De reikwijdte van een inzageverzoek op grond van de AVG

In deze zaak verzoekt een ex-werknemer op grond van de AVG bij zijn ex-werkgever een volledig overzicht van de door de ex-werkgever verwerkte persoonsgegevens, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers en de beschikbare informatie over de herkomst van de gegevens. De ex-werknemer had redenen om aan te nemen dat zijn ex-werkgever zijn persoonsgegevens heeft verwerkt in e-mails aan derden. De werkgever voert verweer tegen dit verzoek.

De beoordeling

De rechtbank gaat eerst in op de vraag wat ‘persoonsgegevens’ als in de AVG nu precies zijn. Vervolgens oordeelt de rechtbank dat uit moet worden gegaan van een ruim begrip van persoonsgegevens: dus ook gegevens waarmee je personen op enigerwijze kunt identificeren zijn persoonsgegevens onder de AVG. Het gaat daarbij niet om alle gegevens die verbonden zijn aan een persoon.

Vervolgens gaat de rechtbank in op de vraag in hoeverre het verzoek van de ex-werknemer voldoende specifiek is. Allereerst oordeelt de rechtbank dat het recht van inzage op grond van de AVG niet betekent dat zonder meer een algemeen recht tot inzage heeft. De rechtbank zegt hiermee eigenlijk dat er geen absoluut recht op inzage is. Een betrokkene die zijn gegevens wil opvragen zal, zeker wanneer de verwerker grote hoeveelheden gegevens verwerkt, zijn verzoek moeten specificeren.

In deze zaak kon een ex-werknemer met behulp van een mail tussen medewerkers van werkgever aantonen dat zijn persoonsgegevens (onrechtmatig) in omloop waren. Nu hij deze mails als ‘bewijs’ had aangevoerd, vond de rechter dat het verzoek voldoende specifiek was. De werkgever hoefde echter niet alle opgevraagde stukken te overleggen. Nu de mails tussen medewerker de grondslag waren van het verzoek, strekte het verzoek in ieder geval wel tot alle soortgelijke mails naar derde partijen.

De volgende vraag die de rechtbank beantwoord is welke stukken verstrekt moeten worden aan de ex-werknemer. De rechtbank oordeelt dat het verzoek niet strekt tot interne notities die persoonlijke gedachten van medewerkers van de verwerkingsverantwoordelijke bevatten. Om privacybelangen van medewerkers te waarborgen mogen bovendien namen van verzenders en ontvangers zwart worden gemaakt bij beantwoording op het verzoek tot inzage. De naam van verzendende en ontvangende organisaties moeten wel altijd leesbaar blijven.

Tips voor de verwerkingsverantwoordelijke

Een verwerkingsverantwoordelijke moet bij de beoordeling van een verzoek tot inzage altijd op een paar dingen te letten:

• Waartoe strekt het verzoek? (Is het verzoek niet te ruim?)
• Welke gegevens moeten worden overlegd?
• Moeten namen van medewerkers in verband met hun privacy zwart onleesbaar gemaakt worden?

Vragen over dit artikel? Neem dan vrijblijvend contact met ons op via 088-133 11 33 of mail naar service@deraadgevers.nl