Iedere werkgever verwerkt op de een of andere manier wel persoonsgegevens over het personeel. Denk aan het bewaren van een kopie van de getekende arbeidsovereenkomst, het opslaan van verslagen van beoordelingsgesprekken, en het doorgeven van persoonsgegevens voor het boeken van een zakenreis ten behoeve van de werknemer. De lijst aan mogelijke verwerkingen is praktisch eindeloos.

Voor dat verwerken van persoonsgegevens gelden wel bijzondere regels. Die vloeien voort uit de Algemene Verordening Gegevensbescherming (AVG). De meeste werkgevers zijn inmiddels wel bekend met de belangrijkste verplichtingen die volgen uit deze Europese verordening. Bijvoorbeeld dat er alleen persoonsgegevens mogen worden verwerkt voor zover dat noodzakelijk en gelegitimeerd is en dat het personeel goed (vooraf) moet worden geïnformeerd over het verwerken van persoonsgegevens.

Eén van deze verplichtingen (uit hoofde van de AVG) is dat een werknemer – of eigenlijk ‘betrokkene’, om in termen van de AVG te blijven – het recht heeft op inzage te verkrijgen in de over hem of haar verwerkte persoonsgegevens. Dit volgt uit artikel 15 lid 1 van de AVG. Dit betekent dat als een werknemer daartoe een verzoek doet, de werkgever de werknemer in staat moet stellen om de over hem of haar verwerkte persoonsgegevens in te zien.

Het inzagerecht betekent ook dat de werkgever, indien de werknemer daar om verzoekt, onder meer moet aangeven voor welke doeleinden hij persoonsgegevens over de werknemer verwerkt, om wat voor een soort (categorieën) persoonsgegevens het gaat, en aan wie die persoonsgegevens zoal worden verstrekt. Ook dit volgt uit artikel 15 lid 1 van de AVG.

Belangrijk is ook dat de werknemer niet alleen het recht heeft op inzage in de over hem verwerkte persoonsgegevens, maar dat hij ook recht heeft op een kopie van die persoonsgegevens (artikel 15 lid 3 AVG).

Voor ‘further reading’ beveel ik overigens aan de recente richtlijnen van de European Data Protection Board over het recht op inzage te raadplegen. Daarin worden veel concrete voorbeelden genoemd.

Dit inzagerecht kan op het eerste gezicht nogal verstrekkende gevolgen hebben voor een werkgever. Want in de praktijk worden er op enorm grote schaal persoonsgegevens over werknemers verwerkt.

Dat betreft niet alleen informatie die in personeelsdossiers wordt opgeslagen. Denk bijvoorbeeld ook aan digitaal opgeslagen e-mails met daarin gegevens over de werknemer. Of bijvoorbeeld camerabeelden waarop de werknemer is te zien. Of foto’s van de werknemer die nog ergens staan opgeslagen.

Een simpel inzageverzoek van een werknemer kan daarmee op het eerste gezicht dus een enorm ‘sneeuwbaleffect’ hebben. De vraag is dan ook waar de grenzen precies liggen.

Eén belangrijke grens op het inzagerecht vloeit rechtstreeks voort uit de AVG. Die schrijft namelijk voor dat het recht om een kopie van persoonsgegevens te verkrijgen geen afbreuk mag doen aan de rechten en vrijheden van anderen (artikel 15 lid 4 AVG).

Op basis daarvan mag (of eigenlijk moet) een werkgever er dus voor kiezen om bij het verstrekken van een kopie van persoonsgegevens de (persoons)gegevens over andere betrokkenen zwart te maken of weg te lakken.

Belangrijk is verder dat in de Nederlandse Uitvoeringswet AVG (UAVG) een aantal uitzonderingen is vastgelegd op de rechten van betrokkenen (waaronder het inzagerecht). Bijvoorbeeld wanneer het verstrekken van (persoons)gegevens een risico vormt voor de openbare veiligheid of het voorkomen of opsporen van strafbare feiten (zie artikel 41 UAVG). Ook dat vormt een begrenzing van het recht op inzage, zij het dat werkgevers hier in de praktijk zelden een beroep op zullen doen.

Uit de rechtspraak volgt verder dat het inzagerecht uitdrukkelijk niet ziet op interne notities van (andere) medewerkers van de werkgever en die alleen bedoeld zijn voor intern overleg en beraad.

Stel dat de leidinggevende een aantal persoonlijke aantekeningen (al dan niet digitaal) heeft gemaakt over de werknemer – in dat geval heeft de werknemer dus geen recht op inzage daarvan. Dat laatste zou overigens anders kunnen zijn indien de persoonlijke aantekeningen worden gedeeld met andere werknemers binnen de organisatie en opgeslagen in het personeelsdossier. Maar hier zit dus wel een grijs gebied.

Hetzelfde geldt voor juridische analyses naar aanleiding van persoonsgegevens over de werknemer. Die (juridische) analyses worden als zodanig niet beschouwd als persoonsgegevens, en de werknemer heeft dus niet op grond van de AVG recht op inzage daarvan.

Een procedure die in 2021 speelde bij de rechtbank Midden-Nederland (ECLI:NL:RBMNE:2021:1354) is een goed voorbeeld van een zaak waarin de rechter uitdrukkelijk grenzen stelde aan het inzagerecht van de werknemer.

De rechtbank oordeelde in die zaak: ‘[…] dat het inzagerecht zich niet uitstrekt tot (delen van) interne notities die de persoonlijke gedachten van medewerkers van de verwerkingsverantwoordelijke bevatten en die uitsluitend bedoeld zijn voor intern overleg en beraad.7 Ook juridische analyses naar aanleiding van persoonsgegevens kunnen als zodanig niet worden gekwalificeerd als persoonsgegevens.8 Daarom is NWO-I niet gehouden om dat soort interne correspondentie met [verzoeker] te delen.’. Dit overigens onder verwijzing naar eerdere precedenten.

Belangrijk is ook om goed rekening te houden met het doel van het AVG-inzagerecht.

Dit wordt omschreven in overweging 63 van de AVG: ‘Een betrokkene moet het recht hebben om de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig en met redelijke tussenpozen uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren. […].’. Het gaat dus echt om de verwerking van de persoonsgegevens over de werknemer zelf.

Stel dat een werknemer bijvoorbeeld aangeeft dat zijn auto buiten zijn aanwezigheid is aangereden op de parkeerplaats op het werk. De werknemer verzoekt vervolgens om inzage in de camerabeelden (van de werkgever). Dit om het kenteken te achterhalen van de auto die zijn auto heeft aangereden. Moet je daar als werkgever dan aan meewerken?

In principe is het inzagerecht hier niet voor bedoeld. Een werkgever zou zo’n inzageverzoek om die reden dus kunnen afwijzen, ook omdat daarmee gegevens van andere personen worden verstrekt (te weten: het kenteken van de andere berijder). Nu zou de werknemer in dit geval mogelijk ook met een beroep op de exhibitieplicht (art. 843a Rv) inzage in deze gegevens kunnen verkrijgen, maar daarvoor gelden veel strengere criteria.

De AVG biedt bovendien de mogelijkheid om de werknemer, die een inzageverzoek heeft gedaan, te vragen om zijn verzoek te preciseren.

Ook dit volgt uit overweging 63 van de AVG: ‘Wanneer de verwerkingsverantwoordelijke een grote hoeveelheid gegevens betreffende de betrokkene verwerkt, moet hij de betrokkene voorafgaand aan de informatieverstrekking kunnen verzoeken om te preciseren op welke informatie of welke verwerkingsactiviteiten het verzoek betrekking heeft.’.

Dit is belangrijk in die gevallen waarin de werknemer niet alleen vraagt om een kopie van zijn personeelsdossier, maar bijvoorbeeld (ook) vraagt om een kopie van alle documenten waar zijn naam of e-mailadres in is verwerkt en het er eerder lijkt op een ‘fishing expedition’.

Tot slot, het wordt nog wel eens gedacht dat een werknemer recht zou hebben op een kopie van zijn personeelsdossier. Maar strikt genomen is dat niet helemaal juist.

Een werknemer heeft op grond van de AVG recht op een kopie van de persoonsgegevens die worden/zijn verwerkt (art. 15 lid 3 AVG). Zoals mij laatst ook tijdens een cursus werd verteld, is het verstrekken van een kopie van het personeelsdossier slecht een manier (of ‘modaliteit’) om een kopie van de verwerkte persoonsgegevens te verstrekken.

Dat impliceert dat er dus ook andere manieren zijn dan het verstrekken van een kopie van het personeelsdossier. Ook dit is belangrijk in gedachte te houden, zeker indien het verstrekken van een kopie van het gehele personeelsdossier ongewenste complicaties met zich brengt (al dan niet omdat daarmee inbreuk wordt gemaakt op de rechten van andere personen).