Belgische Gegevensbeschermingsautoriteit stelt de regels voor het delen van persoonsgegevens op het werk scherp

Na een jarenlange procedurestrijd over haar loonstructuur krijgt een werkgever gelijk van het Arbeidshof en deelt zij het integrale arrest met al haar werknemers. In het arrest kwamen echter de persoonsgegevens voor van enkele werknemers die de vordering samen met de vakbondsorganisaties hadden ingesteld. Een werkneemster was hier niet mee gediend en diende een klacht in bij de Gegevensbeschermingsautoriteit (GBA). 

Aanleiding van de klacht

In 2014 hadden twee vakbondsorganisaties en enkele werknemers een procedure ingeleid tegen de werkgever met betrekking tot de wettigheid van een deel van haar verloningssysteem. De werkgever kreeg in hoger beroep gelijk en deelde het integrale arrest intern met al haar personeelsleden per e-mail. De meerderheid van de personeelsleden werd in BCC geplaatst waardoor het niet mogelijk was om te zien wie de e-mail ontvangen had. Het arrest werd echter niet geanonimiseerd of gepseudonimiseerd waardoor de namen en adressen van de betrokken werknemers zichtbaar waren voor alle ontvangers. Een van hen was een werknemersvertegenwoordiger. 

Zij stelde de werkgever formeel in gebreke en eiste een schadevergoeding voor de morele en professionele schade die zij naar eigen zeggen had geleden ten gevolge van het delen van het arrest. Volgens de werkneemster keerden collega's zich tegen haar en bestond er een risico op lichamelijk letsel omdat haar woonadres bekend was gemaakt en zij eerder al bedreigingen op haar werk had ontvangen. Nadat de werkgever elke inbreuk betwistte en weigerde om een schadevergoeding te betalen, diende de werkneemster een klacht in bij de GBA wegens onrechtmatige verwerking van haar persoonsgegevens. In de beslissing van 19 september 2025 sprak de GBA zich uit over deze klacht.

Geen misbruik van het recht om een klacht in te dienen

De werkgever was van mening dat de werkneemster misbruik had gemaakt van haar recht om een klacht in te dienen bij de GBA. De werkneemster had namelijk 18 maanden gewacht om de klacht neer te leggen, wat ze volgens de werkgever deed omdat ze geen schadevergoeding had verkregen. De GBA verwerpt dit argument aangezien het de werkneemster toegelaten is om eerst andere stappen te ondernemen vooraleer zij een klacht indient. De GBA oordeelt dan ook dat er geen sprake is van rechtsmisbruik.

Geen verwerking van een bijzondere categorie van persoonsgegevens

De werkneemster beweerde in haar klacht dat er sprake was van een onrechtmatige verwerking van persoonsgegevens waaruit haar lidmaatschap van een vakbond blijkt. Dit kan volgens de werkneemster namelijk worden afgeleid uit het feit dat de vordering tegen de werkgever werd ingesteld door haarzelf, enkele andere medewerkers en twee vakbondsorganisaties. Zij handelden bovendien in het collectief belang van de werknemers van de onderneming. 

De verwerking van persoonsgegevens waaruit het lidmaatschap van een vakbond blijkt is in principe verboden, tenzij wanneer er beroep kan worden gedaan op één van de uitzonderingen zoals voorzien in de GDPR, zoals de uitdrukkelijke toestemming van de betrokkene of een wettelijke verplichting. In deze zaak was er geen sprake van toestemming, een wettelijke verplichting of enige andere uitzonderingsgrond die het delen van het arrest met alle werknemers rechtvaardigde. 

De GBA oordeelt echter dat er geen sprake was van een verwerking van een bijzondere categorie van persoonsgegevens. De werkneemster had de vordering namelijk ingesteld in haar eigen naam en in het arrest werd zij niet omschreven als werknemersvertegenwoordiger, maar enkel als werknemer. Het feit dat sommige ontvangers van de e-mail met het arrest op de hoogte waren van haar hoedanigheid, wijzigt daar volgens de GBA niets aan. 

Excessieve en onrechtmatige verwerking

Vervolgens beoordeelt de GBA of de werkgever beroep kon doen op haar gerechtvaardigd belang om het arrest met alle werknemers te delen. In haar analyse past de GBA de zogenaamde driestappentoets toe:

• Doeltoets. De werkgever had een gerechtvaardigd belang om haar werknemers te informeren over de uitkomst van de procedure. Deze procedure had namelijk betrekking op het verloningssysteem dat van toepassing was op een deel van haar werknemers, gevolgen kon hebben voor de financiële gezondheid en het voortbestaan van de onderneming en een gespannen werksfeer had gecreëerd bij het personeel.
• Noodzakelijkheidstoets. Het was volgens de GBA niet noodzakelijk (om bovenstaand doel te bereiken) dat de werknemers op de hoogte werden gesteld van wie de vordering had ingesteld. De GBA merkt op dat het adres van de werkneemster zeker niet vermeld had moeten worden.
• Aangezien er niet werd voldaan aan de noodzakelijkheidstoets is de GBA niet overgegaan tot de afwegingstoets en oordeelde zij dat de verwerking onrechtmatig was. 

Gebruik van BCC is niet noodzakelijk onbehoorlijk 

De werkgever had de meerderheid van de werknemers in BCC (blind copy) geplaatst bij het versturen van het arrest. De werkneemster beweerde dat dit een deloyale handeling uitmaakte omdat zij op deze wijze niet kon vaststellen wie haar gegevens had ontvangen, wat volgens haar een schending van het behoorlijkheidsprincipe was. 

De werkgever stelde echter dat zij gebruik maakte van de BCC-functie om het recht op gegevensbescherming van de andere ontvangers te waarborgen. Niet alle werknemers beschikten namelijk over een professioneel e-mailadres en dus werd het arrest bezorgd op hun privé e-mailadres.

Volgens de GBA is er in deze context geen sprake van een deloyale houding in hoofde van de werkgever. Zij brengt echter wel begrip op voor het standpunt van de werkneemster en maakt zich de bedenking of de werkgever geen alternatieve communicatiemethode zou moeten hanteren in de toekomst (bijv. door een professioneel e-mailadres te voorzien voor alle werknemers). 

Tot slot stelt de GBA nog enkele inbreuken vast met betrekking tot het principe van transparantie en de informatieverplichtingen. De GBA besluit om de werkgever te berispen voor de vastgestelde inbreuken en seponeert de klacht voor zover zij betrekking had op de verwerking van vakbondsgegevens en een inbreuk op het principe van behoorlijkheid. 

Aandachtspunt

Het is toegestaan om werknemers te informeren over aangelegenheden die hen kunnen aanbelangen, waaronder de uitkomst van een juridische procedure. Wanneer in deze communicatie echter persoonsgegevens worden vermeld van anderen, moet de werkgever zorgvuldig beoordelen of het noodzakelijk is deze gegevens te verstrekken. Indien dit niet het geval is, moet de werkgever passende maatregelen nemen ter bescherming van de rechten van de betrokkenen. Dit kan bijvoorbeeld worden gerealiseerd door uitsluitend een samenvatting van de beslissing te delen of door het document te anonimiseren.