Antwoord schriftelijke vragen : Antwoord op vragen van het lid Van Kent over het bericht dat Just Eat Takeaway de databeschermingswet AVG overtreedt in Duitsland

Antwoord van Minister Koolmees (Sociale Zaken en Werkgelegenheid) (ontvangen 24 juni
2021).

Vraag 1

Wat is uw reactie op het bericht «Just Eat Takeaway overtreedt databeschermingswet
AVG»?1

Antwoord 1

Naar aanleiding van uw vragen heb ik kennis genomen van dit artikel.

Vraag 2

Klopt het dat Just Eat Takeaway de volgapp die in Duitsland onder vuur ligt ook gebruikt
in Nederland?

Antwoord 2

Het is mij niet bekend of de app die in Duitsland wordt gebruikt door Just Eat Takeaway,
in Nederland bekend als Thuisbezorgd.nl, hetzelfde is als de app waar Thuisbezorgd
in Nederland gebruik van maakt. Ik kan uw vraag dan ook bevestigen noch ontkennen.

Vraag 3

Welke data mag een werkgever volgens de Nederlandse wet allemaal opslaan van een werknemer?
Hoelang mag dit bewaard worden? En past de de volgapp binnen deze regels?

Antwoord 3

Een werkgever die persoonsgegevens van een werknemer wil verwerken dient zich hierbij
te houden aan de regels die hieromtrent in het leven zijn geroepen. De belangrijkste
regels met betrekking tot het verwerken van persoonsgegevens zijn neergelegd in de
Algemene verordening gegevensbescherming (AVG) en, daar waar de AVG ruimte laat voor
nationale keuzes, in de Uitvoeringswet AVG (UAVG). Op de website van de Autoriteit
Persoonsgegevens (AP) is een overzicht van en toelichting op alle voorwaarden te vinden.2

Niet elke verwerking van persoonsgegevens is verboden. Wanneer er sprake is van het
verwerken van persoonsgegevens van een werknemer (of elk ander natuurlijk persoon)
bepaalt artikel 5, eerste lid, AVG aan welke beginselen moet worden voldaan. Zo moeten
persoonsgegevens worden verwerkt op een wijze die ten aanzien van de werknemer rechtmatig,
behoorlijk en transparant is. De werknemer moet weten waarom en hoe zijn gegevens
worden verwerkt. De verwerking van de persoonsgegevens moet ook in overeenstemming
zijn met de wet en alleen worden verzameld met een gerechtvaardigd doel en voldoen
aan het beginsel van minimale gegevensverwerking. De werkgever is als de verwerkingsverantwoordelijke
verantwoordelijk voor de naleving van de beginselen.

In artikel 6 AVG staat opgenomen in welke gevallen een verwerking rechtmatig is en
dus is toegestaan. Dit is bijvoorbeeld het geval wanneer de betrokkene toestemming
heeft gegeven voor de verwerking of wanneer de verwerking noodzakelijk is voor de
uitvoering van een overeenkomst waarbij de betrokkene (de werknemer om wiens gegevens
het gaat) partij is. Een andere rechtmatigheidsgrond voor de verwerking kan zijn gelegen
in de noodzaak om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke
(de werkgever) rust. Hierbij kan bijvoorbeeld gedacht worden aan het bijhouden van
de arbeids- en rusttijden van een werknemer in het kader van zijn wettelijke plicht
om te voldoen aan artikel 4:3 Arbeidstijdenwet.

Artikel 9 AVG (en 22 UAVG) ziet op het verwerken van bijzondere categorieën van persoonsgegevens,
zoals ras, religieuze overtuiging, lidmaatschap van een vakbond etc. Het verwerken
van dergelijke bijzondere categorieën van persoonsgegevens is in beginsel verboden.

In het tweede lid van artikel 9 AVG staan echter uitzonderingen opgenomen wanneer
de verwerking hiervan wel is toegestaan.

Artikel 23 AVG jo. 41 UAVG bepaalt tot slot in welke gevallen bepaalde rechten en
verplichtingen uit de verordening mogen worden beperkt.

Er is op grond van de AVG geen concrete bewaartermijn voor persoonsgegevens. Organisaties
bepalen zelf hoe lang zij persoonsgegevens bewaren. Hierbij moeten zij kijken naar
hoe lang de gegevens nodig zijn voor het doel waarvoor deze zijn verzameld of worden
gebruikt.

Op grond van artikel 51 AVG jo. artikel 6 UAVG is de Autoriteit Persoonsgegevens (AP)
de toezichthoudende autoriteit die in Nederland de bescherming van persoonsgegevens
bevordert en bewaakt. Bij overtredingen kan de AP handhavend optreden. Op de vraag
of een volgapp aan de regels voldoet kan geen antwoord worden gegeven zonder nader
onderzoek. Het is aan de AP of zij aanleiding ziet onderzoek te doen. Immers, niet
bekend is of Thuisbezorgd.nl gebruik maakt van een volgapp, wat voor volgapp dat dan
is en of en welke persoonsgegevens exact worden opgeslagen.

Vraag 4

Bent u bereid onderzoek te doen naar deze app en deze te (laten) toetsen aan de wetten
en regels? Zo ja, op welke termijn? Zo nee, waarom niet?

Antwoord 4

Zie mijn antwoord op vraag 3. In Nederland is de Autoriteit Persoonsgegevens (AP)
de onafhankelijke toezichthouder op de Algemene Verordening Gegevensbescherming (AVG).
Het is aan de AP of zij aanleiding ziet om hiernaar onderzoek te doen.