Rechtbank Amsterdam, 10-10-2017, ECLI:NL:RBAMS:2017:7888, EA VERZ 17-733

De ondernemingsraad is de in 2013 door Apple ingevolge artikel 2 juncto 3 van de Wet op de ondernemingsraden (WOR) voor de drie Nederlandse Apple Stores, gevestigd te Amsterdam, Den Haag en Haarlem, ingestelde gemeenschappelijke ondernemingsraad. Apple is het Nederlandse onderdeel van Apple Inc., producent en verkoper van Apple-apparatuur. In het overleg met de ondernemingsraad treedt de heer [naam 4] , directeur van Apple, op als bestuurder.

Teneinde inzicht te verkrijgen in de mate van tevredenheid van (potentiële) klanten die een van de drie Nederlandse Apple Stores hebben bezocht, maakt Apple sinds 2012 gebruik van de zogenoemde Net Promotor Score (hierna: NPS), een klanttevredenheids-enquêtesysteem waarmee klanten per e-mail wordt gevraagd om via de meegezonden link een enquête in te vullen. Daarin worden onder meer vragen gesteld over hoe de bezoeker de wijze waarop hij/zij in de winkel door de Applemedewerker is geholpen heeft ervaren. Tot oktober 2016 werd in de enquête de (voor)naam van de Applemedewerker die de betreffende bezoeker te woord had gestaan, niet vermeld.

In of omstreeks oktober 2016 heeft Apple besloten om in de NPS-enquêtes de voornaam te vermelden van de Applemedewerker die de betreffende klant had geholpen. Het oogmerk van Apple was om hiermee de respons op de enquêtes en daarmee (de kwaliteit en kwantiteit van) de feedback van haar klanten/bezoekers te verhogen. In de loop van oktober 2016 is Apple de voornaam van de Applemedewerkers in de NPS-enquêtes gaan vermelden. Daaraan voorafgaand heeft Apple hiervoor geen toestemming in de zin van artikel 27 lid 1 WOR aan de ondernemingsraad gevraagd.

Op 13 oktober 2016, toen de ondernemingsraad ervan op de hoogte was geraakt dat in de NPS-enquêtes opeens de voornaam van de Applemedewerker werd genoemd, heeft de raad aan de heer [naam 4] voornoemd zijn zorgen over de privacy van de medewerkers kenbaar gemaakt. Uit het verslag van die bijeenkomst: ‘ [naam 4] ( [naam 4] , ktr.) reviewed changes to the Medallia scoring methodology. JWC (de ondernemingsraad, ktr.) requested why employees names are now showing in the report, where before they were not. Indicate they have privacy concerns and ask an official response.’

De kwestie werd vervolgens besproken in de overlegvergadering van 26 oktober 2016. De ondernemingsraad herhaalde zijn bezwaar vanuit privacy-oogpunt. Uit het verslag van deze overlegvergadering: ‘The WC (de ondernemingsraad, ktr.) sent an email that the names are being mentioned in het NPS survey to the customers. They are concerned with the privacy of the employees and ask for the Apple stand on this.’ Toen een reactie van Apple uitbleef, stelde de ondernemingsraad bij e-mail van 6 november 2016 aan de bestuurder de volgende vragen over de wijziging in NPS: ‘a) Tot in hoeverre mag de naam van een medewerker worden vermeld in de klanttevredenheidsonderzoeken met het oo(g) op de privacy van de medewerker? b) Had de OR hier op voorhand over geïnformeerd moeten worden? c) Hebben medewerkers de keus of zouden zij de keus kunnen krijgen om hun naam niet vermeld te krijgen in het klanttevredenheidonderzoek?’

Het onderwerp werd opnieuw besproken in de overlegvergadering van 30 november 2016. Uit het verslag van die vergadering: ‘(-) [naam 4] said that in the past employees were wearing Lanyards, now the name is on the Medailla form. Feedback can be given per person, not in general. Feedback can be separated. Amir asked of the Privacy law apply’s? [naam 6] ( [naam 6] , door wie [naam 4] zich ter vergadering deed vergezellen, ktr.) said that if the WC think they aren’t compliant, the WC can flag this.’

Bij e-mail van 30 december 2016 vroeg de ondernemingsraad aan de bestuurder om de beloofde terugkoppeling van het overleg met de juridische afdeling van Apple omtrent de vraag of de wijziging in NPS voldeed aan de privacywetgeving. Diezelfde dag reageerde de heer [naam 6] voornoemd met de mededeling dat het overleg met de juridische afdeling nog niet was afgerond, maar dat de kwestie op de volgende vergadering verder zou worden besproken.

Bij brief van 1 februari 2017 heeft de ondernemingsraad aan de bestuurder meegedeeld: ‘De ondernemingsraad heeft op verschillende momenten aangegeven het niet eens te zijn met de wijziging in het beleid om de werknemersnaam te vermelden in de tevredenheidsenquête. De ondernemingsraad ziet zich gesterkt in de Wet Bescherming Persoonsgegevens, specifiek artikel 8 lid 1 (-).’ Omdat de ondernemingsraad meende dat Apple in strijd met deze wet handelde, stelde hij haar een ultimatum: ‘(O)fwel vraagt Apple iedere werknemer of deze bereid(-) is ondubbelzinnig zijn of haar toestemming te geven voor de verwerking van de persoonsgegevens in de naar de klant gestuurde tevredenheidsenquête, dan wel dat alle gebruikte persoonsgegevens niet meer onderdeel zijn van de in de toekomst te sturen enquêtes.’ Apple kreeg hiervoor de tijd tot 13 februari 2017.

Op 13 februari 2017 heeft de ondernemingsraad in een rondschrijven aan de werknemers over de NPS-kwestie meegedeeld: ‘Sinds het gewijzigde NPS systeem worden namen van werknemers vermeld(-) in de mail naar de klant. We zijn in gesprek met de bestuurder over de gevolgen voor de privacy van onze collega’s.’

Nadat de ondernemingsraad contact had gehad met de Autoriteit Persoonsgegevens en had begrepen dat de NPS-wijziging kan worden aangemerkt als het verwerken van persoonsgegevens in de zin van de Wet bescherming persoonsgegevens (Wbp), stelde de raad zich in de overlegvergadering van 22 februari 2017 op het standpunt dat het gebruik van de voornaam van Apple-medewerkers in de klanttevredenheidsenquête niet in overeenstemming is met de Wbp. Uit het vergaderverslag: ‘(-) [naam 4] want to keep the names because you receive personalised real feedback. By providing an employees name, the experience will be linked to the individual behaviour. [naam 4] will partner about what to do. [naam 4] will contact them today and will update the JWC this Friday. Factually the names are still in there, if the data protection center tells we are not compliant, this will be change asap.’

In reactie op de e-mail van 17 maart 2017 van de ondernemingsraad, waarin de raad meedeelde opnieuw met de Autoriteit Persoonsgegeven contact te hebben gezocht en een gerechtelijke procedure te willen starten ‘om de namen uit de NPS te halen’, schreef [naam 4] op 22 maart 2017 aan de ondernemingsraad: ‘(-) It seems clear that members remain unconvinced that employees first names appearing in the NPS survey is compliant with Dutch Privacy legislation. You indicate you are imminently expecting a written opinion from the Dutch Privacy Authority on this question. We request that when you receive this written opinion that you would provide it to us. If it indicates that our current practice is non-compliant, we will review in detail. We may communicate with the DPA to clarify our position and make sure they have all relevant information in forming a view. If necessary and appropriate, we can take steps to remove the names which would take at least 1 week. However, because we remain confident that our position is correct after multiple and detailed reviews, we don’t see an obligation to change our practice at present.’ Apple liet verder weten niet te begrijpen op welke gerechtelijke procedure de ondernemingsraad doelde, nu de NPS-wijziging al vanaf ongeveer een half jaar eerder dateert.

Nadat de ondernemingsraad zich op 24 maart 2017 mondeling had beroepen op het instemmingsrecht van artikel 27 lid 1, aanhef en onder k WOR en had aangekondigd zich tot de kantonrechter te wenden, stelde Apple zich op 28 maart 2017 op het standpunt dat van een wijziging van een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen geen sprake is, alsmede dat de termijn van een maand, genoemd in het vijfde lid van artikel 27 WOR, waarbinnen de ondernemingsraad schriftelijk een beroep op de nietigheid van de NPS-wijziging had kunnen doen, al geruime tijd was verstreken. ‘Nonetheless’, zo schreef Apple, ‘we are grateful for the WC’s partnership on this and remain ready and willing to answer any outstanding questions in discussion with you. We have of course engaged in ongoing correspondence and discussion on the data privacy compliance aspect of this matter.’ Maar Apple bleef van mening dat van een verwerking van persoonsgegeven in de zin van de Wbp geen sprake was, alsook dat zij - als dat anders mocht zijn - bij de NPS-wijziging een gerechtvaardigd belang in de zin van artikel 8 aanhef en onder f Wbp heeft.

Bij brief van 31 maart 2017 heeft de ondernemingsraad de nietigheid van het besluit tot wijziging van NPS ingeroepen en Apple gesommeerd om de voornaam van Applemedewerkers niet langer in de NPS-enquêtes te vermelden. Op 7 april 2017 liet Apple de ondernemingsraad weten niet aan die sommatie te zullen voldoen. Apple sloot haar brief af met: ‘Moreover, we refer to our previous correspondence on this issue. Our opinion remains unchanged, If you receive a written opinion of the Dutch Privacy Authority, please let us know. In that event we reserve the right to engage with the Privacy Authority to explain our position. However, we are convinced that we are not acting in breach of the Data Protection Act in this regard.’

In reactie op de vragen die de ondernemingsraad haar bij brief van 12 maart 2017 had gesteld, benadrukte de Autoriteit Persoonsgegevens bij brief van 13 april 2017 dat zij ‘geen voorafgaande goedkeuringen aan de verwerking van persoonsgegevens’ verleent, maar wel informatie verstrekt ‘op basis waarvan een afweging wellicht gemakkelijker kan worden gemaakt.’ De Autoriteit Persoonsgegevens wees erop dat het bepaalde in artikel 8 onder f Wbp als grondslag voor de verwerking van persoonsgegevens kan dienen, als die verwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op privacy, prevaleert. De Autoriteit Persoonsgegeven lichtte toe dat daarom een noodzakelijkheids- en een proportionaliteitsvereiste geldt en welke vragen in dat verband zouden kunnen worden gesteld.

Correspondentie tussen de gemachtigde van de ondernemingsraad en de bestuurder heeft daarna niet tot enigerlei overeenstemming geleid.