In een recent arrest heeft de Procureur-Generaal van de Hoge Raad duidelijkheid gegeven over de reikwijdte van het inzagerecht onder artikel 15 AVG. In dit artikel gaan we in op dit arrest en hoe organisaties inzageverzoeken moeten afhandelen.
Achtergrond
De rechtszaak ging over een verzoekster die een inzageverzoek had gedaan bij haar voormalig werkgever. Bij haar bestond de veronderstelling dat collega’s tijdens een arbeidsconflict negatief over haar hadden uitgelaten. Na dit arbeidsgeschil is zij uit dienst gegaan.
Om inzicht te krijgen in deze informatie had zij een inzageverzoek ingediend op grond van artikel 15 AVG. Dit verzoek kwam vervolgens bij de voormalig werkgever als verwerkingsverantwoordelijke terecht. De voormalig werkgever had vervolgens een overzicht gegeven van de categorieën persoonsgegevens die zij over haar verwerkte. Verder waren er kopieën van sommige stukken aan haar verstrekt.
Haar voormalig werkgever had geweigerd om een adviesaanvraag en het daaropvolgende advies omtrent het arbeidsconflict te overleggen. Volgens de voormalig werkgever maakten deze stukken deel uit van het vertrouwelijke onderhandelingsproces.
De verzoekster vond deze reactie ontoereikend en startte een procedure op grond van artikel 35 UAVG. Haar verzoeken werden zowel bij de rechtbank als later het gerechtshof afgewezen. De procureur-generaal heeft nu geadviseerd om ook de cassatieverzoeken af te wijzen.
Wanneer moet een organisatie aan een inzageverzoek voldoen?
Artikel 15 lid 1 AVG geeft iedere betrokkene het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over:
- Of zijn/haar persoonsgegevens al dan niet worden verwerkt;
- En zo ja, om inzage te verkrijgen in die persoonsgegevens.
Krijgt een organisatie een inzageverzoek, dan moet zij eerst vaststellen of er inderdaad sprake is van verwerking van persoonsgegevens van de betrokkene. Zo ja, dan dient de betrokkene in beginsel volledig inzage te worden gegeven, tenzij een wettelijke uitzondering van toepassing is. Uitzonderingen op het inzagerecht, moeten terughoudend worden toegepast.
Aan welke eisen moet een inzageverzoek voldoen?
De organisatie voldoet aan artikel 15 AVG door de betrokkene een overzicht te geven van de categorieën persoonsgegevens die van hem/haar worden verwerkt, aangevuld met de in artikel 15 lid 1 sub a-h AVG genoemde informatie zoals de verwerkingsdoeleinden. Je hoeft dus geen uitputtende lijst te geven van elke specifieke verwerkte datum, documentnaam, afzender etc.
De organisatie moet wel daadwerkelijk inzage geven in de verwerkte persoonsgegevens zelf, tenzij een uitzondering van toepassing is. Hierbij mag volstaan worden met ter beschikking stelling van de gehele bronnen/documenten waarin die gegevens zijn opgenomen.
Wanneer kun je een inzageverzoek weigeren?
Uit jurisprudentie blijkt dat organisaties in bepaalde gevallen het inzagerecht mogen inperken. Zo kunnen zij inzage weigeren in documenten die inzicht geven in de onderhandelingspositie van de organisatie bij een juridisch geschil met de betrokkene. Het belang van een ongestoorde gedachtewisseling kan prevaleren boven het inzagerecht.
Uit het arrest volgt ook dat in het verwerkingsregister zelf geen inzage hoeft te worden gegeven, omdat dit geen persoonsgegevens bevat. Ten slotte hoeft geen inzage te worden gegeven in de wijze van verwijdering van persoonsgegevens - het inzagerecht ziet immers op de verwerkte gegevens zelf.
Transparantie is key
Een andere belangrijke les is dat organisaties transparant moeten zijn over de uitvoering van een zoekslag naar persoonsgegevens van de betrokkene. De enkele mededeling dat er niets meer is gevonden, is in beginsel voldoende. Wel moet die mededeling geloofwaardig zijn.
Concluderend biedt dit arrest duidelijke handvatten voor organisaties bij de behandeling van inzageverzoeken. Zorg voor een deugdelijke respons waarin je aangeeft welke gegevens je verwerkt en verstrek inzage daarin. Wees daarbij transparant over eventuele weigeringsgronden. Een goede vastlegging van de verwerkingen is daarom cruciaal voor organisaties om aan hun verplichtingen te kunnen voldoen. Goede voorbereiding is het halve werk!
Vragen? Neem
contact op met een van onze medewerkers.
