De GDPR heeft de rechten van individuen met betrekking tot verwerkingen van hun persoonsgegevens uitgebreid en versterkt. In dat kader werd één volledig nieuw recht gecreëerd, met name het recht op de overdraagbaarheid van gegevens (“right to data portability”). Dit recht houdt in dat een individu enerzijds zijn persoonsgegevens kan opvragen in een gestructureerde format en anderzijds deze eenvoudig kan overdragen van de ene verwerkingsverantwoordelijke naar de andere.
De Artikel 29-werkgroep, hierna afgekort als WP29, - het onafhankelijke advies -en overlegorgaan van Europese privacytoezichthouders - heeft op 13 december 2016 richtlijnen gepubliceerd met betrekking tot de concrete toepassing van het recht op overdraagbaarheid. U kunt deze richtlijnen hier terugvinden.
1. Recht op overdraagbaarheid van gegevens
Het recht op overdraagbaarheid van gegevens staat vervat in artikel 20 van de GDPR. Het geeft een individu de mogelijkheid om zijn persoonsgegevens in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen en deze zonder hinder over te dragen aan een andere verwerkingsverantwoordelijke.
Voor zover technisch mogelijk, kan het individu zelfs vragen dat zijn gegevens rechtstreeks worden doorgezonden van de oude naar de nieuwe verwerkingsverantwoordelijke.
2. Toepassingsvoorwaarden
Het recht op overdraagbaarheid is onderworpen aan een aantal strikte toepassingsvoorwaarden:
(i) Door het individu verstrekte en op hem betrekking hebbende persoonsgegevens
Enkel gegevens die het individu zelf heeft verstrekt en die op hem betrekking hebben, komen in aanmerking.
Volgens de WP29 moet het begrip “verstrekken” zo worden geïnterpreteerd dat niet alleen actief en bewust verstrekte gegevens zouden worden geviseerd, maar ook gegevens die ontstaan en worden verstrekt via het gebruik van diensten of toestellen (bv. zoekgeschiedenissen, playlists, online boekenlijsten enz.).
Deze interpretatie kan er ons inziens echter niet toe leiden dat een sollicitant bijvoorbeeld het recht zou hebben om resultaten van persoonlijkheidstesten die hij bij een potentiële werkgever heeft afgelegd te laten overdragen naar een andere potentiële werkgever. Het gaat in dat geval immers om subjectieve beoordelingen en analyses van de persoonlijkheid van de sollicitant en niet om persoonsgegevens die deze zelf heeft bezorgd of geproduceerd.
Gelet op de beperking tot door het individu zelf verstrekte persoonsgegevens, lijkt het recht op overdraagbaarheid ons dan ook relatief weinig impact te hebben in het kader van HR (voor de relevantie bij het einde van de arbeidsrelatie, zie evenwel punt 5).
(ii) Verwerkingen gegrond op toestemming of de uitvoering van een overeenkomst
Het moet gaan om een verwerking waarvoor de betrokkene zijn toestemming heeft gegeven of die noodzakelijk is voor de uitvoering van een overeenkomst.
Verwerkingen op basis van andere rechtsgronden (bv. een wettelijke verplichting) vallen buiten het toepassingsgebied.
(iii) Verwerkingen verricht via geautomatiseerde procedés
De verwerking moet zijn verricht via geautomatiseerde procedés, waardoor louter papieren gegevens zijn uitgesloten.
(iv) Geen afbreuk aan de rechten en vrijheden van anderen
Het recht op overdraagbaarheid mag geen afbreuk doen aan de rechten en vrijheden van anderen (bv. het recht op privacy, het recht op toegang en informatie enz.)
3. Voorafgaande informatieplicht
De verwerkingsverantwoordelijke zal de betrokkene moeten informeren van het nieuwe recht op overdraagbaarheid. Het precieze tijdstip waarop dit dient te gebeuren, verschilt naargelang de gegevens al dan niet van de betrokkene worden verkregen (zie artikelen 13 en 14 van de GDPR).
4. Behandeling van het verzoek
In geval van een verzoek tot overdracht, zal de verwerkingsverantwoordelijke onverwijld en ten laatste binnen een maand informatie moeten verstrekken over het gevolg dat hieraan is gegeven.
De overdracht dient in principe kosteloos te gebeuren, tenzij voor verzoeken die kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitief karakter.
5. Relevantie bij het einde van de arbeidsrelatie
De vraag rijst hoever het recht op overdraagbaarheid reikt bij het einde van de arbeidsrelatie. Heeft de ex-werknemer bijvoorbeeld het recht op de overdracht van het hem ter beschikking gestelde GSM-nummer of van de contactgegevens van zijn contactpersonen in Outlook?
De WP 29 benadrukt dat voor de toepassing van het recht op overdraagbaarheid in een HR-context telkens concreet zal moeten worden nagegaan in welke mate de verschillende voorwaarden (zie punt 2) zijn vervuld.
Gelet op deze voorwaarden, lijkt het recht op overdracht van gegevens naar een nieuwe werkgever ons eerder beperkt te moeten worden geïnterpreteerd in die zin dat het enkel basispersoonsgegevens betreft die de werknemer zelf aanlevert en die op hem betrekking hebben (bv. adres, bankrekeningnummer, gezinssituatie).
De overname van andere gegevens, zoals een GSM-nummer of contactgegevens in Outlook, lijkt immers al snel afbreuk doen aan de rechten en vrijheden van de werkgever (bv. het recht op nummerbehoud en het recht op geheimhouding van zakelijke informatie) en/of van derden (bv. het recht op privacy). De praktijk zal moeten uitwijzen waar de grenzen precies komen te liggen.