Een lezer vroeg me:
Mijn werkgever verplicht me om een training te volgen bij een extern ingehuurd bedrijf. Deze stuurt nu een inschrijfformulier met allerlei vragen, maar ook (verplicht) opgeven van zaken als geboortedatum, geboorteplaats, en privé adres. Ik heb daar bezwaar tegen, kan dit zo worden afgedwongen?Een werkgever kan natuurlijk mensen op training sturen als dat in het belang is van het werk. De werkgever is dan in principe ook de opdrachtgever van het trainingsbedrijf. Die moet dan de benodigde gegevens verstrekken zoals wie er mee doet.
Dergelijke gegevens vallen al snel onder de AVG, en die kent het principe van dataminimalisatie: relevant en niet meer dan wat noodzakelijk is voor het doel. De namen van cursisten lijken me relevant, je moet weten wie er komen (en wie niet). Functietitels lijken me ook van belang voor de voorbereiding, eventuele dieetwensen kunnen nodig zijn et cetera.
Het privéadres en geboortedatum/plaats van de werknemers die komen lijkt me op geen enkele manier relevant. Ik kan me nog nét voorstellen dat je leeftijd nodig hebt, het beïnvloedt je les als je een groep vroege twintigers hebt of juist een club mensen net voor hun pensioen zeg maar.
Geboorteplaats vind ik een rare, ik zou geen cursus weten waarin het uitmaakt waar de cursist geboren is. Het voelt als een indirecte manier om het verboden gegeven van etnische afkomst uit te vragen.
Mijn vermoeden is dat het trainingsbedrijf simpelweg hun standaard inschrijfformulier opstuurde, zoals je ook zou krijgen als je zelf (buiten het werk om dus) die training zou boeken. En dan is het privéadres ineens relevant, omdat je wilt weten waar het incassobureau naar toe moet als men niet betaalt. Of er worden boeken e.d. opgestuurd en men denkt dat het handig is dat je die thuis krijgt.
Een simpele oplossing is bij de adresgegevens je werkplek in te vullen, zodat eventuele cursusmaterialen daarheen gaan. Bij geboortedatum kun je iets fictiefs in de buurt invullen zodat de leeftijd ongeveer klopt, en bij geboorteplaats zet je “onbekend” of de plaats waar je bedrijf opgericht is.
Mocht de werkgever van plan zijn je wérkelijke gegevens hiervoor te verstrekken, dan zou dat een behoorlijk probleem zijn. HR heeft die gegevens natuurlijk voor de personeelsadministratie (en geboorteplaats mag dan, in het kader van diversiteitsbeleid/positieve discriminatie) maar mag ze niet verstrekken aan een opleider zonder dat er een duidelijke noodzaak is.
Af en toe krijg ik vragen van mensen die extra bezorgd zijn over hun woonadres, bijvoorbeeld omdat ze last hebben van een stalker. Dat zou ook in deze context tot zorgen kunnen leiden. Helaas lijken er geen HRM-softwarepakketten te zijn waarbij men een vlaggetje kan zetten “Onder geen voorwaarde aan derden verstrekken zonder toestemming” bij gegevens van een werknemer. Je moet dus maar hopen dat HR volgens de regels werkt, en in gevallen als deze snap ik dat men daar dan knap zenuwachtig over wordt.
Arnoud
Hoe zit dit met trainingen die noodzakelijk zijn om in een beroepsregister te komen? Denk aan F-gassen, VCA of dat soort zaken. Die zullen meer nodig hebben dan alleen een naam om iemand te kunnen inschrijven. Is daar een wettelijk onderscheid in te maken, of meer op basis van common sense?
Dat zou van het reglement van het betreffende register af moeten hangen. Bij het Landelijk Advocaten Tableau bijvoorbeeld wordt alleen het kantooradres van de advocaat geregistreerd. In het BIG register wordt van artsen het privéadres gebruikt, dit komt zelfs vanuit de Basisregistratie Personen automatisch binnen. Maar dat is dan weer niet zichtbaar voor mensen die BIG-vermeldingen willen controleren.
Ik denk wel dat dit uitzonderlijk is, en dat de meeste trainingen en opleidingen géén dergelijk register kennen zodat ook vermelding van woonadres niet nodig is. Veelal heb je niet meer dan het certificaat (papier of pdf) waarop staat dat de heer Ten Brink op 01/04/2011 met goed gevolg de cursus Veterstrikken voor Gevorderden heeft afgelegd, en meer dan dat is meestal ook niet nodig.
Voor mijn werk moet ik een geldige VCA-kwalificatie hebben. Bij het VCA Centraal Diploma Register kun je zoeken op geboortedatum, dus dat moet geregistreerd zijn: https://cdr.ssvv.nl/nl-NL/ Ik kon het reglement van het register niet vinden, dus geen idee of het goed geregeld is.
Als je het reglement niet kan vinden is de kans klein dat het in orde is.
Er staat iets in het examenreglement over wat geregistreerd wordt: achternaam, voorletters, tussenvoegsel, geboortedatum, type kwalificatie, examendatum en diplomanummer. Het lijkt dus mee te vallen.
Hoe bewijst een werkgever dat de juiste certificaten met de kennis bij zijn werkgevers aanwezig zijn? Er was recent ophef dat werkgevers in de zorg iedereen lieten werken zonder dat soort papieren zonder vereiste kennis en vaardigheden. Zijn de gevolgen van foute acties door de werknemer daarmee verschoven naar de werknemer omdat de werkgever geen eisen met opleiding mag stellen wegens de AVG.
Dit is onjuist. De discussie gaat over de vraag of bij een training privépersoonsgegevens gevraagd mogen worden.
De geboortedatum en -plaats worden vermoedelijk gevraagd omdat de training een certificaat of diploma oplevert, dat op naam gesteld wordt en waarvan het gebruikelijk is dat er ook geboortedatum/plaats op staan. Een certificaat dat de werknemer overigens zelf dan ook kan ‘meenemen’ naar bv een volgende werkgever.
Ik heb me dus altijd afgevraagd waarom het relevant is om waar dan ook je geboorteplaats te vermelden. Leeftijd vind ik al zo-zo relevant maar waar mijn wieg stond, wat voegt dat toe aan mijn identificatie? Of wat is het punt? Knap hoor, geboren te Geldrop en tóch je vwo diploma?
Is het niet zo dat naam, geboortedatum en geboorteplaats voldoende uniek zijn om geen BSN te gebruiken? Je wilt niet dat certificaten misbruikt worden en dat ze dus herleidbaar zijn naar een persoon.
Nee, dat is inderdaad niet zo.
En dan begin ik nog niet eens over het feit dat achternamen regelmatig wijzigen (bijvoorbeeld bij huwelijk of scheiding) en dat er veel immigranten zijn waarvan de geboortedatum op 1 januari of 1 juli wordt gezet.
In Nederland veranderd de wettelijke achternaam niet bij huwelijk/scheiding, je krijgt alleen het recht om de achternaam van je partner te voeren (of een combinatie van beide).
Poe, dat zou kunnen maar ik denk niet dat dat ooit onderzocht is. Ik ben wat cynisch in die dingen, dus ik vermoed dat het ooit begon met officiële documenten in de tijd dat er alleen in die gemeente een administratie van jou was. Dus dan moet je weten waar iemand geboren was. Andere diploma’s willen dan ook officieel lijken en vermelden dan ook de geboorteplaats, en dan wordt dat een gewoonte.
Volgens mij is dit een niet heel ongebruikelijke manier om een diploma te kunnen relateren aan de bijbehorende identiteit, in de offline-wereld.
Een diploma voor “Mark Jansen” is natuurlijk niet specifiek genoeg. Een geboortedatum maakt het specifieker en is te checken met het paspoort. Met ook nog geboorteplaats erbij voeg je extra bits toe, ook te checken op het paspoort – dus het aantal collisions neemt af.
Dit alles omdat in NL het BSN zo onhandig is ingericht dat het wel een uniek nummer is, maar niet als zodanig gebruikt mag worden door anderen dan specifiek aangewezen organisaties. Dus moet je met een combinatie van gegevens werken om de juiste persoon uniek te identificeren.
En waarom het nou specifiek geboorteplaats is dat als extra gegeven gebruikt wordt? Geboorteplaats is oorspronkelijk een relevant gegeven omdat je met Naam + Geboortedatum + Geboorteplaats (in elk geval als overheid) de oorspronkelijke persoonskaart van de persoon kan vinden in het archief (in die plaats). Dus ik vermoed dat daar het gebruik vandaan komt.
Als het een verplichte training is dan zal de werkgever natuurlijk ook een terugkoppeling van het opleidingsinstituut willen. Als 1000 werknemers informatie opgeven die niet overeenkomt met wat er in de personeelsdossiers staat valt er nooit (onafhankelijk) te controleren of iedereen de training heeft gevolgd.
Akkoord, maar dat gebeurt toch door een certificaat te ontvangen of simpelweg een lijst met aanwezigen? Als opleider krijg ik die vraag regelmatig. Een heel enkele keer heb ik dan twee gelijke namen, maar dat ontdubbelt vanzelf omdat het mailadres erbij zit als identifier.
Als ik de antwoorden zo eens lees lijkt het alsof er twee mogelijkheden zijn: De training is eigenlijk een opleidingstraject wat moet resulteren in een of ander erkend diploma, al dan niet met bijbehorend register, waarvoor de geboortedatum en plaats noodzakelijk is, of het is een eenvoudige training van het soort waar ik er zelf ook al een stuk of tien van heb gehad (esd-veilig werken, urenschrijven, inclusief en divers personeel werven, dat soort dingen), in welk geval die informatie absoluut niet noodzakelijk is.
Gegeven de formulering van de vraag komt het op mij over alsof het hier het tweede betreft, maar het zou prettig zijn als de vraagsteller hierover duidelijkheid zou kunnen geven.
Je verwijst naar een standaard inschrijfformulier. Dus de standaard is eigenlijk gebaseerd op heel veel dingen die wettelijk niet mogen? Zou de standaard niet andersom moeten zijn?
Ik bedoelde het formulier dat je krijgt als je gewoon zelf je aanmeldt, buiten je werk om. Het lijkt me logisch dat je bij een individu diens woonadres wil hebben.