Een Belgisch bedrijf heeft op meerdere punten de AVG overtreden door foto's van een ex-werknemer niet van de bedrijfssite en social media te verwijderen nadat die hierom had gevraagd, zo heeft de Belgische privacytoezichthouder GBA geoordeeld (pdf). De medewerkster was tot 2021 bij het bedrijf in dienst. In augustus 2023 ontdekte ze dat haar foto's op de website van het bedrijf werden gebruikt om nieuw personeel te werven.

De medewerkster vroeg haar ex-werkgever om al haar foto's van de bedrijfssite en social media te verwijderen en ze niet meer in de toekomst te gebruiken. De ex-werkgever reageerde door te stellen dat een regeling voor het gebruik van fotomateriaal na uitdiensttreding werd uitgewerkt en het bedrijf dus aan de regels voldeed. Tevens liet het bedrijf weten dat er aan nieuw fotomateriaal werd gewerkt om dergelijke situaties in de toekomst te voorkomen.

Begin november vorig jaar diende de ex-werknemer een klacht in bij de GBA. De Belgische privacytoezichthouder merkt op dat iemands naam en foto onder de AVG persoonlijke gegevens zijn en de publicatie hiervan als gegevensverwerking kan worden aangemerkt. Elke gegevensverwerking moet een juridische grondslag hebben. Het kan dan bijvoorbeeld gaan om toestemming, contract of legitiem belang.

In dit geval oordeelt de GBA dat er in de relatie van werknemer-werkgever geen sprake is van 'vrije' toestemming. Daarnaast kan het bedrijf ook geen beroep doen op een contract, aangezien dat al in 2021 is geëindigd. Maar zelfs als de werknemer nog in dienst was had het bedrijf dit niet als grondslag kunnen gebruiken, omdat het publiceren van foto's van een werknemer niet noodzakelijk zijn om het werknemerscontract uit te voeren.

Het werven van een nieuw personeel kan wel een legitiem belang zijn, maar volgens de GBA is het hier niet noodzakelijk voor om foto's te plaatsen. Daarnaast had de werknemer ook geen redelijke verwachting kunnen hebben dat haar foto door haar ex-werkgever zou worden gepubliceerd, zeker omdat ze voor een concurrent ging werken. Volgens de toezichthouder is er dan ook sprake van onrechtmatige gegevensverwerking. Verder hebben mensen het recht onder de AVG om hun data te laten verwijderen. De GBA heeft het bedrijf dan ook opgedragen om het verzoek van de ex-werknemer binnen dertig dagen uit te voeren.