Rapportageverplichting werkgebonden personenmobiliteit en de privacy van persoonsgegevens  

Rapportageplicht WPM

Het doel van de rapportageplicht WPM is om inzicht te verkrijgen in de CO2-uitstoot van zakelijk en woon-werkverkeer van werknemers. Nederland heeft namelijk afgesproken om de CO2-uitstoot te verminderen, waarbij mobiliteit een belangrijk onderdeel is. Uw organisatie is verplicht om voor 30 juni 2025 een rapportage aan te leveren over het tweede halfjaar van 2024. U hoeft niet over individuele medewerkers te rapporteren, maar u moet een totaaloverzicht aanleveren. Hierbij maakt u onderscheid tussen zakelijke en woon-werkkilometers. Daarnaast verschaft u inzicht in de gebruikte reismodaliteiten. Vervolgens rapporteert u over de gebruikte brandstof.  

Hoe verhoudt dit zich tot de AVG?

Hoewel De rapportageverplichting vanuit milieuoverwegingen is opgezet, komen daar ook privacyvraagstukken bij kijken. De rapportage zelf bevat geen persoonsgegevens, omdat het gaat om een totaaloverzicht waardoor gegevens niet herleidbaar zijn naar individuele werknemers. Om deze rapportage te kunnen opstellen, moet de werkgever echter persoonsgegevens opvragen bij de werknemers. Volgens de AVG heeft de verwerkingsverantwoordelijke, de werkgever, een grondslag nodig, die wordt gevonden in artikel 6, lid 1 onder c AVG: het uitvoeren van een wettelijke plicht. Vaak beschikt de werkgever al over de gegevens die nodig zijn voor de rapportage, bijvoorbeeld uit de reisdeclaraties. Het gebruik van deze gegevens valt onder ‘verdere verwerking’ en moet verenigbaar zijn met het oorspronkelijke doel. Aangezien de verwerking berust op een wettelijke verwerking, is dit een rechtvaardiging voor de verenigbaarheid van ‘verdere verwerking’. Werkgevers mogen echter alleen noodzakelijke gegevens verwerken: de gemaakte kilometers en gebruikte reismodaliteiten. Als werkgever is het echter niet toegestaan gegevens te verzamelen over het autotype, omdat er geen onderscheid wordt gemaakt tussen bijvoorbeeld verschillende benzineauto’s. Het verwerken van gegevens buiten het aantal kilometers en de reismodaliteiten is in strijd met het beginsel van dataminimalisatie.  

Verwerkingsregister en verwerkersovereenkomsten

De AVG verplicht organisaties om een verwerkingsregister op te stellen en/of bij te houden indien u als organisatie persoonsgegevens verwerkt. Dit betekent dat u het opvragen van gegevens voor de rapportage moet opnemen in het verwerkingsregister. Indien u derde partijen inschakelt voor het verwerken van persoonsgegevens, dient u tevens verwerkersovereenkomsten af te sluiten met deze partijen. In het geval van de rapportageverplichting worden gegevens gedeeld met de Rijksdienst voor Ondernemend Nederland (RVO). Om deze reden raden we u aan om de verwerkersovereenkomst met het RVO op te vragen.  

Meer informatie

Wil u weten hoe Van Oers u kan helpen om de privacy van uw medewerkers te vergoten? Of bij het inrichten van de WPM voor uw organisatie? Neem contact op met een van onze specialisten via onderstaande button of per mail: IT-Advies@vanoers.nl