Wanneer uw werknemer vraagt om inzage in zijn personeelsdossier, mag u dat verzoek niet zomaar passeren. Recente rechtspraak over artikel 15 AVG bevestigt dat. Zo blijkt – niet al te verrassend – dat de AVG in principe altijd van toepassing is op het personeelsdossier. Ook blijkt dat er niet snel reden is om een inzageverzoek van uw werknemer te weigeren. In dit blog daarom Hoe voldoet u aan uw verplichting om uw werknemer inzage te verschaffen in zijn personeelsdossier?

Artikel 15 AVG: het recht op inzage

U weet het inmiddels wel: als organisatie verwerkt u persoonsgegevens. En zoals wij ook beschrijven in ons uitgebreide AVG stappenplan: uw organisatie AVG-proof in 14 stappen, vraagt dat om de nodige aanpassingen binnen uw organisatie. Onder meer omdat de mensen waarvan u persoonsgegevens verwerkt, sterkere privacyrechten hebben gekregen. Zo hebben betrokkenen op grond van artikel 15 AVG:

  • het recht om de door u verzamelde gegevens in te zien (artikel 15 lid 1 AVG), en;
  • het recht om een kopie te ontvangen van de door u verzamelde persoonsgegevens (artikel 15 lid 3 AVG).

U moet dus ook een kopie verstrekken van alle persoonsgegevens die u van uw werknemer verwerkt. U kunt dit doen door hem een kopie te geven van de volledige documenten waarin de betreffende gegevens voorkomen. In plaats daarvan kunt u er echter ook voor kiezen om alleen een kopie te verstrekken van de persoonsgegevens. Voorwaarde is dan wel dat u deze gegevens verwerkt in een compleet overzicht in begrijpelijke vorm.

De AVG is altijd van toepassing op het personeelsdossier!

Als werkgever verwerkt u behoorlijk wat persoonsgegevens van uw werknemer(s). Deze gegevens zijn meestal opgeslagen in een personeelsdossier. De rechtbank Midden-Nederland heeft recent geoordeeld dat de AVG óók van toepassing is op het personeelsdossier.

Gedigitaliseerd personeelsdossier

Voor zover daarover nog discussie bestond, is nu bevestigd dat de AVG van toepassing is op het digitale personeelsdossier. Artikel 2 lid 1 AVG bepaalt namelijk dat het bereik van AVG ziet op (al dan niet gedeeltelijke) geautomatiseerde verwerking van persoonsgegevens. De AVG geldt dus als u het personeelsdossier:

  • bijhoudt in een online database, of;
  • anderszins digitaal verwerkt, bijvoorbeeld in bestanden die op de computer zijn opgeslagen.

Personeelsdossier (nog) niet digitaal?

Niet bij alle organisaties worden de gegevens in het personeelsdossier geautomatiseerd verwerkt. Maar uit de voornoemde uitspraak van de rechtbank Midden-Nederland volgt dat de AVG ook geldt voor niet-digitaal verwerkte personeelsdossiers. Dat komt (kort gezegd) doordat de gegevens die in het personeelsdossier worden verwerkt, een zodanig samenhangend geheel vormen dat deze naar de werknemer kunnen worden herleid. De werknemer geniet dus de bescherming van de AVG, ongeacht of het personeelsdossier al dan niet digitaal wordt verwerkt.

Wanneer mag inzage in het personeelsdossier worden geweigerd?

Toepassing van de AVG op het personeelsdossier, betekent ook dat uw werknemer recht heeft op inzage van zijn personeelsdossier. Op dit uitgangspunt gelden op grond van artikel 41 van de Uitvoeringswet AVG (UAVG) echter wel een (beperkt) aantal uitzonderingen. Zo mag een inzageverzoek worden geweigerd als dat noodzakelijk en evenredig is ter waarborging van:

  • de nationale of openbare veiligheid, of;
  • het voorkomen van strafbare feiten of van de schending van een beroepscode voor gereglementeerde beroepen, of;
  • een onderzoek naar strafbare feiten of naar schending van een beroepscode, of;
  • de opsporing en vervolging van strafbare feiten of van schending(en) van een beroepscode, of;
  • de bescherming van de rechten en vrijheden van anderen.

Bij buitensporige (herhaaldelijke) inzageverzoeken, kan de laatste uitzonderingsgrond uitkomst bieden. Beperking van het inzagerecht is dan mogelijk, als u kunt bewijzen dat de rechten en vrijheden van uw organisatie worden aangetast. Bijvoorbeeld doordat het inzageverzoek onredelijk hoge administratieve lasten met zich brengt.

Werknemer is al bekend met de door hem opgevraagde informatie

Met bepaalde persoonsgegevens uit het personeelsdossier is uw werknemer al bekend. Bijvoorbeeld omdat de betreffende stukken al eerder aan hem zijn verstrekt. Dat dit echter geen geldige reden vormt om een inzageverzoek te weigeren, blijkt uit een recente uitspraak van de rechtbank Den Haag. Geoordeeld wordt namelijk dat bekendheid met de stukken in het personeelsdossier, niet wordt genoemd in het overzicht van uitzonderingen ex artikel 41 UAVG. Bovendien bepaalt artikel 15 lid 3 AVG uitdrukkelijk dat er bijkomende kopieën mogen worden opgevraagd. (Ook) daaruit maakt de rechter op, dat een werknemer stukken mag opvragen die al eens eerder aan hem zijn verstrekt.

Het inzagerecht van uw werknemer heeft dus ook betrekking op stukken:

  • die u al eerder aan uw werknemer heeft toegezonden, en/of;
  • waarmee uw werknemer al bekend is of bekend moet zijn.

Hoe moet u omgaan met een inzageverzoek in het personeelsdossier?

U moet dus serieus omspringen met een inzageverzoek in het personeelsdossier. Het is daarom verstandig om de toegang tot dit personeelsdossier in één keer goed te regelen met een privacyreglement voor werknemers (bijvoorbeeld op te nemen in het personeelshandboek). Houd bij het opstellen van dit privacyreglement en/of bij uw reactie op het inzageverzoek in ieder geval rekening met de volgende punten:

  • Verzeker u ervan dat er op grond van artikel 41 UAVG geen juridische belemmering bestaat voor het verstrekken van (alle) gevraagde informatie. Het voldoen aan een inzageverzoek kan u namelijk in de problemen brengen, als u daarmee bijvoorbeeld een strafrechtelijk onderzoek in gevaar brengt.
  • Kunt u bewijzen dat sprake is van een buitensporig verzoek? Ook dan kan er een geldige reden zijn om inzage te weigeren.
  • De kans is echter groot dat u het inzageverzoek wel moet beantwoorden. Zorg er dan voor dat u de gevraagde informatie binnen de wettelijke reactietermijn verstrekt. Oftewel: binnen één maand nadat u het betreffende verzoek heeft ontvangen.
  • Naast verstrekking van een kopie van de persoonsgegevens, moet u uw werknemer extra informatie verschaffen. Informeer uw werknemer in ieder geval ook over:
    • het doel van de gegevensverwerking, en;
    • de categorieën van persoonsgegevens waarop de verwerking ziet, en;
    • de (soorten) organisaties die gegevens van uw werknemer (hebben) ontvangen, en;
    • hoe u aan de persoonsgegevens bent gekomen, voor zover de gegevens niet door de werknemer zelf zijn verstrekt.
  • Houd er rekening mee dat u in principe geen kosten in rekening mag brengen om aan het verzoek te voldoen. Voor extra kopieën mag u echter wel een redelijke vergoeding vragen. Dat is bijvoorbeeld het geval als uw werknemer bepaalde stukken al eerder heeft ontvangen.
  • Voldoet u ten onrechte niet of te laat aan het inzageverzoek? Dan kan uw werknemer naar de rechter stappen en/of een handhavingsverzoek bij de Autoriteit Persoonsgegevens (AP) indienen. Inmiddels is ook het eerste geval bekend waarbij de AP onder de AVG een dwangsom heeft opgelegd. Omdat de betreffende organisatie (de Theodoor Gilissen Bank) alsnog geen gehoor gaf aan het inzageverzoek, verbeurde de bank daadwerkelijk een dwangsom van €46.000,-. Naast het opleggen van een dwangsom, kan de AP er ook voor kiezen om een (forse) boete op te leggen. Houd hier dus rekening mee.

Heeft u vragen over de toepassing van (artikel 15 van) de AVG of wilt u hulp bij het opstellen van een privacyreglement voor werknemers? Neem dan gerust contact met EKlegal op.