Recht van inzage personeelsdossiers onder de AVG

Onder de Algemene Verordening Gegevensbescherming (AVG), die vanaf 25 mei 2018 van toepassing is, hebben betrokkenen onder andere het recht op inzage in hun persoonsgegevens (art. 15 AVG). Dit betekent dat een betrokkene een organisatie kan vragen welke gegevens van hem/haar worden verwerkt en de betrokkene de organisatie kan verzoeken deze gegevens in te zien. Het recht op inzage is niet nieuw en bestond ook onder de voormalige Wet bescherming persoonsgegevens (Wbp) (art. 35 Wbp). De ratio achter het inzagerecht is dat een betrokkene er op deze manier achter kan komen welke persoonsgegevens voor welke doeleinden en op welke grondslagen door een bepaalde organisatie worden verwerkt, en of deze gegevens (nog) kloppen.

In de Wbp was opgenomen dat een betrokkene een ‘overzicht’ kan vragen van persoonsgegevens die worden verwerkt. Uit rechtspraak van het Europese Hof van Justitie én Nederlandse rechters blijkt ook dat een overzicht met categorieën persoonsgegevens en de bijbehorende verwerkingsdoeleinden daarvoor voldoende was; de betrokkene heeft geen recht op een exacte kopie van alle stukken.

In tegenstelling tot de Wbp hebben werknemers onder de AVG echter wel het recht een kopie van hun personeelsdossier te ontvangen. Bij een elektronisch verzoek brengt dit met zich mee dat de werkgever de kopie in een ‘gangbare elektronische vorm’ aan de werknemer dient te verstrekken. Dient een werkgever voortaan altijd een kopie te verstrekken van het volledige personeelsdossiers? Of mag een werkgever weigeren of kosten in rekening brengen? In dit artikel zal hier specifiek op worden ingegaan.

1. Uitbreiding recht op inzage

Onder de AVG dient een werkgever (een verwerkingsverantwoordelijke) aan een werknemer, die een inzageverzoek doet, te laten weten (art. 15 lid 1 AVG):

1. de verwerkingsdoeleinden (waarom bepaalde gegevens worden verwerkt);
2. de betrokken categorieën van persoonsgegevens (welke soorten persoonsgegevens u verzamelt);
3. indien van toepassing: aan welke organisaties u de persoonsgegevens doorgeeft (geldt ook voor gegevens die u doorgeeft aan organisaties in andere landen of internationale organisaties);
4. hoelang de persoonsgegevens worden bewaard, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
5. welke privacyrechten de werknemer heeft (het recht om persoonsgegevens te laten wijzigen, aanvullen of wissen, om te vragen minder persoonsgegevens te verwerken en om bezwaar te maken als persoonsgegevens worden verwerkt);
6. dat een werknemer het recht heeft een klacht in te dienen bij een toezichthoudende autoriteit (Autoriteit Persoonsgegevens);
7. indien van toepassing: van welke organisatie de persoonsgegevens zijn ontvangen wanneer de persoonsgegevens niet bij de werknemer worden verzameld;
8. indien van toepassing: op basis van welke logica een geautomatiseerd besluit over een werknemer wordt genomen.

Een werkgever die wordt geconfronteerd met een verzoek op inzage van een werknemer dient de werknemer in beginsel kosteloos een kopie te verstrekken van de persoonsgegevens die van de werknemer worden verwerkt. Indien de werknemer om meerdere kopieën verzoekt kan de werkgever op basis van administratieve lasten een redelijke vergoeding in rekening brengen (art. 15 lid 3 AVG).

2. Inhoud personeelsdossier

Een personeelsdossier bevat in veel gevallen informatie over de persoon van de werknemer, waaronder NAW-gegevens, e-mailadres, telefoonnummer, salaris, arbeidsovereenkomst, paspoortnummer, maar onder andere ook beoordelings- en functioneringsgesprekken, medische gegevens (ziek- en herstelmeldingen), eventuele leaseovereenkomsten, en interne notities. Doorgaans zal de werknemer over de meeste stukken zelf ook beschikken, zoals beoordelingen en salarisstroken.

3. Omvang recht op inzage

 In principe moet de werknemer dus een kopie ontvangen van de persoonsgegevens in het personeelsdossier. Een papieren kopie is niet verplicht: een gangbare elektronische vorm als een pdf’je is ook toegestaan. Indien mogelijk zou de werknemer ook kunnen inloggen op een online omgeving waar zijn personeelsdossier is opgenomen.

Er zijn een aantal beperkingen aan het inzagerecht. Ten eerste moet het om feitelijke gegevens gaan. In de rechtspraak is uitgemaakt dat interne notities van leidinggevenden, met daarin hun persoonlijke gedachten, niet verstrekt hoeven te worden. Deze stukken zijn immers bedoeld voor intern overleg en beraad, bijvoorbeeld als voorbereiding op de jaarlijkse beoordeling van werknemers.

Het recht op inzage mag verder geen afbreuk doen aan de rechten en vrijheden van anderen (art. 15 lid 4 AVG). Dit brengt met zich mee dat bij het verstrekken van een kopie van het personeelsdossier, de werkgever o.a. de privacyrechten van andere werknemers, bedrijfsgeheimen, IE-rechten etc. dient te borgen. Dit kan ertoe leiden dat namen van andere werknemers moeten worden weggestreept, bijvoorbeeld op een lijst van werknemers die momenteel een verbetertraject volgen wegens disfunctioneren. Ook het recht/de vrijheid van de werkgever om een goed personeelsbeleid te kunnen voeren, mag niet worden beperkt. Dit kan er toe leiden dat de werkgever bijvoorbeeld geen inzage hoeft te geven in een (voorlopig) overzicht van boventallige werknemers, terwijl de reorganisatie nog niet is aangekondigd.

4. Weigeren verzoek op inzage

Een werkgever mag een verzoek op inzage van een werknemer weigeren of een redelijke vergoeding in rekening brengen, met name vanwege hun herhalend karakter, indien (art. 12 lid 5 AVG):

• een verzoek kennelijk ongegrond is, of;
• buitensporig is.

De bewijslast rust vervolgens bij de werkgever om de kennelijk ongegronde of buitensporige aard van het verzoek van de werknemer aan te tonen. Dit kan lastig zijn, omdat de werknemer geen reden hoeft op te geven voor het inzageverzoek. Vaak zal de werkgever echter wel een vermoeden hebben. Indien tussen werkgever en werknemer een conflict bestaat over vermeend disfunctioneren van de werknemer, kan het voor de hand liggen dat de werknemer zijn complete personeelsdossier opvraagt om ‘munitie’ te verzamelen in dit conflict. Het verzoek wordt dan voor een ander doeleinde gebruikt dan waarvoor het inzagerecht bedoeld is. De werknemer wil immers niet controleren welke (feitelijke) gegevens verwerkt worden en deze eventueel aanvullen, verbeteren, of wijzigen. In de rechtspraak is ook uitgemaakt dat betrokkenen het inzagerecht niet mogen misbruiken voor een ‘fishing expedition’ naar zoveel mogelijk stukken waar toevallig hun persoonsgegevens op staan. Wij verwachten dat een dergelijke ‘fishing expedition’ ook onder de AVG kennelijk ongegrond zal zijn, wegens misbruik van bevoegdheid. Het blijft echter aan de werkgever om dit aan te tonen.

Overigens verwachten wij dat inzageverzoeken van werknemers niet vaak voor zullen komen. De werknemer heeft doorgaans al beschikking over de meeste gegevens. Indien een werknemer iets mist, iets wil weten of een wijziging wil doorgeven, zal hij uiteraard eerder een mailtje naar de HR-afdeling sturen dan dat hij een formeel inzageverzoek doet en vervolgens verzoekt om wijziging of aanvulling van gegevens. Dit kan ook een gezichtspunt zijn bij de beoordeling of een werknemer al dan niet een kennelijk ongegrond verzoek doet.

5. Conclusie

Kortom: onder de AVG moet de werknemer in beginsel een (digitale) kopie van zijn personeelsdossier ontvangen. Dit wil niet zeggen dat het volledige dossier altijd maar aan de werknemer ter beschikking moet worden gesteld. Bij een inzageverzoek van een werknemer is het altijd goed om eerst de volgende vragen te beantwoorden:

• Is het verzoek buitensporig of ongegrond, bijvoorbeeld omdat de werknemer niet als doel heeft om zijn persoonsgegevens te controleren en eventueel aan te vullen, te wijzigen of te laten verwijderen
  -  Zo ja: gemotiveerde afwijzing verzoek
  -  Zo nee: door naar de volgende vraag
• Welke gegevens worden opgevraagd?
  -  Interne notities: niet ter inzage leggen
  -  Stukken waardoor rechten of vrijheden van anderen (inclusief de werkgever zelf) worden beperkt: checken of wegstrepen mogelijk is; anders niet ter inzage leggens
  -  Stukken die in principe niet onder a of b vallen: ter inzage leggen

Uiteraard hangt het van de concrete stukken in uw persoonsdossier af of u deze volledig ter inzage dient te leggen. Ontvangt u een inzageverzoek, dan adviseren wij u hier graag over. Meer vragen over de AVG en de nieuwe verplichtingen als werkgever? Lees dan onze artikelenreeks ‘Privacy in de praktijk’. Of neem contact op met ons Privacyteam of de sectie Arbeidsrecht!