Wat is de impact van de WPO op je GDPR-compliance? 

Waarom is de WPO ook een GDPR-dossier?

De wet die de WPO vervangt dateerde uit 1991, ruim twintig jaar voor de GDPR. Het is dus ook niet verbazend dat deze oorspronkelijk wet sterk verouderd was en niet op de huidige gegevensbeschermingswetgeving was afgestemd. Een van de doelstellingen van deze nieuwe wet was dan ook om dat gat te dichten. De WPO bevestigt daarom uitdrukkelijk dat de GDPR onverkort van toepassing blijft, behalve waar ze zelf gebruikmaakt van de ruimte die de GDPR aan de lidstaten laat.

Dat klinkt zeer beloftevol, maar de uitvoering roept bijna even veel of meer vragen op dan als ze op had moeten lossen. De Gegevensbeschermingsautoriteit gaf al in 2020 advies over het wetsontwerp van de WPO en formuleerde een reeks bezwaren, maar op de kernpunten werd dit advies niet gevolgd.

De WPO is daardoor een wet die de GDPR wil waarborgen maar er op verschillende plaatsen net tegenin loopt. Hieronder leggen we uit hoe dat net een impact kan hebben op jouw organisatie.

Wat is de impact van de WPO op GDPR-compliance binnen je organisatie?

Je moet verplicht een DPO aanstellen, ook als de GDPR dat niet vereist

De WPO verplicht elke onderneming of interne dienst voor private opsporing om een functionaris voor gegevensbescherming aan te stellen (een DPO of FG). Ongeacht de omvang van je organisatie, ongeacht hoeveel onderzoeken je voert. Ook als je er onder de GDPR geen verplicht moest hebben. Om te bepalen of je zo een interne dienst hebt, lees je best even onze andere blog. De drempel ligt lager dan je denkt.

Je documentatie moet mogelijks worden (her)bekeken

De WPO vereist dat je een aantal documenten opstelt en onderhoudt. In de eerste plaats gaat het om:

• Het opsporingsreglement (ongeacht of je werkt met een interne dienst of niet);
• Het onderzoeksopdrachtdocument dan wel het opdrachtenregister wanneer je als opdrachtgever werkgever bent van de onderzoeker.

Dit heeft meer raakvlakken met de GDPR en je bestaande documentatie dan je zou denken. Immers zal het voeren van private onderzoeken ook een verwerking van persoonsgegevens met zich meebrengen, en heb je waarschijnlijk al policies zoals e-mail monitoring en internetcontrole, die direct geïmpacteerd kunnen worden bij private onderzoeken. Het is aldus nuttig ook deze documenten te (her)bekijken en aan te passen waar nodig. Immers zullen ze op verschillende vlakken moeten interageren.

Denk bijvoorbeeld aan:

• Het informatieveiligheidsbeleid
• Het camerareglement
• De e-mail- of internetpolicy (bv. wat betreft de controle ervan)
• Het geolocatiebeleid
• Het verwerkingsregister (bv. nieuwe ontvangers toevoegen, want een nieuwe verwerkingsverantwoordelijke betekent ook een nieuwe ontvanger)
• De technische en organisatorische beveiligingsmaatregelen
• Het toegangsbeleid (bv. beperking van de toegang tot onderzoeksdossiers)

Het gebeurt regelmatig dat documenten ontbreken, dat ze er wel zijn maar niet samenlopen, of misschien nog het vaakst dat documenten dode letter zijn en in de praktijk niet worden toegepast.

Houd rekening met nieuwe verwerkingsverantwoordelijken binnen je organisatie

De WPO duidt drie verwerkingsverantwoordelijken aan:

• De interne dienst voor wat zij verzamelt en verwerkt;
• De persoon die de opdracht aanvaardt voor wat hij rapporteert;
• De opdrachtgever voor wat hij aanlevert en voor wat hij nadien met het rapport doet.

Voor een externe onderneming voor private opsporing klopt die kwalificatie. Voor een interne dienst is deze kwalificatie echter minder voor de hand liggend. Deze personen zijn immers doorgaans gewoon werknemers, die op het netwerk van hun werkgever en in diens uitdrukkelijke opdracht gegevens verwerken. In GDPR-termen handelen zij onder gezag van de verwerkingsverantwoordelijke, en dat maakt hen geen afzonderlijke verantwoordelijke. Je kan je als werkgever over het algemeen nooit achter je eigen dienst of onderzoekers verschuilen.

De Gegevensbeschermingsautoriteit was daar in haar advies duidelijk over: zelfs wanneer een privaat onderzoeker een ruime beoordelingsmarge krijgt, kan hij niet als gezamenlijke verwerkingsverantwoordelijke met zijn werkgever worden beschouwd. Zij voegde eraan toe dat zij zich bij een klacht niet gebonden zal achten door deze kwalificaties. Na dat advies werd de privaat onderzoeker uit de lijst geschrapt, maar de rest bleef staan.

Als je de wettelijke kwalificatie toch volgt, ook al kan men zich hier vragen bij stellen, is het aan te raden een onderlinge regeling uit te werken die vastlegt wie welke GDPR-verplichting op zich neemt, en die transparant te maken aan de betrokkenen. De meest werkbare plek daarvoor is je opsporingsreglement, dat toch al moet worden opgesteld. Daar komt de gewone GDPR-huishouding die we eerder aanhaalden evenwel ook nog eens bovenop.

Hou er bij dit alles wel rekening mee dat die kwalificatie de verplichtingen van je interne dienst sterk kan verzwaren. Immers moet die dienst dan alle andere verplichtingen van een verwerkingsverantwoordelijke ook uitoefenen, en in de letterlijke interpretatie dan ook een eigen verwerkingsregister hebben, de betrokkenen zelf informeren over hun rechten, zelf technische en organisatorische maatregelen nemen, etc. In de praktijk lijkt dit weinig werkbaar.

Je moet bepalen hoe je omgaat met toestemming onder de WPO

Wie e-mail- of internetcontrole van medewerkers uitvoert, doet dat vandaag vermoedelijk niet op basis van toestemming van de werknemers, maar gewoon op basis van zijn toezichtsrecht als werkgever. Het is reeds lang gekend dat toestemming in een arbeidsrelatie quasi nooit vrij kan zijn, omdat de verhouding tussen werkgever en werknemer niet evenwichtig is. De GDPR en collectieve arbeidsovereenkomsten, zoals CAO nr. 81 over e-mail- en internetcontrole, en CAO nr. 68 over cameratoezicht regelen dat toezichtsrecht.

De WPO vraagt evenwel op verschillende plaatsen net wél om toestemming, zoals bijvoorbeeld voor een gesprek met een medewerker in het kader van een onderzoek.

Bij het inkijken van interne bestanden wordt het nog moeilijker. De WPO bepaalt dat een onderzoeker geen persoonsgegevens uit “niet publiek toegankelijke geautomatiseerde bestanden” mag raadplegen zonder de toestemming van de betrokkene en van de verantwoordelijke voor die verwerking. Wat zo’n bestand precies is, staat evenwel niet in de WPO. De Belgische Gegevensbeschermingsautoriteit leest het als een “gegevensbank”. In een ruime lezing zou het IT-netwerk van je onderneming, inclusief e-mails, internetverkeer en camerabeelden, er aldus evengoed onder kunnen vallen.

In de praktijk is e-mail- en internetcontrole evenwel reeds geregeld in CAO nr. 81, die we hierboven reeds hebben vermeld.

Omgaan met toestemming onder de WPO, vereist dus een pragmatische benadering, die we hieronder kort toelichten.

Je moet de betrokkenen informeren over hun GDPR-rechten alvorens je gevolg kan geven aan het onderzoeksrapport

Zoals ook in onze andere blog aangehaald, wordt er na het interne onderzoek een eindrapport opgemaakt, waarna je 30 dagen hebt om te beslissen of je er gevolg aan geeft.

Als je er gevolg aan gaat geven, dan verbiedt de WPO je de informatie uit het onderzoeksrapport te gebruiken zolang de betrokkenen hun rechten niet hebben kunnen uitoefenen, zoals het recht om hun gegevens in te zien, aan te vullen of te laten verbeteren. Om toe te laten dat betrokkenen die rechten überhaupt uit kunnen oefenen, moeten ze eerst schriftelijk worden geïnformeerd.

Dat is het punt dat regelmatig vragen in de praktijk naar boven brengt, vooral als je de onderzochte persoon om dringende reden wenst te ontslaan. In onze andere blog bespreken we hoe dat samenloopt met de drie werkdagen voor een ontslag om dringende reden. Je moet de informatie uit een onderzoeksrapport waar je geen gevolg aan geeft, verwijderen.

Je moet de informatie uit een onderzoeksrapport waar je geen gevolg aan geeft, verwijderen

Als je geen gevolg geeft aan het hierboven vermelde onderzoeksrapport, dan mag je de informatie niet meer gebruiken.Dat houdt aldus in dat de rapporten vernietigd moeten worden, en dat de onderzochte persoon niets wordt meegedeeld.

Het verwijderen van deze informatie is misschien praktisch mogelijk maar vanuit GDPR-perspectief ook een beetje verbazend, want er is mogelijk een aanzienlijke verwerking van persoonsgegevens gebeurd waarvan de betrokkene nooit zal weten dat ze heeft plaatsgevonden.

Voor je GDPR-bewaarbeleid heeft dit concrete gevolgen, want je krijgt drie bewaartermijnen in één dossier. Het onderzoeksdossier moet drie jaar bewaard worden en daarna worden vernietigd door de onderneming of interne dienst voor private opsporing, het register van onderzoeksopdrachten moet vijf jaar worden bewaard door de private onderzoeker, en voor de onderneming zelf als opdrachtgever geldt een bewaartermijn voor zolang als nodig voor haar gerechtvaardigd belang of om aan een wettelijke bewaarplicht te voldoen. De Gegevensbeschermingsautoriteit had voor het onderzoeksdossier vijf jaar geadviseerd, omdat inbreuken op de gegevensbeschermingsregels pas na vijf jaar verjaren en je dus nog met een klacht geconfronteerd kan worden terwijl je dossier al vernietigd is. Ook dat advies is evenwel niet gevolgd door de wetgever.

Hoe ga je pragmatisch om met de toestemming die vereist is onder de WPO?

Hoe vraag je toestemming voor een gesprek met een werknemer?

Voor gesprekken met medewerkers werk je best met een goed uitgewerkt opsporingsreglement en een informatie- en toestemmingsformulier.

Je moet vooraf onder meer meedelen:

• dat de betrokkene niet hoeft te antwoorden,
• dat hij het verslag mag nalezen en verbeteren,
• dat hij het niet hoeft te ondertekenen,
• dat hij het gesprek op elk moment kan stoppen en
• dat hij zich mag laten bijstaan door een persoon naar keuze.

Leg daarbij uitdrukkelijk vast dat weigeren geen nadelige gevolgen heeft, om die toestemming zo vrij mogelijk te houden.

Hoe vraag je toestemming voor het inkijken van e-mails, internetverkeer en camerabeelden?

Voor e-mail- en internetcontrole is het antwoord minder voor de hand liggend.

Er is een verdedigbare lezing mogelijk dat je gewoon verder kan werken onder de bestaande toepasselijke CAO. Die steunt in de eerste plaats op een uitzondering in de bepaling zelf: de toestemming van de betrokkene is niet vereist voor gegevens die met hetzelfde doel als de private opsporing werden verwerkt, of die op basis van andere regelgeving werden verkregen, voor zover de verantwoordelijke voor die verwerking ermee instemt.

De voorbereidende werken bevestigen die lezing. Waar een andere wet de opdrachtgever al toelaat bepaalde middelen in te zetten, mag de onderzoeker dat ook.

De volgens ons verdedigbare conclusie is dus dat de controle van e-mail- en internetverkeer nog steeds kan, mits je de toepasselijke CAO en de GDPR naleeft. Precies daarom kunnen je e-mail- of internetpolicy en je camerareglement niet meer los worden bekeken van je opsporingsreglement.

De Nationale Arbeidsraad had trouwens uitdrukkelijk gevraagd om in de wet op te nemen dat toezicht dat via nationale CAO’s geregeld is, volgens de regels van die CAO’s blijft verlopen. Dat is niet gebeurd.

Wie de wet strikt leest, kan evenwel volhouden dat je vanaf het moment van een conflict toestemming nodig hebt voor dergelijke controle.

Wat je nu al kan doen?

• Stel een DPO aan als je een interne opsporingsdienst hebt, en houd hem weg van de onderzoeken die hij moet controleren.
• Vul je verwerkingsregister aan met de interne onderzoeken en de nieuwe ontvangers.
• Stem je camerareglement, e-mailpolicy, geolocatiebeleid en enige andere policies af op je opsporingsreglement.
• Bouw de informatieplicht in je gespreksformulier in, en zorg dat ze blijkt uit het verslag.
• Breng je bewaartermijnen in lijn: drie jaar voor het onderzoeksdossier, vijf jaar voor het opdrachtenregister, en je eigen termijn als opdrachtgever.

Conclusie

De WPO wilde interne onderzoeken niet alleen uit een juridisch vacuüm halen, maar ze ook meer in lijn brengen met de GDPR. Zoals gelezen kan worden in onze beide blogs is die ambitie maar half ingelost. Bij de verdeling van de verantwoordelijkheid, bij de rol van toestemming in een arbeidsrelatie, bij de verhouding tot bestaande CAO’s en bij de bewaartermijnen botst de wet met de logica van de regels die ze net wilde waarborgen.

Zoals ook in onze andere blog geschreven verander aan je opdracht evenwel niets. De verplichtingen gelden nu al, en de toezichthouder heeft laten weten dat zij zich bij een klacht niet zal laten binden door de kwalificaties in deze wet. Bekijk je interne onderzoeken vandaag dus niet los van de GDPR, want ze interageren in sterkere mate dan je denkt.