Vragen van het lid Van Kent (SP) aan de Minister van Sociale Zaken en Werkgelegenheid over het bericht dat Just Eat Takeaway de databeschermingswet AVG overtreedt in Duitsland (ingezonden 26 mei 2021).

Antwoord van Minister Koolmees (Sociale Zaken en Werkgelegenheid) (ontvangen 24 juni 2021).

Vraag 1

Wat is uw reactie op het bericht «Just Eat Takeaway overtreedt databeschermingswet AVG»?¹

Antwoord 1

Naar aanleiding van uw vragen heb ik kennis genomen van dit artikel.

Vraag 2

Klopt het dat Just Eat Takeaway de volgapp die in Duitsland onder vuur ligt ook gebruikt in Nederland?

Antwoord 2

Het is mij niet bekend of de app die in Duitsland wordt gebruikt door Just Eat Takeaway, in Nederland bekend als Thuisbezorgd.nl, hetzelfde is als de app waar Thuisbezorgd in Nederland gebruik van maakt. Ik kan uw vraag dan ook bevestigen noch ontkennen.

Vraag 3

Welke data mag een werkgever volgens de Nederlandse wet allemaal opslaan van een werknemer? Hoelang mag dit bewaard worden? En past de de volgapp binnen deze regels?

Antwoord 3

Een werkgever die persoonsgegevens van een werknemer wil verwerken dient zich hierbij te houden aan de regels die hieromtrent in het leven zijn geroepen. De belangrijkste regels met betrekking tot het verwerken van persoonsgegevens zijn neergelegd in de Algemene verordening gegevensbescherming (AVG) en, daar waar de AVG ruimte laat voor nationale keuzes, in de Uitvoeringswet AVG (UAVG). Op de website van de Autoriteit Persoonsgegevens (AP) is een overzicht van en toelichting op alle voorwaarden te vinden.²

Niet elke verwerking van persoonsgegevens is verboden. Wanneer er sprake is van het verwerken van persoonsgegevens van een werknemer (of elk ander natuurlijk persoon) bepaalt artikel 5, eerste lid, AVG aan welke beginselen moet worden voldaan. Zo moeten persoonsgegevens worden verwerkt op een wijze die ten aanzien van de werknemer rechtmatig, behoorlijk en transparant is. De werknemer moet weten waarom en hoe zijn gegevens worden verwerkt. De verwerking van de persoonsgegevens moet ook in overeenstemming zijn met de wet en alleen worden verzameld met een gerechtvaardigd doel en voldoen aan het beginsel van minimale gegevensverwerking. De werkgever is als de verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de beginselen.

In artikel 6 AVG staat opgenomen in welke gevallen een verwerking rechtmatig is en dus is toegestaan. Dit is bijvoorbeeld het geval wanneer de betrokkene toestemming heeft gegeven voor de verwerking of wanneer de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene (de werknemer om wiens gegevens het gaat) partij is. Een andere rechtmatigheidsgrond voor de verwerking kan zijn gelegen in de noodzaak om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke (de werkgever) rust. Hierbij kan bijvoorbeeld gedacht worden aan het bijhouden van de arbeids- en rusttijden van een werknemer in het kader van zijn wettelijke plicht om te voldoen aan artikel 4:3 Arbeidstijdenwet.

Artikel 9 AVG (en 22 UAVG) ziet op het verwerken van bijzondere categorieën van persoonsgegevens, zoals ras, religieuze overtuiging, lidmaatschap van een vakbond etc. Het verwerken van dergelijke bijzondere categorieën van persoonsgegevens is in beginsel verboden.

In het tweede lid van artikel 9 AVG staan echter uitzonderingen opgenomen wanneer de verwerking hiervan wel is toegestaan.

Artikel 23 AVG jo. 41 UAVG bepaalt tot slot in welke gevallen bepaalde rechten en verplichtingen uit de verordening mogen worden beperkt.

Er is op grond van de AVG geen concrete bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij moeten zij kijken naar hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden gebruikt.

Op grond van artikel 51 AVG jo. artikel 6 UAVG is de Autoriteit Persoonsgegevens (AP) de toezichthoudende autoriteit die in Nederland de bescherming van persoonsgegevens bevordert en bewaakt. Bij overtredingen kan de AP handhavend optreden. Op de vraag of een volgapp aan de regels voldoet kan geen antwoord worden gegeven zonder nader onderzoek. Het is aan de AP of zij aanleiding ziet onderzoek te doen. Immers, niet bekend is of Thuisbezorgd.nl gebruik maakt van een volgapp, wat voor volgapp dat dan is en of en welke persoonsgegevens exact worden opgeslagen.

Vraag 4

Bent u bereid onderzoek te doen naar deze app en deze te (laten) toetsen aan de wetten en regels? Zo ja, op welke termijn? Zo nee, waarom niet?

Antwoord 4

Zie mijn antwoord op vraag 3. In Nederland is de Autoriteit Persoonsgegevens (AP) de onafhankelijke toezichthouder op de Algemene Verordening Gegevensbescherming (AVG). Het is aan de AP of zij aanleiding ziet om hiernaar onderzoek te doen.

---

1 NRC, 24 mei 2021, «Just Eat Takeaway overtreedt databeschermingswet AVG» (https://www.nrc.nl/nieuws/2021/05/24/just-eat-takeaway-overtreedt-databeschermingswet-avg-a4044647)

2 Autoriteit Persoonsgegevens, geraadpleegd op 10 mei 2021: www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/controle-van-personeel#faq