemen. Bekijk een voorbeeld van een privacybeleid voor uw werknemers. Houdt u wel in de gaten dat u de gegevens niet langer bewaart dan is toegestaan. Bekijk een overzicht van bewaartermijnen. 

In dat geval zult u duidelijk moeten vastleggen dat uw opdrachtgever zorgvuldig omgaat met die gegevens. Dat kan worden gedaan in algemene voorwaarden of in een separate overeenkomst. Voorbeeldformuleringen hiervoor vindt u in het document ‘Modelbepalingen privacy ten behoeve van algemene voorwaarden’ op onze website.

In het kader van de uitvoering van de arbeidsovereenkomst bent u verplicht deze gegevens door de geven aan PMT (Pensioenfonds Metaal en Techniek). U heeft daarvoor dus niet nog toestemming nodig van uw werknemers.

Wanneer u aan uw accountant of salarisadministrateur personeelsgegevens doorgeeft, zult u met hen een verwerkersovereenkomst moeten aangaan. Met zo’n overeenkomst legt u onder meer vast dat de salarisadministrateur of accountant zorgvuldig met de gegevens omgaat. Bekijk een voorbeeld van een verwerkersovereenkomst.

U mag de gegevens van uw klant niet aan derden doorgeven, zoals de fabrikant. De klant kan wel zélf zijn gegevens bij de fabrikant te laten, bijvoorbeeld via de website of een garantiekaart.

Het is wel mogelijk met de klant af te spreken dat u zijn gegevens doorgeeft aan de fabrikant. U heeft daar expliciete en schriftelijke toestemming voor nodig van de klant.

Dit is het makkelijkste in te regelen door bijvoorbeeld onder aan de offerte een apart aan te kruisen regel op te nemen voor het doorgeven van persoonsgegevens aan de fabrikant. De klant kan daarmee expliciet instemmen met het doorgeven van zijn/haar gegevens.

Bij de eigenschappen en functie van deze meter hoort dat de gegevens bij de fabrikant komen. U kunt deze werkzaamheden daarom gewoon uitvoeren in opdracht van de klant. Het kan zijn dat er bij het installeren een scherm zichtbaar is waarin de eindgebruiker toestemming geeft aan de fabrikant voor het verwerken van zijn gegevens. U zou de eindgebruiker zelf kunnen vragen hier voor akkoord te drukken.
U bent niet verantwoordelijk voor het verwerken van de gegevens door de fabrikant.

Voor afgeronde werkzaamheden mag u gegevens bewaren conform de regelgeving bewaartermijnen.

Gegevens van klanten waar u nog aan het werk bent, mag u wel bewaren. Maar ook hier geldt: niet meer dan nodig is voor de uitvoering van de overeenkomst.

Zorg dat u de gegevens dusdanig bewaart en opslaat dat ze veilig genoeg zijn. Wat veilig genoeg is, zal afhangen van de aard van de gegevens. Bijzondere persoonsgegevens, zoals medische gegevens moeten worden opgeslagen met een hoger beveiligingsniveau dan meer algemene persoonsgegevens zoals naam en adres.

Techniek Nederland beschikt over een document met modelbepalingen privacy. Hierin vindt u formuleringen die u bijvoorbeeld kunt opnemen in de offerte die u de klant stuurt.

Is er wetgeving van toepassing die bepaalde bewaartermijnen voorschrijft? Dan moet u deze termijnen hanteren. Bijvoorbeeld: de belastingwetgeving zegt dat u bepaalde gegevens 7 jaar moet bewaren.

• Doel klantgegevens

Denk na over waar u de gegevens van uw klanten precies voor nodig heeft. Ten eerste natuurlijk om opdrachten van uw klanten te kunnen afronden. Maar misschien wilt u ook wel contactgegevens van uw klanten gebruiken voor direct marketing.

Ga vervolgens bij elk van deze doelen na wanneer u uw doel heeft bereikt. Op het moment dat dit het geval is, heeft u de persoonsgegevens waarschijnlijk niet langer nodig. 

Zo kunt u voor elk doel waarvoor u klantgegevens bewaart, een bewaartermijn bepalen. U mag de termijnen dus zelf vaststellen. Maar u moet wel kunnen beargumenteren hoe lang u uw klantgegevens bewaart.

• Informeren

U moet de bewaartermijnen opnemen in uw privacyverklaring. Zodat uw klanten weten hoe lang u hun gegevens bewaart. Bekijk een voorbeeld van een privacyverklaring.

• Na afloop bewaartermijn

Is de bewaartermijn verlopen? Dan moet u de klantgegevens vernietigen of anonimiseren. Of eerder, als een klant bezwaar maakt tegen direct marketing of zijn toestemming hiervoor intrekt.

Voor de lengte van toegestane bewaartermijnen bekijk het document regelgeving bewaartermijnen.

Dat kan uitsluitend wanneer u de gegevens uitsluitend onder een adres bewaart. Dus zonder gegevens van de oorspronkelijke opdrachtgever.

Jazeker, dat is immers nodig voor de uitvoering van de overeenkomst (het onderhoudscontract). Uiteraard moeten deze gegevens wel zorgvuldig worden bewaard.

Het bewaren van financiële gegevens is beperkt tot 7 jaar. Waarschijnlijk is het niet nodig álle gegevens 7 jaar te bewaren. Bekijk kritisch wat wel of niet bewaard moet blijven. Wanneer u de gegevens van de ketel langer wilt bewaren, mag dat alleen als de persoonsgegevens daar niet meer uit herleidbaar zijn.

Techniek Nederland heeft een voorbeeld disclaimer en privacyverklaring gemaakt die u zelf kunt aanvullen met de informatie die voor uw bedrijf van toepassing is.

Download het model disclaimer en privacyverklaring.

Cameratoezicht op de werkvloer kan helpen tegen bijvoorbeeld diefstal of beschadiging van eigendommen. De inbreuk op de privacy van de werknemers en bezoekers is groot. Daarom mogen werkgevers alleen camera’s ophangen als zij aan een aantal voorwaarden voldoen. In ieder geval moet de inbreuk op de privacy zo klein mogelijk zijn. Een camera in bijvoorbeeld een toilet of kleedhokje gaat te ver, net als het maken van geluidsopnamen. Dit is voor het doel namelijk niet nodig.

• De werkgever moet een gerechtvaardigd belang hebben voor het cameratoezicht. Bijvoorbeeld diefstal tegengaan of werknemers en bezoekers beschermen. Wat een gerechtvaardigd belang is, hangt af van de specifieke situatie. Er wordt aan de ene kant gekeken naar het belang van de werkgever (bijvoorbeeld het voorkomen van diefstal) en aan de andere kant het belang van de werknemer.
• Het cameratoezicht moet noodzakelijk zijn. Dat wil zeggen dat de werkgever het doel, bijvoorbeeld fraudebestrijding, niet op een andere manier kan bereiken. U moet eerst nagaan of er geen andere mogelijkheid is, die minder ingrijpend is voor de privacy.
• Het cameratoezicht mag niet op zichzelf staan. Het moet onderdeel zijn van een beleid wat gericht is op het tegengaan van fraude.
• Voor het plaatsen van camera’s is instemming van de ondernemingsraad nodig.

Het gebruik van verborgen camera’s kent nog wat extra waarborgen.

• Het gebruik van een verborgen camera is uitsluitend voor een beperkte periode mogelijk.
• Alleen de werknemer(s) waarover het vermoeden bestaat dat zij betrokken zijn bij fraude of diefstal mogen worden gefilmd.
• De werkgever moet vooraf hebben gemeld dat er verborgen camera’s gebruikt kunnen worden. Hij hoeft niet te zeggen wanneer deze worden geïnstalleerd of waar deze komen te hangen. De werkgever moet de betrokken medewerkers ook achteraf informeren over de controle met de verborgen camera.
• Er moeten geen andere mogelijkheden dan een verborgen camera zijn om gepleegde fraude of diefstal te kunnen aantonen.

Als u grootschalig cameratoezicht gebruikt om diefstal en fraude door werknemers te bestrijden dan is het nodig om een data protection impact assessment (DPIA) uit te voeren. Dit is bijvoorbeeld zo als de werkgever structureel of gedurende een langere periode cameratoezicht inzet voor dit doel.

Wil de werkgever een verborgen camera (heimelijk cameratoezicht) inzetten? Dan moet de werkgever hiervoor altijd een DPIA uitvoeren. Ook als het heimelijk cameratoezicht incidenteel is.

De werkgever moet ervoor zorgen dat de werknemers en bezoekers weten dat er een camera hangt en voor welk doel deze er hangt. Bijvoorbeeld door bordjes op te hangen.

Daarnaast geeft de Algemene verordening gegevensbescherming (AVG) de volgende privacyrechten aan betrokkenen:

• het recht om gegevens (camerabeelden) in te zien;
• het recht om vergeten te worden;
• het recht op beperking van de verwerking;
• het recht om bezwaar te maken tegen het gebruik van persoonsgegevens.

De werkgever mag de camerabeelden niet langer bewaren dan noodzakelijk is. De richtlijn hiervoor is maximaal 4 weken.

Maar is er een incident vastgelegd, zoals diefstal? Dan mag de werkgever de betreffende beelden bewaren tot dit incident is afgehandeld.