Dit is de vijftiende blog in de blogreeks: Ontdekkingen van een junior compliance officer. In deze reeks vertel ik over wat mij is opgevallen in het compliance landschap.
Ik denk dat de meeste het zich nog wel kunne herinneren dat Donald Pols na één dag ontslagen was bij staalbedrijf Tata Steel uit IJmuiden. Dit werd begin juni 2026 bekend gemaakt. Even een korte recap, wat was er precies aan de hand? Een artikel van de NOS beschrijft dat Tata Steel het contract met Donald Pols beëindigde nadat informatie over zijn verleden als voorman van een extreemrechtse studentenbeweging (Afrikaner Studente Front) in Zuid-Afrika naar buiten kwam. NOS vermeldt ook dat Tata Steel aangaf dat deze informatie niet met het bedrijf was gedeeld en dat dit aanleiding was om het dienstverband per direct te beëindigen.
Dit riep bij mij de volgende vraag op: Waar ligt de grens tussen een noodzakelijke screening van medewerkers en een te grote inbreuk op hun privacy? Aan de ene kant wil een organisatie verrassingen voorkomen. Zeker bij integriteitsgevoelige functies met een grote maatschappelijke zichtbaarheid of een hoog reputatierisico kan informatie uit het verleden van een kandidaat relevant zijn. Aan de andere kant betekent dit niet dat werkgevers onbeperkt onderzoek mogen doen naar sollicitanten of (toekomstige) medewerkers. Waar ligt dan precies de grens? En wanneer is screening gerechtvaardigd?
Om te beginnen, waarom is een screening relevant? Op de website van de Autoriteit Persoonsgegevens (AP) staat het volgende: “Voor werkgevers is het van belang om betrouwbare werknemers in dienst te hebben. Screening van sollicitanten en werknemers is een hulpmiddel om de risico’s te beperken.”
Je moet hierbij echter wel rekening houden met de privacy van mensen. Er zijn daarom verschillende voorwaarden vanuit AVG (Algemene Verordening Gegevensbescherming) oogpunt, waar rekening mee gehouden moet worden. De volledige lijst is hier te vinden. Hieronder benoem ik een aantal belangrijke:
Gerechtvaardigd belang
Je moet als werkgever een gerechtvaardigd belang hebben. Dit houdt meestal in dat je erop moet kunnen vertrouwen dat (toekomstige) medewerkers integer en betrouwbaar zijn. Je hebt geen gerechtvaardigd belang nodig als de screening wettelijk verplicht is, zoals bij politieambtenaren en luchtvaartpersoneel. De grondslag toestemming is meestal niet geldig bij een screening. De AVG eist namelijk dat toestemming in vrijheid moet zijn gegeven om rechtsgeldig te zijn.
De screening is noodzakelijk
Dit betekent onder andere dat het doel niet met een ander, minder ingrijpend middel dan de screening bereikt kan worden. Of het noodzakelijk is bepaal je door te inventariseren welke risico’s verbonden zijn aan de verschillende functiegroepen binnen de organisatie. Ook moet je kijken of de risico’s niet op een andere manier beperkt kunnen worden dan door de screening.
Informeren over de screening
Je moet de sollicitant of werknemer vooraf aan de screening laten weten dat deze plaats zal vinden. Hierbij geef je aan waarom het noodzakelijk is, welke gegevens worden onderzocht en waarom deze relevant zijn voor de functie. Na de screening laat je de sollicitant of werknemer weten wat de uitkomsten zijn.
Met noodzakelijke gegevens wordt wat anders bedoeld dan noodzakelijkheid. Met noodzakelijke gegevens wordt namelijk bedoeld welke persoonsgegevens écht nodig zijn om te verzamelen tijdens een screening. De screening mag namelijk niet voor alle functies in je bedrijf gelijk zijn. Alleen gegevens die van belang zijn voor de functie mag je opvragen en mogen alleen gaan over de specifieke risico’s die aan een bepaalde functie verbonden zijn. Bij een integriteitsgevoelige functie mag je meer informatie opvragen dan een functie waarbij dit helemaal niet aan de orde is.
Verder vermeldt de AP dat de screening over een zo kort mogelijke periode moet gaan. Als werkgever moet je van tevoren inschatten welke gegevens uit het verleden noodzakelijk zijn om iemand te kunnen beoordelen, want alleen die gegevens mogen deel uitmaken van de screening.
Een vraag die vaak naar voren komt bij een screening is of er online informatie, waaronder sociale media, opgezocht mag worden over iemand die bij een organisatie solliciteert. De AP geeft tijdens een vraag van de maand hier antwoord op. Een bedrijf mag niet zomaar online informatie over iemand opzoeken die solliciteert, ook niet als deze openbaar is, waaronder sociale media. Een bedrijf mag deze informatie alleen opzoeken in de volgende gevallen:
Mocht je besluiten dat het voor een bepaalde functie noodzakelijk is om te kijken naar sociale media, moet je in je achterhoofd houden dat je gevonden informatie niet hoeft te kloppen. Ga daarom terughoudend met de gevonden informatie om.
Als organisatie mag je de screening ook uitbesteden aan een andere organisatie. Jouw organisatie en het bedrijf dat de screening uitvoert moeten beiden aan alle wettelijke vereisten voldoen voor het (laten) uitvoeren van de screenings.
De zaak rond Donald Pols laat zien hoe groot de impact kan zijn van informatie die pas na indiensttreding naar boven komt. Tegelijkertijd betekent dit niet dat werkgevers onbeperkt onderzoek mogen doen. De AVG vraagt juist om een zorgvuldige balans tussen het beschermen van de organisatie en het beschermen van de privacy van betrokkenen. Onthoud wel dat er altijd een risico zal blijven bestaan dat, zelfs bij een zeer uitvoerig screening, bepaalde informatie niet wordt ontdekt. Hoe ver ga je terug en wat is nog proportioneel? De uitdaging voor compliance officers is om de balans te vinden tussen effectieve screening en naleving van wet- en regelgeving. Juist in die afweging zit de kern van goed compliance werk. Succes!
