Whistleblower hotline en privacywetgeving, klokkenluiden in Europa klinkt anders dan in de Verenigde Staten.

Ondernemingen met een notering aan een effectenbeurs in de Verenigde Staten moeten sinds de intrede van de Sarbanes-Oxley-wet een — anonieme — 'whistleblower hotline' hebben voor het melden van fraude binnen de onderneming, in de volksmond ook wel 'kliklijn' genoemd. De Europese privacywetgeving op dit punt is echter ouder en heeft de bescherming van het grote goed privacy hoog in het vaandel staan. De betreffende ondernemingen — en dat zijn er nogal wat — zullen voorlopig dus voor een vorm van whistleblowing hotline moeten kiezen die aan beide soorten van wetgeving voldoet. Of ze moeten in Washington en Brussel aan de bel trekken.

Een juridische schermutseling over de uitvoering van SOX § 301(4), jargon voor de instelling van een kliklijn, door Wal-Mart in zijn vestigingen in Duitsland was relatief eenvoudig van aard: het supermarktconcern had verzuimd deze wereldwijde invoering met de ondernemingsraad in Duitsland af te stemmen. Dat was overigens ruim voor het recentelijk aangekondigde vertrek van het concern uit Duitsland.

In Frankrijk liep het principieel mis bij McDonald’s en Ceac/Exide Technologies. Het Franse toezichthoudend orgaan — Commission Nationale de l’Informatique et des Libertés (Cnil) — oordeelde dat sprake was van strijd met Franse privacywetgeving. De Cnil heeft evenals het adviesorgaan van de Europese Unie, Groep Gegevensbescherming 29 (Groep 29), en het toezichthoudend orgaan in Nederland, het College Bescherming Persoonsgegevens (CBP), beperkende voorwaarden opgesteld.

Groep 29 is van mening dat concerns in beginsel een gerechtvaardigd belang kunnen hebben bij het gebruik van een kliklijn of vergelijkbaar meldingssysteem. Het enkele bestaan van een buitenlandse — Amerikaanse — wettelijke verplichting levert 'an sich nog geen gerechtvaardigd belang' op voor het instellen van een anonieme kliklijn, aldus het CBP. Bovendien moet worden gekeken naar 'proportionaliteit, subsidiariteit, de ernst van de misdaad en de gevolgen voor de betrokkene'.

Voorts zou een organisatie het gebruik van anonieme meldingen niet moeten aanmoedigen. Uitgangspunt moet een systeem zijn waarbij de identiteit van de melder wordt vastgesteld. Wel moet de vertrouwelijkheid voldoende worden gewaarborgd. Zo zou een melder zijn identiteit slechts kenbaar kunnen maken aan een vertrouwenspersoon. Recente adviezen van zowel de Stichting van de Arbeid als de Sociaal-Economische Raad (SER) hanteren een soortgelijk uitgangspunt.

Daarnaast geldt bijvoorbeeld een informatieplicht. Ook mogen gegevens niet langer worden bewaard dan twee maanden na afronding van het onderzoek, tenzij disciplinaire maatregelen worden getroffen tegen de melder of de persoon over wie werd gemeld.

Bijkomend probleem is dat zowel Groep 29 als het College Bescherming Persoonsgegevens zich op het standpunt stelt dat gegevens in beginsel niet verstrekt mogen worden aan landen buiten de Europese Unie met onvoldoende privacybescherming, zoals de Verenigde Staten. Het CBP stelt voorts dat doorgifte van gegevens aan het moederbedrijf — al dan niet gevestigd binnen de EU — alleen dan gerechtvaardigd is als het substantiële misstanden betreft die het niveau van het dochterbedrijf overstijgen.

Als een Nederlandse dochteronderneming al aan deze voorwaarde voldoet en gegevens aan haar Amerikaanse moeder wil verstrekken, is deze doorgifte slechts onder bepaald omstandigheden toegestaan. Zo kan de Amerikaanse moeder de zogenaamde 'safe harbour principles' onderschrijven, zodat een adequate privacybescherming is gewaarborgd. Als dit niet het geval is, kunnen de Nederlandse dochter en haar Amerikaanse moeder een overeenkomst sluiten en op grond hiervan een vergunning voor de doorgifte aanvragen bij de minister van Justitie.

Mocht een Nederlandse onderneming echter persoonsgegevens willen doorgeven aan Amerikaanse autoriteiten, dan schuilt hierin een probleem, aangezien geen contract kan worden gesloten met de Amerikaanse autoriteit. Een dergelijke doorgifte zou dan ook in beginsel pas aan de orde kunnen zijn in het kader van een juridische procedure. Wellicht wordt voor dit probleem een soortgelijke oplossing gevonden als met de betrekking tot de gegevens van vliegtuigpassagiers die moeten worden doorgegeven aan de United States Bureau of Customs and Border Protection door luchtvaartmaatschappijen. Deze doorgifte is toegestaan op grond van een beschikking van de Europese Commissie.

Het is afwachten hoe deze problematiek zicht verder zal ontwikkelen. Ook zal er in Brussel of Washington aan de bel moeten worden getrokken om uit de impasse te geraken.

mr. ir. J.M. van Essen is advocaat bij Nauta Dutilh nv te Amsterdam

Er zijn nog geen reacties op deze visie.