Uitspraak
1.Feiten
‘ [naam 4]( [naam 4] , ktr.)
reviewed changes to the Medallia scoring methodology. JWC(de ondernemingsraad, ktr.)
requested why employees names are now showing in the report, where before they were not. Indicate they have privacy concerns and ask an official response.’
‘The WC(de ondernemingsraad, ktr.)
sent an email that the names are being mentioned in het NPS survey to the customers. They are concerned with the privacy of the employees and ask for the Apple stand on this.’Toen een reactie van Apple uitbleef, stelde de ondernemingsraad bij e-mail van 6 november 2016 aan de bestuurder de volgende vragen over de wijziging in NPS:
‘a) Tot in hoeverre mag de naam van een medewerker worden vermeld in de klanttevredenheidsonderzoeken met het oo(g) op de privacy van de medewerker? b) Had de OR hier op voorhand over geïnformeerd moeten worden? c) Hebben medewerkers de keus of zouden zij de keus kunnen krijgen om hun naam niet vermeld te krijgen in het klanttevredenheidonderzoek?’
‘(-) [naam 4] said that in the past employees were wearing Lanyards, now the name is on the Medailla form. Feedback can be given per person, not in general. Feedback can be separated. Amir asked of the Privacy law apply’s? [naam 6]( [naam 6] , door wie [naam 4] zich ter vergadering deed vergezellen, ktr.)
said that if the WC think they aren’t compliant, the WC can flag this.’
‘De ondernemingsraad heeft op verschillende momenten aangegeven het niet eens te zijn met de wijziging in het beleid om de werknemersnaam te vermelden in de tevredenheidsenquête. De ondernemingsraad ziet zich gesterkt in de Wet Bescherming Persoonsgegevens, specifiek artikel 8 lid 1 (-).’Omdat de ondernemingsraad meende dat Apple in strijd met deze wet handelde, stelde hij haar een ultimatum:
‘(O)fwel vraagt Apple iedere werknemer of deze bereid(-) is ondubbelzinnig zijn of haar toestemming te geven voor de verwerking van de persoonsgegevens in de naar de klant gestuurde tevredenheidsenquête, dan wel dat alle gebruikte persoonsgegevens niet meer onderdeel zijn van de in de toekomst te sturen enquêtes.’Apple kreeg hiervoor de tijd tot 13 februari 2017.
‘Sinds het gewijzigde NPS systeem worden namen van werknemers vermeld(-) in de mail naar de klant. We zijn in gesprek met de bestuurder over de gevolgen voor de privacy van onze collega’s.’
‘(-) [naam 4] want to keep the names because you receive personalised real feedback. By providing an employees name, the experience will be linked to the individual behaviour. [naam 4] will partner about what to do. [naam 4] will contact them today and will update the JWC this Friday. Factually the names are still in there, if the data protection center tells we are not compliant, this will be change asap.’
‘om de namen uit de NPS te halen’, schreef [naam 4] op 22 maart 2017 aan de ondernemingsraad:
‘(-) It seems clear that members remain unconvinced that employees first names appearing in the NPS survey is compliant with Dutch Privacy legislation. You indicate you are imminently expecting a written opinion from the Dutch Privacy Authority on this question. We request that when you receive this written opinion that you would provide it to us. If it indicates that our current practice is non-compliant, we will review in detail. We may communicate with the DPA to clarify our position and make sure they have all relevant information in forming a view. If necessary and appropriate, we can take steps to remove the names which would take at least 1 week. However, because we remain confident that our position is correct after multiple and detailed reviews, we don’t see an obligation to change our practice at present.’Apple liet verder weten niet te begrijpen op welke gerechtelijke procedure de ondernemingsraad doelde, nu de NPS-wijziging al vanaf ongeveer een half jaar eerder dateert.
‘Nonetheless’, zo schreef Apple,
‘we are grateful for the WC’s partnership on this and remain ready and willing to answer any outstanding questions in discussion with you. We have of course engaged in ongoing correspondence and discussion on the data privacy compliance aspect of this matter.’Maar Apple bleef van mening dat van een verwerking van persoonsgegeven in de zin van de Wbp geen sprake was, alsook dat zij - als dat anders mocht zijn - bij de NPS-wijziging een gerechtvaardigd belang in de zin van artikel 8 aanhef en onder f Wbp heeft.
‘Moreover, we refer to our previous correspondence on this issue. Our opinion remains unchanged, If you receive a written opinion of the Dutch Privacy Authority, please let us know. In that event we reserve the right to engage with the Privacy Authority to explain our position. However, we are convinced that we are not acting in breach of the Data Protection Act in this regard.’
‘geen voorafgaande goedkeuringen aan de verwerking van persoonsgegevens’verleent, maar wel informatie verstrekt
‘op basis waarvan een afweging wellicht gemakkelijker kan worden gemaakt.’De Autoriteit Persoonsgegevens wees erop dat het bepaalde in artikel 8 onder f Wbp als grondslag voor de verwerking van persoonsgegevens kan dienen, als die verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op privacy, prevaleert. De Autoriteit Persoonsgegeven lichtte toe dat daarom een noodzakelijkheids- en een proportionaliteitsvereiste geldt en welke vragen in dat verband zouden kunnen worden gesteld.