Binnen een arbeidsrelatie worden zowel persoonsgegevens verwerkt binnen het kader van het doel van de werkgever, maar soms ook erbuiten.
Wanneer die verwerkingen door werknemers zouden gebeuren buiten het professionele kader, kan men zich de vraag stellen wat de gevolgen daarvan zijn voor de werkgever.
Te onthouden punten
- In principe zijn werkgevers verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens uitgevoerd door hun werknemers.
- Wanneer werknemers niet toegestane verwerkingen van persoonsgegevens uitvoeren zal de werkgever onder bepaalde voorwaarden geen verwerkingsverantwoordelijke zijn.
- Werknemers kunnen onder bepaalde voorwaarden als verwerkingsverantwoordelijken worden beschouwd.
- Het is belangrijk dat werkgevers gepaste maatregelen nemen om dergelijke verwerkingen te voorkomen.
Verwerkingen van persoonsgegevens door werknemers
Sommige werknemers binnen organisaties verwerken persoonsgegevens.
Soms gebeuren deze verwerkingen binnen de bevoegdheid van deze werknemers, maar er zijn situaties waarbij werknemers persoonsgegevens verwerken buiten hun bevoegdheid.
Speciale gevallen, zoals bijvoorbeeld verwerkingen van persoonsgegevens onder dwang, zullen we hier voor de eenvoud buiten beschouwing laten.
Algemeen principe
Het algemeen principe is dat een werknemer of een aangestelde die toegang heeft tot persoonsgegevens, deze persoonsgegevens alleen verwerkt in opdracht van de verwerkingsverantwoordelijke.
Er dient hierbij wel een onderscheid te worden gemaakt tussen binnen de bevoegdheid toegestane verwerkingen en niet toegestane verwerkingen.
Toegestane verwerkingen
Wanneer werknemers of aangestelden binnen hun professionele bevoegdheid toegestane verwerkingen uitvoeren op persoonsgegevens, is er doorgaans geen vuiltje aan de lucht, voor zover deze werknemers of aangestelden de toestemming hebben om deze verwerkingen uit te voeren; zoals bijvoorbeeld het consulteren, het wijzigen, het aanpassen van persoonsgegevens.
In dit geval heeft de werknemer of aangestelde de verwerkingen uitgevoerd in opdracht van de verwerkingsverantwoordelijke.
Niet toegestane verwerkingen
Wanneer deze werknemers of aangestelden persoonsgegevens zouden verwerken, bijvoorbeeld persoonsgegevens consulteren voor privé-doeleinden, dan rijst de vraag wie verantwoordelijk is voor deze niet toegestane consultaties?
Hierbij dient geen onderscheid te worden gemaakt of de betrokken werknemer of aangestelde een uitvoerende werknemer is of een hiërarchische overste.
In beide gevallen dient de vraag te worden gesteld of in het geval van niet toegestane verwerkingen de werkgever-aanstellende organisatie nog steeds de verwerkingsverantwoordelijke is van deze niet toegestane verwerkingen van persoonsgegevens?
Het antwoord is in principe bevestigend, tenzij de werkgever kan aantonen dat hij alle maatregelen heeft genomen om deze niet toegestane verwerkingen te voorkomen.
Gepaste technische en organisatorische maatregelen
Verwerkingsverantwoordelijken moeten er immers voor zorgen dat, gezien de aard en de omvang van de verwerkte persoonsgegevens, gepaste technische en organisatorische maatregelen worden genomen om in orde te zijn met de GDPR.
Deze maatregelen worden geëvalueerd en zo nodig op geregelde tijdstippen geactualiseerd.
Voorbeelden van maatregelen
Zonder in detail te treden zijn sommige van de maatregelen die de verwerkingsverantwoordelijke kan nemen om te vermijden dat niet toegestane verwerkingen kunnen gebeuren:
- geïndividualiseerde toegang tot de systemen waar persoonsgegevens worden verwerkt, en dus het niet toestaan van groepstoegangen die door meerdere personen worden gedeeld;
- bij iedere verwerking moet de werknemer of aangestelde een vermelding geven waarom de verwerking gebeurt, zoals bijvoorbeeld de opgave van een dossiernummer waarop de verwerking of opzoeking gebeurt;
- iedere verwerking wordt gedetailleerd gelogd in logbestanden, zodat achteraf logboek kan worden voorgelegd inzake de verwerkingen indien ernaar wordt gevraagd;
- een beleid, dat niet enkel op papier bestaat maar ook in werkelijkheid wordt uitgevoerd en gecontroleerd, zowel voor uitvoerende werknemers als hun hiërarchische oversten.
Verantwoordelijkheid van de verwerkingsverantwoordelijke
Indien de organisatie-werkgever kan aantonen dat hij alle nodige technische en organisatorisch maatregelen heeft genomen om te beletten dat, zowel uitvoerende – als kaderleden, werknemers niet toegestane verwerkingen uitvoeren, dan zal de organisatie-werkgever voor die specifieke verwerkingen niet worden beschouwd als verwerkingsverantwoordelijke.
In dat geval zal de betrokken werknemer worden geacht de verwerkingsverantwoordelijke te zijn van deze niet toegestane verwerkingen. Zie tevens Aangestelden als verwerkingsverantwoordelijken.
Bloep, 21 juni 2026.
OPGELET: Deze blogpost is geen juridisch advies. Voor advies of aanbevelingen inzake uw persoonlijke situatie neem contact met ons op via ons Contact Formulier.