[AVG] Bewaartermijn dataverwerkers voormalig werkgever?

[barber]

Op 31-jan-2023 (dus bijna 1 jaar geleden) ben ik uit dienst gegaan bij mijn vorige werkgever (groot internationaal bedrijf).
Nu ben ik begin februari jarig en tot mijn verbazing zie ik een postnl pakket worden aangemeld door de vaste leverancier van verjaardagscadeaus van mijn vorige werkgever.

Dus blijkbaar bijna een jaar nadat ik uit dienst ben heeft een van de dataverwerkers van de vorige werkgever mijn persoonsgegevens nog (naam, adres, geboortedatum).

Ik kan niet goed terugvinden of dit terecht is dat zij mijn gegevens nog hebben.
Op zich heeft de werkgever een aantal jaren geleden netjes toestemming gevraagd voor delen van gegevens met een lijst van de leveranciers en het doel van het delen van de gegevens.

Bij de leverancier waar het om gaat staat er als doel verjaardagscadeaus. Dus aangezien ik al een jaar niet meer in dienst ben zou ik zeggen dat er totaal geen grondslag meer is om deze gegevens te delen.

Nu kan ik simpel een mailtje sturen naar de vorige werkgever met de het verzoek mijn gegevens niet meer te delen en te laten verwijderen, maar ze hebben me redelijk schofterig behandeld toen ik mijn baan had opgezegd en ze niet blij waren dat ik weg ging.

Dus ik zou ze graag wat extra werk geven als blijkt dat het delen tegen de regels zou zijn

Dus mijn vragen:
1) Gaat hier de voormalig werkgever in de fout doordat deze dataverwerker mijn persoonsgegevens nog heeft?
2) En zo ja, wat kan ik het beste doen om ze even te laten zweten?

[eLScha]

Zou er gewoon een foutje gemaakt kunnen zijn? Je bent er een jaar weg joh, laat het lekker gaan of doe en belletje naar HR dat er iets mis is gegaan.

[laurens0619]

Ben geen expert maar was het niet zo dat werkgevers verplicht zijn bepaalde informatje te bewaren voor x jaar? (Inclusief dataverwerkerw)

Verder: “ Wie zijn schepen achter zich heeft verbrand, kan niet meer terug”

Ik zou niet gaan etteren, voor je eigem belang

[kodak]

Om te kunnen bepalen of de opdrachtgever van het pakket je gegevens onterecht verwerkt is op zijn minst van belang onder welke overeenkomst dit valt. Zoals je het omschrijft lijk je apart toestemming te hebben gegeven voor deze specifieke verwerking. Dan valt dat niet zomaar onder je werknemersovereenkomst of ontslagvoorwaarden. Afhankelijk van de inhoud van de overeenkomst voor het cadeau kan deze bijvoorbeeld ook op gaan voor oud-werknemers of andere relaties. Het is immers niet vreemd als een bedrijf relatiegeschenken wil geven. Maar ook de ontslagovereenkomst kan van belang zijn, bijvoorbeeld als daarin staat welke voordelen uit het wernemersverband vervallen en per wanneer.

Wat je het beste kan doen is afhankelijk van je eigen voorkeur.
Als je vooral wil weten of dit aan een overeenkomst voldoet dan kun je de overeenkomsten dus eerst doornemen op wat wel/niet is afgesproken.

[bw_van_manen]

Het bedrijf verwerkt jouw persoonsgegevens dus ze moeten je ook informatie verschaffen over wat ze daarmee doen, met welke grondslag etc. Dat moet beschreven staan in de privacyverklaring, die aan een flink aantal eisen moet voldoen. Ik zou dus eens beginnen met het opzoeken van de privacyverklaring van je vorige werkgever.

Als die verklaring geen antwoord geeft op je vraag kun je meer informatie opvragen, zoals welke gegevens ze precies met welk doel verwerken. In de privacyverklaring moeten daar contactgegevens voor staan. Als het goed is staat daar ook beschreven hoe je toestemming (de waarschijnlijke grondslag voor het verwerken van een privé adres voor een cadeau) in kan trekken.

In mijn ervaring voldoen de meeste privacyverklaringen niet aan alle eisen van de AVG en de aanbevelingen van de AP, dus als je de organisatie wil laten zweten is ze wijzen op de onvolledige privacyverklaring waarschijnlijk al genoeg om een paar mensen een slechte dag te bezorgen. Verder kun je natuurlijk gebruik maken van je inzagerecht (opvragen welke gegevens ze nog allemaal van je hebben), toestemming intrekken of bezwaar maken tegen verdere verwerking. Dan moeten ze binnen een maand reageren, al heeft de AP het meestal te druk om op te treden tegen klachten over het niet naleven van die termijn.

Sowieso zou ik eerst dat pakket eens afwachten. Misschien zit er wel een brief met uitleg/excuses bij, of is het cadeau zo leuk dat je mening over het bedrijf verandert. Als je nu gaat klagen maak je waarschijnlijk ook slapende honden wakker en krijg je mogelijk gedoe over het terugsturen van je cadeau.

[barber]

@bw_van_manen Dank voor je uitgebreide antwoord.

Op zich hebben ze de privacy verklaring en toestemming redelijk geregeld.
Per leverancier is er ook aangegeven welke informatie en mbt welk doel deze gegevens gedeeld zijn.
Ook hoe ik de toestemming in moet trekken.

Mijn verwachting is dat op het moment dat ik uit dienst ben, deze toestemming impliciet ook ingetrokken wordt voor een aantal (alle?) leveranciers, omdat het doel van delen niet meer relevant is geworden.

Hier kan ik echter weinig informatie over vinden of je bij het verlaten van de werkgever expliciet de toestemming voor dataverwerking van leveranciers moet intrekken.

Maar ik ga ze wel een mail sturen om nadrukkelijk deze toestemming in te trekken.
En dan kijk ik volgend jaar wel weer of dat inderdaad gelukt is of dat ik opnieuw een kado krijg

[F_J_K]

bw_van_manen schreef op woensdag 31 januari 2024 @ 11:35:
Het bedrijf verwerkt jouw persoonsgegevens dus ze moeten je ook informatie verschaffen over wat ze daarmee doen, met welke grondslag etc. Dat moet beschreven staan in de privacyverklaring [..]

In mijn ervaring voldoen de meeste privacyverklaringen niet aan alle eisen van de AVG en de aanbevelingen van de AP

Als je de lat zo hoog legt dat je van elk gegeven een duiding verwacht (in dit geval de kerstkaartendatabase), voldoet geen enkele privacyverklaring. Ook die van de AP zelf niet.

Neemt niet weg dat het desgevraagd moet worden gezegd en in dit geval er inderdaad wellicht geen grondslag meer zal zijn. Misschien nog toestemming als TS die ooit heeft gegeven voor kerstkaarten. Maar ook dat moet het bedrijf dan kunnen uitleggen en aantonen.

Neemt niet weg dat het inderdaad een foutje kan zijn. Wat dan weer als datalek kan worden gezien.

barber schreef op woensdag 31 januari 2024 @ 13:11:
Mijn verwachting is dat op het moment dat ik uit dienst ben, deze toestemming impliciet ook ingetrokken wordt voor een aantal (alle?) leveranciers, omdat het doel van delen niet meer relevant is geworden.

Ten eerste: je mag als werkgever bijna nooit om toestemming vragen aan je werknemer. Je hebt andere grondslagen nodig zoals uitvoer van de (arbeids)overeenkomst. Een werknemer kan in het algemeen immers moeilijk nee zeggen - en dus is de ja niets waard. Al is het voor juist een kerstkaart / -pakket prima denkbaar dat dat obv. toestemming gaat.

Edit: en waar wordt verwerkt obv. andere grondslagen dan toestemming, moet worden vernietigd als die grondslag vervalt.

Toestemming wordt niet impliciet ingetrokken. Wel kan het zijn dat je die toestemming alleen gaf zolang je werknemer bent - dat zou je in je archief moeten terugvinden en anders in dat van de werkgever. Of nu expliciet intrekken en bezwaar maken tegen verdere verwerking / vernietigingsverzoek indienen voor alle persoonsgegevens over jou, met uitzondering van wat ze bij wet verplicht zijn nog te bewaren.

[kodak]

barber schreef op woensdag 31 januari 2024 @ 13:11:
@bw_van_manen
Op zich hebben ze de privacy verklaring en toestemming redelijk geregeld.
.....
Maar ik ga ze wel een mail sturen om nadrukkelijk deze toestemming in te trekken.

Als je toestemming gaat intrekken die je eigenlijk al ingetrokken hebt dan geef je de indruk dat onnodig toestemming en intrekking verwachten/eisen redelijk is.

Daarom vraag ik me af waarom het precies onduidelijk is. Vooral op wat ik al schreef: wat maken de overeenkomsten wel duidelijk? Staat er in de aparte overeenkomst dat het buiten je werknemersrelatie valt? Is het een combinatie van toestemmingen waarbij een andere verwerking duidelijker bij je werk hoorde? Staat er in de vertrekovereenkomst een uitzondering voor aparte overeenkomsten? Gaan de cadeaus gewoonlijk alleen naar werknemers? Is er hoe dan ook een aanwijzing dat het buiten je werknemersrelatie valt, afgezien dat je kennelijk iets ontvangt na beëindiging?

Zoals al werd geschreven is apart toestemming vragen niet zomaar redelijk. Het apart intrekken dus ook niet. Dus als je dan toch niet wil dat een overeenkomst jou moeite kost kun je net zo goed eerst om verduidelijking vragen met uitleg waarom je verbaasd bent hier zelf nog achteraan te moeten.

[barber]

kodak schreef op woensdag 31 januari 2024 @ 15:29:
[...]

Als je toestemming gaat intrekken die je eigenlijk al ingetrokken hebt dan geef je de indruk dat onnodig toestemming en intrekking verwachten/eisen redelijk is.

Daarom vraag ik me af waarom het precies onduidelijk is. Vooral op wat ik al schreef: wat maken de overeenkomsten wel duidelijk? Staat er in de aparte overeenkomst dat het buiten je werknemersrelatie valt? Is het een combinatie van toestemmingen waarbij een andere verwerking duidelijker bij je werk hoorde? Staat er in de vertrekovereenkomst een uitzondering voor aparte overeenkomsten? Gaan de cadeaus gewoonlijk alleen naar werknemers? Is er hoe dan ook een aanwijzing dat het buiten je werknemersrelatie valt, afgezien dat je kennelijk iets ontvangt na beëindiging?

Zoals al werd geschreven is apart toestemming vragen niet zomaar redelijk. Het apart intrekken dus ook niet. Dus als je dan toch niet wil dat een overeenkomst jou moeite kost kun je net zo goed eerst om verduidelijking vragen met uitleg waarom je verbaasd bent hier zelf nog achteraan te moeten.

Om even verder duidelijkheid te geven.
Ik heb hier meer dan 10 jaar gewerkt, dus in het orginele contract staat hier niets over.
Ik ben ook niet met een VSO weggegaan of zo, dus gewoon mailtje gestuurd met opzeggen en een bevestiging terug gekregen met informatie over inleveren spullen, afrekening uren, declaraties, etc. Verder geen voorwaarden etc.

Er is eind 2020 een mail naar alle werknemers in NL gestuurd met vraag om toestemming om gegevens (naam, thuis adres en eventueel geboortedatum) te delen met externe bedrijven met letterlijk in de titel van de email voor het sturen van cadeaus en kaarten.
Indien je daar niet op reageerde kreeg je nog een mail als herinnering met de opmerking dat je dan in de toekomst geen cadeaus of kaarten kreeg thuisgestuurd bij gelegenheden.

Deze mail is niet gecombineerd met andere toestemmingsvragen. Alleen deze toestemming tot delen van informatie voor de cadeaus en kaarten. En het is duidelijk dat dit cadeaus voor medewerkers zijn en niet voor relaties.

Alle bedrijven staan met naam in de mail genoemd, welke data er gedeeld wordt met elk bedrijf en met welke redenen, zoals het sturen van kerstcadeaus, marketing materiaal, verjaardagscadeaus, eten en drinken voor digitale vergaderingen vanuit thuis (corona tijd), etc.

De leverancier waar het om gaat wordt maar voor 1 doel genoemd in de mail en ook alleen daarvoor gebruikt in de tijd dat ik in dienst was: verjaardagscadeaus. De jaren dat ik dienst was kreeg ik 1 keer per jaar een pakketje van ze en dat was voor mijn verjaardag en dus de laatste jaren stond er in de PostNL app 1 a 2 weken voor mijn verjaardag een aankondiging dat ik een pakketje zou krijgen van deze leverancier. Dit wordt niet gedaan voor voormalig medewerkers. Vanwege dit patroon weet ik met redelijke zekerheid dat het voor mijn verjaardag is.

Daarnaast stond er in de email dit stukje nog over het intrekken van de toestemming:

Alle bovengenoemde bedrijven zullen uw achternaam, voornaam en woonadres ontvangen. Leverancier X zal ook uw geboortedatum ontvangen. Deze toestemming is beperkt tot de persoonsgegevens en beperkt tot het doel van de gegevensverwerking. U kunt deze toestemming op elk moment en in elke vorm intrekken (bijvoorbeeld door een e-mail te sturen naar hr@<WERKGEVER>). Geen enkele voorwaarde of beperking mag ertoe leiden dat uw toestemming langer voortduurt dan tot de datum en het moment van de intrekking. Vanaf het moment van intrekking mogen uw persoonsgegevens niet meer worden gedeeld met Leverancier of een andere derde partij, zonder uw uitdrukkelijke schriftelijke toestemming. U kunt uw persoonsgegevens op redelijk verzoek inzien en indien nodig corrigeren als u van mening bent dat deze onjuist of onvolledig zijn.

Dus opsommend:
Mag het redelijk zijn dat na het beindigen van een dienstverband het delen aan leveranciers van persoonsgegevens die alleen relevant zijn tijdens het dienstverband gestopt wordt zonder daar uitdrukkelijke de toestemming van het delen voor in te trekken?

Volgens mij is dat een redelijke verwachting en hadden ze deze data niet meer moeten delen of aan de leverancier moeten vragen deze data te verwijderen.

[Beekforel]

barber schreef op woensdag 31 januari 2024 @ 18:24:
[...]

Vanwege dit patroon weet ik met redelijke zekerheid dat het voor mijn verjaardag is.

[...]

Je weet het dus nog niet helemaal zeker...?

Heb je nog toegang tot je email dat je dit nog zo goed kunt quoten? Of een exportje gemaakt toen je wegging?

Volgens mij is dit de beste reactie:

eLScha schreef op vrijdag 26 januari 2024 @ 23:44:
Zou er gewoon een foutje gemaakt kunnen zijn? Je bent er een jaar weg joh, laat het lekker gaan of doe en belletje naar HR dat er iets mis is gegaan.

[barber]

Beekforel schreef op donderdag 1 februari 2024 @ 14:28:
[...]

Je weet het dus nog niet helemaal zeker...?

Heb je nog toegang tot je email dat je dit nog zo goed kunt quoten? Of een exportje gemaakt toen je wegging?

Volgens mij is dit de beste reactie:

[...]

Bijna jarig, dus pas als ik het krijg weet ik het zeker

Geen toegang meer tot de email, maar heb wel een export gemaakt van alle mail die ik ontvangen en verstuurd heb met HR, wagenparkbeheer, leasemaatschappij, leidinggevende als het gaat om functioneringsgesprekken, etc. Dat ik altijd de afspraken kan raadplegen mocht daar later aanleiding voor zijn.

Aan de ene kant ben ik het met je eens met de reactie. Maar waar ik melde dat ik "redelijk schofterig" was behandeld, was dat een zware understatement zeg maar. Maar ik wil er op een publieke website niet te veel over vermelden. Vandaar toch een beetje die twijfel. Maar grote kans dat ik een simpel berichtje stuur.

[SuPaToLL]

https://www.autoriteitper...%20om%20verwijdering.docx

Hier heb je een voorbeeldbrief, ff aanpassen, opsturen (digitaal of aangetekend) en je bent als het goed is van je lijden verlost.

En als je ze wil laten zweten zou ik eerder alles na gaan rekenen met uren etc. en anders lekker laten wezen. tis al lang geleden. borst naar voren en door met je leven