De functionaris voor gegevensbescherming bij privaat onderzoek

Artikel 20 van de Wet van 18 mei 2024 tot regeling van de private opsporing verplicht elke onderneming en elke interne dienst voor private opsporing om die functionaris zelf in dienst te hebben, of daarover een overeenkomst te sluiten met een externe functionaris. De wet laat u dus de keuze tussen een eigen medewerker en een externe. Zij laat u niet de keuze om er geen te hebben.

Artikel 2, 17°, omschrijft een interne dienst als elke dienst die een onderneming ten eigen behoeve organiseert om op structurele wijze activiteiten van private opsporing uit te oefenen, of die zich als dusdanig bekendmaakt.

Een personeelsdienst die na een incident zelf onderzoek voert, valt onder een beperkte uitzondering. Artikel 43, vierde lid, stelt de leden van zo een dienst vrij van de identificatiekaart wanneer zij voor hun eigen werkgever incidentenonderzoek ten laste van diens werknemers uitvoeren. Het vijfde lid bepaalt dat zij hun opsporingsactiviteiten wel conform de bepalingen van de wet uitvoeren. De inhoudelijke regels van de wet blijven dus gelden.

De toezichthoudende autoriteit legt die boete op, niet de sanctieambtenaar van Binnenlandse Zaken. Artikel 151, § 2, verwijst de inbreuken op de artikelen 20, 56 tot 62 en 71 tot 73 naar artikel 221 van de wet verwerking persoonsgegevens. Die artikelen raken de functionaris, de toestemmingsvereiste, de verboden onderzoeksdomeinen en het gebruik van het onderzoeksrapport.

Voor de overige inbreuken op de wet private opsporing loopt een ander spoor. Artikel 151, § 1, laat daar een administratieve geldboete van 100 tot 25.000 euro toe, volgens de boetevorken van de boetetabel in bijlage. Artikel 152 maakt de boete verplicht bij een herhaling binnen drie jaar.

De sanctie van nietigheid staat daar los van. Artikel 101, vierde lid, schrijft tien artikelen voor op straffe van nietigheid: de artikelen 7, 8, 57, 58, 62, 65, 81, 87, 96 en 109. Artikel 20 staat niet in die lijst, artikel 65 wel. Dat artikel laat een opdracht tegen een werknemer van de opdrachtgever enkel toe wanneer de toelating en de nadere regels van private onderzoeken op de werkvloer uitdrukkelijk en transparant in een reglement staan.

Artikel 55 wijst er drie aan: de onderneming of de interne dienst, de opdrachthouder en de opdrachtgever. Elk van hen is verwerkingsverantwoordelijke voor het deel van de gegevens dat hij verwerkt. Als opdrachtgever schuift u die hoedanigheid dus niet door naar het bureau dat u inschakelt.

Die hoedanigheid brengt de plichten van de AVG mee voor de gegevens die u zelf verwerkt. Artikel 30 AVG verplicht elke verwerkingsverantwoordelijke tot een register van de verwerkingsactiviteiten. Dat register bevat de contactgegevens, de verwerkingsdoeleinden, de categorieën van betrokkenen en van persoonsgegevens, de categorieën van ontvangers, de doorgiften naar derde landen, de beoogde wistermijnen en een algemene beschrijving van de beveiligingsmaatregelen.

Artikel 30, lid 3, vraagt een schriftelijke vorm, ook elektronisch. Artikel 30, lid 4, verplicht u om het register op verzoek aan de toezichthoudende autoriteit ter beschikking te stellen. Artikel 30, lid 5, stelt ondernemingen met minder dan 250 personen vrij, maar die vrijstelling valt weg zodra de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen, zodra zij niet incidenteel is, of zodra zij gegevens uit artikel 9 of artikel 10 AVG betreft.

Leg de rechtsgrond, het doel en de bewaartermijn vast voor de eerste gegevens binnenkomen, en neem het onderzoek op in het register van de verwerkingsactiviteiten. Schrijf daarbij op wie toegang krijgt tot het dossier. Die laatste stap is een wettelijke plicht.

Artikel 10 AVG laat de verwerking van gegevens over strafrechtelijke veroordelingen en strafbare feiten enkel toe onder toezicht van de overheid, of wanneer het recht van een lidstaat de verwerking toestaat met passende waarborgen. Artikel 10, § 1, 1°, van de wet van 30 juli 2018 geeft die machtiging aan privaatrechtelijke rechtspersonen, voor zover de verwerking noodzakelijk is voor het beheer van hun eigen geschillen.

Aan die machtiging hangen twee voorwaarden. Artikel 10, § 2, verplicht de verwerkingsverantwoordelijke om een lijst op te stellen van de categorieën van personen met toegang tot die gegevens. Diezelfde paragraaf verplicht hem om die personen contractueel of wettelijk tot vertrouwelijkheid te binden.

De Gegevensbeschermingsautoriteit beschouwt de toestemming van de werknemer niet als een rechtsgrond voor elektronisch toezicht door de werkgever. Zij stelt dat de werknemer zich noodzakelijk in een ondergeschikte positie bevindt.

Zij verwijst de werkgever naar zijn wettelijk recht om gezag uit te oefenen, strikt beperkt door het finaliteitsbeginsel, het evenredigheidsbeginsel en het transparantiebeginsel. Zij beveelt aan om de regels voor elektronisch toezicht in het arbeidsreglement op te nemen, met inachtneming van het sociaal overleg. Zij stelt ook dat de gegevensverzameling in principe globaal moet blijven en dat individualisering in principe niet is toegestaan.

Wij nemen die vragen met u door voor er iets vastligt. Onze begeleiding bij privaat onderzoek loopt mee vanaf de eerste beslissing. Een fraud assessment brengt uw onderzoeksmogelijkheden in kaart, en een fraud audit brengt een vermoeden naar een rapport. Over het werk vooraf schreven wij op onze pagina over fraudepreventie en private opsporing, en over het onderzoek zelf op de pagina over fraudeonderzoek in uw bedrijf.

Artikel 20 van de Wet van 18 mei 2024 tot regeling van de private opsporing verplicht elke onderneming en elke interne dienst voor private opsporing daartoe. U hebt de keuze tussen een eigen medewerker in dienst en een overeenkomst met een externe functionaris. De wet laat u niet de keuze om er geen te hebben. Artikel 151, § 2, brengt een inbreuk op artikel 20 onder het sanctieregime van artikel 221 van de wet verwerking persoonsgegevens.

De toezichthoudende autoriteit, en niet de sanctieambtenaar van Binnenlandse Zaken. Artikel 151, § 2, verwijst de inbreuken op de artikelen 20, 56 tot 62 en 71 tot 73 naar artikel 221 van de wet verwerking persoonsgegevens. Voor de overige inbreuken op de wet private opsporing geldt artikel 151, § 1, met een administratieve geldboete van 100 tot 25.000 euro volgens de boetetabel in bijlage.

Artikel 55 van de wet private opsporing wijst er drie aan: de onderneming of de interne dienst, de opdrachthouder en de opdrachtgever. Elk van hen is verwerkingsverantwoordelijke voor het deel van de gegevens dat hij verwerkt. Als opdrachtgever schuift u die hoedanigheid dus niet door naar het bureau dat u inschakelt. U draagt zelf de plichten van de AVG voor de gegevens die u verwerkt.

Ja, zodra een van de voorwaarden van artikel 30, lid 5, AVG vervuld is. Die bepaling stelt ondernemingen met minder dan 250 personen vrij, maar de vrijstelling valt weg zodra de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van de betrokkenen, zodra zij niet incidenteel is, of zodra zij gegevens uit artikel 9 of artikel 10 AVG betreft. Een onderzoek dat gegevens over strafbare feiten verwerkt, valt onder artikel 10.

Nee, de Gegevensbeschermingsautoriteit beschouwt die toestemming niet als een rechtsgrond voor elektronisch toezicht door de werkgever. Zij stelt dat de werknemer zich noodzakelijk in een ondergeschikte positie bevindt. Zij verwijst de werkgever naar zijn wettelijk recht om gezag uit te oefenen, strikt beperkt door het finaliteitsbeginsel, het evenredigheidsbeginsel en het transparantiebeginsel. Zij beveelt aan om de regels voor elektronisch toezicht in het arbeidsreglement op te nemen.