BLAD 1 van 4 Geachte Directeur, Naar aanleiding van de klacht bij ...

DATUM 22 april 2009ONS KENMERK z2008-01129Het gaat daarbij per 21 februari 2009 om gegevens van X ex-werknemers waarvan het pensioenpremievrij is gemaakt. De ex-werkgever kan de gegevens ook wijzigen. De werkgever heeftdaarnaast inzage in de wijzigingen die de ex-werknemer na zijn uitdiensttreding zelf doorvoert inzijn persoonsgegevens. De ex-werkgever heeft echter geen toegang tot de gegevens die de nieuwewerkgever invoert. Zodra een werknemer weg gaat bij zijn werkgever en in dienst treedt bij eennieuwe werkgever ontstaat een nieuwe regeling waarin de nieuwe werkgever de meest recentegegevens invult. De oude- en de nieuwe werkgever hebben geen inzage in elkaarspensioenregelingen. De ex-werknemer blijft na zijn ontslag wel online toegang houden tot zijneigen pensioengegevens.Uit de correspondentie blijkt verder dat op dit moment de toegang tot de persoonsgegevens vanex-werknemers niet anders is georganiseerd dan de toegang tot de persoonsgegevens vanwerknemers. Daarnaast geeft u aan dat de beveiligingsmaatregelen eruit bestaan dat alleen eendoor de werkgever gemachtigde werknemer online toegang heeft. Deze medewerker heeft uithoofde van zijn arbeidsovereenkomst een geheimhoudingsplicht. Een werkgever ontvangt van ueen unieke gebruikersnaam en een uniek wachtwoord. Uitsluitend met deze combinatie kantoegang tot de beveiligde site van de werkgever worden verkregen.In uw reacties geeft u tevens aan dat dit jaar de wijzigingsmogelijkheid op polissen van exwerknemersvoor de ex-werkgever wordt opgeheven. Naast het opheffen van dewijzigingsmogelijkheid wilt u ook de inzagemogelijkheid van de ex-werkgever beperken. Zodraeen werknemer uit dienst gaat en de werkgever online het einde dienstverband invoert, zullenlatere wijzigingen in de persoonsgegevens voor de ex-werkgever niet meer zichtbaar zijn. De exwerkgeverblijft wel inzage houden in de zogenaamde ‘bevroren’ gegevens van de ex-werknemer.Dit is vergelijkbaar met de gegevens op een polisblad bij een traditionele pensioenadministratie.BeoordelingHet onderhavige onderzoek richt zich op de vraag of OHRA voldoet aan de wettelijke regels vande Wbp bij het verwerken van persoonsgegevens in het kader van OHRA InternetPensioen. Dewijze waarop OHRA omgaat met persoonsgegevens is getoetst aan de artikelen 8, 9, 11 en 6 vande Wbp, als de belangrijkste toepasselijke bepalingen.Grondslag (artikel 8 Wbp)De verwerking van de persoonsgegevens ten behoeve van OHRA InternetPensioen kan wordengebaseerd op artikel 8 Wbp. Ingevolge artikel 8, onder b, Wbp is een gegevensverwerkingtoelaatbaar indien deze noodzakelijk is om contractuele verplichtingen na te komen.OHRAInternetPensioen is een collectief pensioen waarmee werkgevers en werknemers online depenisoenopbouw kunnen volgen en beheren. Het inzien en wijzigen door de werkgever van depersoonsgegevens van zijn werknemer(s) kan worden aangemerkt als noodzakelijk voor deuitvoering van een overeenkomst. Er is er echter geen grondslag ingevolge artikel 8, onder b, Wbpvoor wat betreft de toegang van de ex-werkgever tot de door de ex-werknemer gewijzigdegegevens. Het is niet gebleken dat dit noodzakelijk is voor de uitvoering van een overeenkomst.BLAD 2 van 4

DATUM 22 april 2009ONS KENMERK z2008-01129Het CBP wil van u vernemen op welke termijn de toegezegde aanpassingen zullen wordendoorgevoerd. Het CBP verwacht binnen twee weken uw schriftelijke reactie. Het CBP wijst u eropdat het de bevoegdheid heeft om bestuursrechtelijke maatregelen te treffen zoals het opleggenvan een last onder dwangsom als een geconstateerde onrechtmatigheid voortduurt.Hoogachtend,Het College bescherming persoonsgegevens,Voor het College,mw. mr. M.W. McLaggan-van RooncollegelidBLAD 4 van 4