Ondernemingsbeslissingen op het gebied van privacy kunnen vallen onder het advies- of instemmingsrecht van de ondernemingsraad.
Zo is een voorgenomen besluit tot invoering of wijziging van een belangrijke technologische voorziening adviesplichtig. Het invoeren van nieuwe technologische voorzieningen om te kunnen voldoen aan de eisen in de AVG kan dus betekenen dat de ondernemingsraad vroegtijdig in het proces moet worden betrokken.
Daarnaast is een voorgenomen besluit tot vaststelling, wijziging of intrekking van een regeling omtrent het verwerken of de bescherming van persoonsgegevens van bij de organisatie werkzame personen instemmingsplichtig. Denk daarbij bijvoorbeeld aan regelingen omtrent verzuimregistraties, personeelsdossiers, de salarisadministratie of het privacybeleid. Hetzelfde geldt overigens voor regelingen omtrent personeelscontrolesystemen, zoals bij cameratoezicht, tijdsregistratiesystemen of andere systemen van toegangscontrole.
Het is overigens niet altijd duidelijk welke regelingen hieronder vallen en op welk moment de ondernemingsraad moet worden geraadpleegd. Uitvoeringshandelingen zijn namelijk niet instemmingsplichtig. Communicatie tussen de ondernemingsraad en de organisatie is daarbij uitermate belangrijk.
