De informatieplicht komt vóór de meting. Artikel 13 en 14 laten geen ruimte.

Een blootstellingsmeting van uw bestuurders is een verwerking van persoonsgegevens. Dat betekent dat de betrokkenen erover geïnformeerd moeten zijn, en dat die informatie er is vóórdat de meting draait — niet erna, en niet in de rapportage.

Dit is de reden dat wij geen meting uitvoeren op verzoek van een derde, en ook niet op verzoek van een organisatie die haar mensen nog niet heeft ingelicht.

Artikel 13 en artikel 14 dekken twee verschillende gevallen

De AVG kent twee informatieplichten, en welke van de twee geldt hangt af van waar de gegevens vandaan komen.

Artikel 13 geldt wanneer u de gegevens bij de betrokkene zelf ophaalt. De informatie moet dan worden verstrekt op het moment van verkrijging.

Artikel 14 geldt wanneer de gegevens niet van de betrokkene zelf komen. Dat is bij een blootstellingsmeting het interessante geval: u kijkt in openbare registers en bij commerciële partijen, en de betrokkene heeft u niets gegeven. Artikel 14 vraagt dan ook om iets extra’s dat artikel 13 niet vraagt — u moet vermelden uit welke bron de gegevens komen.

Een meting die inventariseert waar iemand voorkomt, valt dus onder de zwaarste van de twee regimes. Dat is logisch: hoe verder de gegevens van de betrokkene vandaan komen, hoe minder hij kan vermoeden dat het gebeurt.

Wat dit praktisch betekent voor de volgorde

De volgorde is niet onderhandelbaar en zij is ook niet ingewikkeld.

• De organisatie besluit dat zij een meting wil, en bepaalt wie erin zit.
• De betrokkenen worden geïnformeerd — wat er gemeten wordt, waarom, wat de werkgever te zien krijgt, en hoe zij ervan af komen.
• Pas daarna wordt er gemeten.

Wat in die volgorde opvalt: het informeren gebeurt vóór er iets is om te laten zien. Dat is ongemakkelijk, want een uitslag overtuigt beter dan een aankondiging. Het is ook precies waarom het vooraf moet — informeren nadat u het antwoord al heeft, is geen informeren maar melden.

Waarom wij geen meting op een vreemd domein doen

De vraag komt met enige regelmaat: kunt u dit ook draaien op een organisatie waar wij mee in gesprek zijn, zodat wij weten wat daar speelt.

Nee. Bij die opzet zijn de betrokkenen niet geïnformeerd, is er niemand die namens hen kan spreken, en is de opdrachtgever een partij zonder enige relatie tot de mensen die het betreft. Dat is geen meting maar een profiel, en het is precies het gedrag waar deze markt een slechte naam aan dankt.

Een eerdere versie van onze eigen registervoorziening accepteerde een willekeurig bedrijfsdomein als invoer. Die is verwijderd, en om deze reden.

Wat u een leverancier hierover kunt vragen

Vier vragen die snel duidelijk maken of een aanbieder dit heeft doordacht. Ze werken ook op ons.

• Op welke grondslag verwerkt u de gegevens van onze mensen tijdens de meting, en wie is daarvoor verwerkingsverantwoordelijke — wij of u.
• Levert u de tekst waarmee wij de betrokkenen vooraf informeren, of moeten wij die zelf opstellen.
• Wat gebeurt er met de meetgegevens van iemand die daarna niet meedoet, en na hoeveel tijd.
• Kan de meting draaien zonder dat de betrokkene iets heeft getekend. Als het antwoord ja is, vraag dan hoe dat zich verhoudt tot artikel 14.

Op de derde vraag is ons eigen antwoord dat meetgegevens van niet-klanten na dertig dagen worden gewist door een taak en niet op verzoek. Dat is een ontwerpbesluit; het is nog niet gebouwd, en dat staat op de pagina waar wij bijhouden wat er nog niet af is.

Wat er bij ons nog niet af is→

Waar dit ophoudt

De informatieplicht regelt dat mensen weten wat er gebeurt. Zij regelt niet dat zij het mogen tegenhouden — dat hangt af van de grondslag, en bij een meting die de werkgever uitvoert op zijn eigen bestuurders is dat een andere vraag.

Wat de betrokkene wél zelf in de hand heeft, is de stap daarna: zonder zijn handtekening gaat er geen enkel verzoek de deur uit.

Waarom een werkgever dit recht niet namens iemand kan uitoefenen→

Waar dit vandaan komt