De ondernemingsraad (OR) moet erop letten dat de werkgever zorgvuldig omgaat met de persoonsgegevens van werknemers. Zo mag de werkgever niet lukraak persoonsgegevens opvragen en bewaren, en is hij in bepaalde gevallen zelfs verplicht om gegevens te wissen als de werknemer hierom vraagt.
In de Algemene verordening gegevensbescherming (AVG) is vastgelegd dat een werkgever zorgvuldig moet omgaan met persoonsgegevens van werknemers. Dit houdt onder andere in dat hij de gegevens alleen mag opslaan en bewaren als dit strikt noodzakelijk is. In bepaalde gevallen kan de werknemer bij de werkgever een verzoek indienen om zijn persoonsgegevens te wissen. Dit zogeheten recht op vergetelheid is vastgelegd in artikel 17 van de AVG en geldt onder andere als het bewaren van de persoonsgegevens niet meer nodig is, als de betrokkene zijn toestemming intrekt of als de bewaartermijn is verstreken. De werkgever is in dat geval verplicht om de gegevens op verzoek van de werknemer te wissen.
Voor de OR is het van belang om op de hoogte te zijn van dit recht op vergetelheid. De OR heeft namelijk op basis van artikel 27, lid 1k van de Wet op de ondernemingsraden (WOR) instemmingsrecht bij regelingen die betrekking hebben op de verwerking en bescherming van persoonsgegevens van de achterban. De OR kan er bij de bestuurder op aandringen dat hij werknemers duidelijk informeert over hun privacy-rechten. De OR kan zijn initiatiefrecht (artikel 23 WOR) gebruiken om hierover met de bestuurder in gesprek te gaan of om hem hierover (ongevraagd) te adviseren.
De OR kan de bestuurder adviseren om een privacy-verklaring op te nemen in het personeelshandboek of personeelsreglement. Daarbij moet de OR erop letten dat in het privacy-beleid alle rechten van werknemers worden genoemd. Naast het recht op vergetelheid, gaat het hierbij onder andere om: