Mag een werkgever de social media accounts van een sollicitant bekijken?

Je hoort het steeds vaker: mensen die problemen ondervinden op hun (potentiële) werk vanwege uitingen op social media.

In mijn vorige blog schreef ik over de uitspraak van het Hof Arnhem-Leeuwarden van 24 maart 2017, waarin het niet vermelden van social media-uitingen tijdens een sollicitatiegesprek centraal stond. Het hof waarschuwde in dit arrest voor de juridische gevolgen van het gebruik van social media. In dit blog kijk ik naar de achterliggende problematiek: mag een potentiële werkgever eigenlijk de social media accounts van een sollicitant bekijken?

Databescherming

Ook in het juridische landschap is er steeds meer aandacht voor dit onderwerp. Zo vroeg de Autoriteit Persoonsgegevens op 13 juli 2017 aandacht voor de opinie ‘Dataprocessing at work’ die op 8 juni 2017 is aangenomen door de Europese privacytoezichthouders (de Article 29 Data Protection Working Party). In deze opinie wordt door de Working Party aandacht besteed aan de huidige Databeschermingsrichtlijn 95/46/EC. Deze richtlijn is in Nederland geïmplementeerd door middel van de Wet bescherming persoonsgegevens (Wbp).

De (nieuwe) Algemene Verordening gegevensbescherming 2016/679 (AVG) vervangt de Databeschermingsrichtlijn. De AVG zal op 25 mei 2018 van toepassing worden en de Wbp vervangen. De voor dit blog relevante regelgeving zal echter niet veranderen.

Verwerking van persoonsgegevens

Deze wetten regelen de verwerking van persoonsgegevens. Gegevens zijn persoonsgegevens indien het gaat om:

1. gegevens die informatie bevatten over een natuurlijk persoon; en
2. die persoon identificeerbaar is.

Van verwerking is sprake indien een handeling wordt verricht ten aanzien van persoonsgegevens en er feitelijke macht uitgeoefend kan worden over die persoonsgegevens. In de Handleiding Wet bescherming persoonsgegevens worden als voorbeeld van verwerking van persoonsgegevens de volgende handelingen genoemd:

• verzamelen, vastleggen en ordenen;
• bewaren, bijwerken en wijzigen;
• opvragen, raadplegen, gebruiken;
• verstrekken door middel van doorzending;
• verspreiding of enige andere vorm van terbeschikkingstelling;
• samenbrengen, met elkaar in verband brengen; en
• afschermen, uitwissen of vernietigen van gegevens.

Van een verwerking van persoonsgegevens in de zin van de Wbp is dus al snel sprake. Zo kwalificeert het simpelweg bekijken van social media accounts van een werknemer of potentiële sollicitant al als ‘verwerking van persoonsgegevens’.

Juridische grondslag: artikel 8 sub f Wbp

De werkgever dient altijd een juridische grondslag te hebben voor het rechtmatig verwerken van persoonsgegevens. Artikel 8 Wbp (artikel 6 AVG) bevat een limitatieve opsomming van de gronden die een gegevensverwerking rechtvaardigen. Artikel 8 aanhef en onder a Wbp bepaalt dat ondubbelzinnige toestemming van de werknemer voor het verwerken van persoonsgegevens een grondslag is voor gegevensverwerking. In de werksfeer wordt ondubbelzinnige toestemming als juridische grondslag echter niet snel aangenomen, nu door de verhouding werkgever-(potentiëel)werknemer het vrijwillig geven van toestemming sneller in het gedrang kan komen. De juridische grondslag zal voor de werkgever dan ook meestal berusten op artikel 8 aanhef en onder f Wbp (artikel 6 lid 1 sub f AVG):

Persoonsgegevens mogen slechts worden verwerkt indien:

(…)

f. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Proportioneel en subsidiair

Een gegevensverwerking door de werkgever op grond van artikel 8 Wbp is slechts mogelijk indien aan de beginselen van proportionaliteit en subsidiariteit in acht worden genomen. Voor een gerechtvaardigde toepassing van artikel 8 sub f Wbp dient de werkgever zich dan ook de volgende vragen te stellen:

• Is er een werkelijk belang dat de verwerking van persoonsgegevens rechtvaardigt?
• Wordt er met de verwerking van persoonsgegevens inbreuk gemaakt op belangen of fundamentele rechten van de persoon in kwestie en zo ja, dient mede gelet op de ernst van de inbreuk de gegevensverwerking achterwege te blijven?
• Is de inbreuk op de belangen van de werknemer door de verwerking van persoonsgegevens evenredig met het daarmee te dienen doel?
• Zou het doel op een andere, minder nadelige manier dan de verwerking van persoonsgegevens kunnen worden bereikt?

Ingezoomd: Mag de werkgever social media gegevens van de sollicitant bekijken?

Zelfs indien de social media accounts van de sollicitant publiekelijk toegankelijk zijn, moet de werkgever aan de hierboven genoemde voorwaarden voldoen om de gegevens rechtmatig te mogen bekijken (artikel 8 aanhef en onder f Wbp/artikel 6 lid 1 sub f AVG). Hierbij spelen de volgende aspecten een rol:

• Welke data worden verzameld? De werkgever mag slechts die data verzamelen die noodzakelijk en relevant zijn voor de uit te oefenen functie.
• Betreft het data van een zakelijk account of van een privé-account? Zo zal het bekijken van een LinkedIn pagina om informatie in te winnen over de werkervaring van de sollicitant sneller zijn toegestaan dan het bekijken van de uitgaanskiekjes op een Instagram-account.
  • Als de sollicitant voorafgaand aan de procedure is geïnformeerd over de gegevensverwerking en het is noodzakelijk voor de potentiële werkgever om publieke informatie op social media te bekijken, bijvoorbeeld in het kader van een risicoanalyse ten behoeve van de vervulling van de beoogde functie, zal er voor de gegevensverwerking mogelijk een juridische grondslag zijn op grond van artikel 8 aanhef en onder f Wbp. Hierbij kan worden gedacht aan een potentieel financieel directeur die elk weekend gokkend op de foto staat. Een dergelijke situatie zou integriteitskwesties kunnen opleveren. De rechtmatigheid hangt uiteraard altijd af van de omstandigheden van het geval.
• Hoe lang worden de data  bewaard? Indien het gedurende het sollicitatietraject duidelijk wordt dat de sollicitant niet aangenomen zal worden, dient de werkgever in beginsel de verzamelde data te verwijderen (artikel 10 Wbp/artikel 5 lid 1 sub e AVG).
  • Met de intrekking van de Wbp vervalt ook het Vrijstellingsbesluit, waarin is geregeld dat sollicitantgegevens in beginsel vier weken bewaard mogen worden. Het wordt afwachten of deze invulling ook aan artikel 5 lid 1 sub e AVG mag worden gegeven door de werkgever.
• Is de gegevensverwerking medegedeeld? Onder de privacyregelgeving geldt het beginsel van transparantie. Bij het solliciteren houdt dit in dat de sollicitant altijd voorafgaand aan het sollicitatietraject geïnformeerd dient te worden over het al dan niet bekijken en/of verzamelen van persoonlijke data in het kader van dat traject.

Conclusie

Social media kan door de werkgever worden gebruikt gedurende het sollicitatietraject, maar dit gebruik kent grote juridische beperkingen. Wees je daarvan bewust!

• Article 29 Data Protection Working Party, Opinion 2/2017 on data processing at work van 8 juni 2017
• Kamerstukken II   1997/1998, 25 892, nr. 3 (MvT)
• Handleiding Wet bescherming persoonsgegevens
• Ook in de media is hier aandacht voor geweest, zie onder andere: Nieuwsuur "Werkgever graaft en kijkt mee op sociale media"

Lees meer over dit onderwerp in mijn vorige blog Geen openheid van zaken tijdens sollicitatie: ontslag gerechtvaardigd?