Recht op inzage in personeelsdossier - Persoonsgegevens van derden: geen reden tot weigering inzage!

De Gegevensbeschermingsautoriteit (GBA) behandelde recent een klacht van een werkneemster tegen haar werkgever wegens het nalaten om gevolg te geven aan een verzoek tot inzage in haar personeelsdossier. De GBA wijst erop dat de werkgever de persoonsgegevens van derden vooraf dient te verwijderen of te anonimiseren, maar dat de aanwezigheid van persoonsgegevens van derden geen excuus kan zijn voor het niet tijdig voldoen aan het verzoek tot inzage.

Recht op inzage en kopie

Op basis van de GDPR hebben werknemers het recht om inzage en een kopie te verkrijgen van de persoonsgegevens die over hen verwerkt worden. Naar aanleiding van een ontslag of het mislopen van een promotie, vragen werknemers dan ook wel eens om toegang te krijgen tot hun personeelsdossier.

Bij een dergelijk verzoek moet de werkgever de werknemer binnen één maand na ontvangst informeren over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van het verzoek kan de werkgever binnen diezelfde termijn ook laten weten aan de werknemer dat de termijn met twee maanden verlengd zal worden. Bovendien moet de werkgever erover waken dat de inzage geen afbreuk doet aan de “rechten en vrijheden van anderen”, bijvoorbeeld door de persoonsgegevens van derden te anonimiseren.

Feiten

Een werkneemster had per e-mail van 28 februari 2020 aan haar werkgever gevraagd om een afspraak vast te leggen tot inzage van alle evaluatiedocumenten in haar personeelsdossier. Hierop antwoordde de werkgever dat het recht op inzage geen afbreuk mag doen aan de rechten en vrijheden van derden en hij dus eerst diende na te gaan of er in de evaluatiedocumenten gegevens waren opgenomen aan de hand waarvan derden geïdentificeerd konden worden.

Per e-mail van 18 juni 2020 liet de werkgever vervolgens weten dat een afspraak kon worden gemaakt om inzage te verkrijgen in het personeelsdossier. Op 1 juli 2020 legde de werkneemster echter klacht neer bij de GBA, omdat zij meende dat er geen nuttig gevolg was gegeven aan haar verzoek tot inzage.

Beslissing van de Geschillenkamer van de GBA

De GBA wijst erop dat de werkgever transparant dient te zijn en zijn werknemers in staat moet stellen om hun rechten onder de GDPR uit te oefenen, waaronder het recht op toegang tot persoonsgegevens. Hoewel het recht op inzage geen afbreuk mag doen aan de rechten of vrijheden van anderen, mag die overweging er niet toe leiden dat de werknemer alle informatie wordt onthouden. Bijgevolg moet de werkgever de persoonsgegevens van derden vooraf verwijderen of anonimiseren en kan deze omstandigheid dan ook geen reden zijn voor het niet (tijdig) voldoen aan een verzoek tot inzage.

De GBA oordeelde dat de GDPR geschonden was, doordat de werkgever geen nuttig gevolg had gegeven aan het verzoek binnen de maand na ontvangst ervan (en hij de werkneemster evenmin had geïnformeerd over een eventuele verlenging van de termijn). De werkgever kreeg door de GBA het bevel opgelegd om de werkneemster inzage te verlenen in het personeelsdossier, inclusief evaluatieformulieren.

Actiepunt

Zorg ervoor dat u bij een verzoek tot inzage in een personeelsdossier zo snel mogelijk overgaat tot het anonimiseren of verwijderen van de persoonsgegevens van derden, zodat u tijdig gevolg kan geven aan het verzoek. U doet er bovendien goed aan om een duidelijke procedure op te nemen in uw privacy policy om het recht op inzage te faciliteren. Wij kunnen u uiteraard steeds bijstaan bij het opstellen van deze policy.