Hoe wordt bepaald of de verwerking van persoonsgegevens een legitiem belang heeft?

De belangenafweging die de werkgever moet maken om te bepalen of er voldoende rechtsgrond bestaat voor de verwerking, wordt de proportionaliteitstoets genoemd. Deze toets kan een werkgever zelf (laten) doen door voor elke verwerking van persoonsgegevens van werknemers een PIA (privacy impact assessment) te doorlopen. Een PIA moet in ieder geval worden doorlopen als nieuwe technologie wordt gebruikt die een grote hoeveelheid data genereert of verwerkt.
De PIA is een hulpmiddel voor het uitvoeren van de proportionaliteitstoets, waarin rekening wordt gehouden met alle omstandigheden van het geval. De werkgever maakt dan een afweging tussen zijn eigen legitieme belangen en de redelijke verwachting van privacy van werknemers. De specifieke technologie die wordt gebruikt moet noodzakelijk zijn, in verhouding staan tot het na te streven doel en geïmplementeerd zijn op een manier die de privacy van werknemers zo min mogelijk beperkt. Het zo privacyvriendelijk mogelijk inrichten van systemen wordt ook wel ‘privacy by design’ genoemd. Daarnaast moet er kunnen worden aangetoond dat maatregelen zijn genomen om de juiste balans te treffen tussen het gerechtvaardigd belang van de werkgever en het fundamentele recht van de werknemer (de privacy).
Legitieme belangen kunnen zijn:

• Detecteren en voorkomen van verlies van intellectueel of materieel bedrijfseigendom;
• Verbeteren van productiviteit van werknemers;
• Verbeteren van de bescherming van persoonsgegevens die het bedrijf verwerkt.