Verplichte assessment voor werknemers : BrainCompass eindelijk AVG-proof

Privacy voorop

Wij hebben het systeem van DNA analyse en online ontwikkel-assessment specifiek ontwikkeld met jouw privacy als belangrijkste eis.

 

BrainCompass mag dit sinds afgelopen dinsdag met een gerust hart op zijn website plaatsen, want de Autoriteit Persoonsgegevens (AP) heeft middels een persbericht bevestigd dat BrainCompass niet langer persoonsgegevens over ras en gezondheid verwerkt in strijd met de AVG (aan de start van het onderzoek nog Wbp). Goed nieuws voor BrainCompass, een assessment-platform dat naar eigen zeggen professionals ‘empowered’ door middel van een DNA-analyse en een psychologische test, nu zij in 2017 op de vingers werden getikt door de AP. De huidige assessments van BrainCompass zijn dus AVG-proof, ook in het geval van verplichte assessments voor werknemers (maar daarover later meer).

Het onderzoek door de Autoriteit Persoonsgegevens

In maart 2016 krijgt de AP meerdere signalen binnen over BrainCompass. Één daarvan is afkomstig van een werknemer die door zijn werkgever dringend werd verzocht deel te nemen aan het DNA-assessment zonder, zo luidt het signaal, duidelijke uitleg over de werkwijze van dit assessment. Er waren een aantal zaken die BrainCompass niet op orde had, maar vooral interessant om hier uit te lichten is de verwerking van bijzondere persoonsgegevens bij zo’n assessment en hoe dit zich verhoudt met het vereiste van ‘uitdrukkelijke toestemming’ in het geval van een arbeidsrelatie.

Verwerking bijzondere persoonsgegevens door BrainCompass

Vanaf een schamele 999 euro stelt BrainCompass een persoonlijk en biologisch profiel op van de deelnemer. Hierbij verwerkt BrainCompass zogezegde bijzondere persoonsgegevens. Dit zijn gegevens die naar hun aard bijzonder gevoelig zijn en dan ook specifieke bescherming verdienen, nu de verwerking van dit type gegevens behoorlijk wat risico’s kunnen meebrengen voor het individu op wie de verwerking betrekking heeft. Denk hierbij aan gegevens die iets zeggen over iemands gezondheid, ras of etnische afkomst, politieke opvatting, godsdienst, seksuele leven of lidmaatschap van een vakbond.  De AVG stelt strenge eisen voor de verwerking van bijzondere persoonsgegevens. Terecht, want jij zou ook niet willen dat gegevens over jouw seksuele leven zomaar op straat komen te liggen, toch? De hoofdregel is dat de verwerking van bijzondere persoonsgegevens verboden is. Er zijn echter wel wettelijke uitzonderingen hierop (surprise), zoals de uitdrukkelijke toestemming van de persoon wiens gegevens het betreft. En hier ging het mis bij BrainCompass!

Toestemming voor werknemers: vrij gegeven?

BrainCompass beroept zich voor de verwerking van bijzondere persoonsgegevens op de wettelijke uitzonderingsgrond ‘uitdrukkelijke toestemming’. Dat vond de AP problematisch, omdat veel deelnemers door hun werkgevers werden aangemeld voor het ondergaan van een assessment. Toestemming dient onder de AVG vrij, specifiek, geïnformeerd en ondubbelzinnig te zijn. Een werknemer is (financieel) afhankelijk van zijn werkgever en als laatste een dergelijke assessment verlangt of zelfs verplicht, betekent deze afhankelijkheidsrelatie dat de toestemming niet vrijelijk is gegeven.

BrainCompass AVG-proof!

Volgens de AP voldoet BrainCompass op dit moment aan de AVG, doordat de toestemming voldoende vrij wordt gegeven door werknemers die deelnemen aan zo’n DNA-assessment. Wat is er bij BrainCompass veranderd?Werkgevers stellen nu een raamovereenkomst op, BrainCompass deelt geen informatie meer over de deelnemer met de werkgever en de assessments worden niet langer in groepssessies afgenomen. Daarnaast is het nu ook mogelijk om deel te nemen aan een assessment zonder dat hierbij bijzondere persoonsgegevens worden verwerkt. Tenslotte worden deelnemers op de juiste manier geïnformeerd bij het vragen om toestemming.

Hieruit kunnen we concluderen, dat wanneer een werkgever een werknemer verplicht of aanspoort om deel te nemen aan assessments, persoonlijkheidstesten of een coaching traject, en er hierbij bijzondere persoonsgegevens worden verwerkt (wat in veel gevallen nog maar zeer de vraag zal zijn en overigens een interessant vraagstuk voor juristen is), er in de regel geen sprake van vrije toestemming door de werknemer is en er extra maatregelen dienen te worden genomen om de toestemming voldoende ‘vrij’ te laten zijn.