Mag mijn werkgever een vonnis met mijn naam naar alle collega’s sturen?

Een conflict op de werkvloer dat voor de rechtbank wordt uitgevochten, is al zwaar genoeg. Maar wat als uw werkgever de uitspraak, met uw naam en zelfs uw privéadres, vervolgens per e-mail naar het volledige personeel stuurt? Een beslissing van de Gegevensbeschermingsautoriteit (GBA) van 19 september 2025 (nr. 150/2025) stelt hier duidelijke grenzen. Het antwoord is nee: een werkgever mag een gerechtelijke uitspraak met uw persoonsgegevens niet zomaar verspreiden, zelfs niet als hij de rechtszaak heeft gewonnen.

De feiten: een gewonnen rechtszaak leidt tot een klacht bij de GBA

De zaak draaide rond een werkneemster die, samen met enkele collega’s en vakbonden, een rechtszaak had aangespannen tegen haar werkgever over het verloningssysteem. Na jaren van procedures oordeelde het Arbeidshof in 2021 in het voordeel van de werkgever.

De dag na de uitspraak stuurde de directie een e-mail naar het voltallige personeel om hen op de hoogte te brengen van deze “overwinning”. In de bijlage van deze e-mail zat de volledige, niet-geanonimiseerde tekst van het arrest van het Arbeidshof. Hierdoor werden de naam, voornaam en het privéadres van de betrokken werkneemster en haar collega’s gedeeld met honderden medewerkers. De werkneemster stapte naar de Gegevensbeschermingsautoriteit omdat ze dit een schending van haar privacy vond.

De beslissing van de GBA: geen geldige reden voor verspreiding

De Geschillenkamer van de GBA oordeelde dat de werkgever inderdaad de Algemene Verordening Gegevensbescherming (AVG/GDPR) had geschonden. De kern van de beslissing rust op de analyse van het “gerechtvaardigd belang” (artikel 6.1.f van de AVG), de rechtsgrond die de werkgever inriep om de gegevens te verwerken.

De GBA paste hiervoor een driestappentest toe:

1. Is het belang legitiem? (Doeltest): Ja. De GBA erkent dat een werkgever er belang bij heeft om het personeel te informeren over de uitkomst van een belangrijke rechtszaak die de financiële gezondheid en de sfeer in het bedrijf kan beïnvloeden.
2. Is de verwerking noodzakelijk? (Noodzakelijkheidstest): Nee. Hier liep het fout voor de werkgever. De GBA stelde vast dat het niet noodzakelijk was om de persoonsgegevens van de werkneemster (naam, en al zeker niet haar privéadres) te delen om het doel te bereiken. De werkgever had perfect kunnen informeren over de uitkomst door de relevante passages te citeren of door het arrest te anonimiseren. De identificatie van de betrokken werknemers was niet nodig.
3. Is er een evenwicht? (Afwegingstest): Omdat de verwerking al niet noodzakelijk was, kwam de GBA niet eens meer toe aan de finale afweging tussen de belangen van de werkgever en de privacyrechten van de werkneemster.

Daarnaast stelde de GBA ook vast dat de privacyverklaring van het bedrijf onvolledig was en dat de werkgever niet kon bewijzen dat deze correct aan het personeel was gecommuniceerd. De werkgever kreeg hiervoor een berisping.

Juridische analyse en duiding

Deze beslissing is een belangrijke herinnering aan de strikte interpretatie van de noodzakelijkheidstoets bij de beoordeling van het gerechtvaardigd belang als rechtvaardigingsgrond om persoonsgegevens te verwerken. Het is niet omdat een werkgever een legitiem doel heeft, dat alle middelen om dat doel te bereiken zomaar geoorloofd zijn. De werkgever moet steeds de minst privacy-intrusieve methode kiezen die redelijkerwijs beschikbaar is.

Interessant is dat de GBA het argument van de werkneemster dat haar vakbondslidmaatschap werd onthuld, niet volgde. Omdat het arrest vermeldde dat ze in eigen naam handelde, was er volgens de GBA geen sprake van de verwerking van “bijzondere categorieën van persoonsgegevens” (art. 9 AVG).

De vaststellingen over de gebrekkige privacyverklaring (het niet vermelden van de rechtsgronden, bewaartermijnen en contactgegevens van de GBA) onderstrepen een ander cruciaal aspect van de AVG: de verantwoordingsplicht (accountability). Het volstaat niet om de regels te respecteren; een organisatie moet ook kunnen aantonen dat ze de regels respecteert via duidelijke en volledige documentatie.

Wat dit concreet betekent

• Voor werknemers: U heeft het recht op bescherming van uw persoonsgegevens, ook in een gespannen arbeidsrelatie. Zelfs als u een rechtszaak tegen uw werkgever verliest, mag deze de uitspraak niet gebruiken om uw gegevens onnodig te verspreiden. Uw naam en zeker uw privéadres zijn beschermd. Het feit dat collega’s misschien al “wisten” dat u een zaak had lopen, geeft de werkgever geen vrijgeleide.
• Voor werkgevers: Transparantie naar uw personeel is belangrijk, maar niet ten koste van de privacy van individuele medewerkers. Voordat u communiceert over gerechtelijke uitspraken of andere gevoelige materie, moet u een zorgvuldige afweging maken. De gouden regel is: anonimiseer persoonsgegevens tenzij het absoluut noodzakelijk is om ze te vermelden. Zorg er bovendien voor dat uw interne privacy-policy up-to-date, volledig en aantoonbaar gecommuniceerd is aan uw personeel.

FAQ (Veelgestelde vragen)

Wat als iedereen op het werk al wist dat ik die rechtszaak voerde? Maakt dat een verschil?
Nee, dat maakt geen verschil. De GBA oordeelde expliciet dat het feit dat de identiteit van de procederende partijen mogelijk al bekend was, de werkgever niet ontslaat van zijn plicht om de noodzakelijkheid van de gegevensverwerking te beoordelen. De actieve verspreiding via e-mail is een nieuwe verwerking die aan de AVG-regels moet voldoen.

Mijn werkgever stuurde de e-mail in BCC (Blind Carbon Copy). Is dat niet net bedoeld om de privacy te beschermen?
Het gebruik van BCC beschermt de e-mailadressen van de ontvangers onderling, maar doet niets af aan de inhoud van de bijlage. In deze zaak oordeelde de GBA dat het gebruik van BCC op zich niet “onrechtmatig” was, omdat de werkgever aanvoerde dat sommige werknemers een privé-mailadres gebruikten. De kern van de inbreuk was echter de onnodige verspreiding van de persoonsgegevens in het arrest zelf.

Welke sanctie riskeert een werkgever voor zo’n inbreuk?
In dit specifieke geval heeft de GBA gekozen voor een berisping. Dit is een formele waarschuwing. De GBA hield rekening met het feit dat het om een eenmalige, voorbije inbreuk ging en dat het bedrijf stappen had ondernomen om zijn beleid te verbeteren. In andere, meer ernstige of herhaaldelijke gevallen, kan dit echter leiden tot zware administratieve geldboetes.

Conclusie

Deze beslissing van de Gegevensbeschermingsautoriteit trekt een duidelijke lijn in het zand: het recht van een werkgever op interne communicatie stopt waar de privacyrechten van de werknemer onnodig worden geschonden. De noodzakelijkheidstest in 6.1.f van de AVG is geen loutere formaliteit en vereist dat steeds voor de minst ingrijpende aanpak wordt gekozen. Anoniem waar het kan, identificeerbaar enkel als het moet.