Organisaties weigeren verzoeken om inzage persoonsgegevens

Vandaag is de Dag van de Privacy. In aanloop naar deze dag is onderzoek gedaan naar het inzagerecht, één van de privacyrechten van de AVG, waar ook werknemers gebruik van kunnen maken. Organisaties blijken nog het één en ander te kunnen verbeteren.

In de Algemene verordening gegevensbescherming (AVG) zijn diverse privacyrechten opgenomen waar mensen op terug kunnen vallen als organisaties hun persoonsgegevens gebruiken. Deze rechten zijn ook van toepassing op werknemers. Ze kunnen bijvoorbeeld aan hun werkgever vragen wat hij met hun persoonsgegevens doet en om inzage in deze gegevens verzoeken. Ook mogen ze gegevens laten corrigeren of verwijderen. De European Data Protection Board (EDPB) heeft onlangs specifiek onderzoek gedaan naar de omgang met het inzagerecht. De Autoriteit Persoonsgegevens (AP) – die als de Nederlandse privacytoezichthouder lid is van de EDPB – meldt op basis van dit onderzoek dat veel organisaties niet goed omgaan met inzageverzoeken.

Weigering en tegenwerking van inzageverzoeken

Veel organisaties blijken voor de afhandeling geen standaardwerkwijze te hebben. In Nederland gaat het om 30% van de organisaties. Een deel weigert bovendien vaak onterecht verzoeken om inzage, of werpt drempels op door eisen te stellen aan de inzage.
Bij een vijfde van de organisaties handelt de functionaris gegevensbescherming (FG) de inzageverzoeken af, maar dat is niet wenselijk vanwege de mogelijke belangenverstrengeling die kan ontstaan: de FG (tool) controleert immers of de organisatie zich aan de AVG houdt en zou dan dus z’n eigen afhandeling van inzageverzoeken controleren. Grote organisaties en organisaties die veel verzoeken krijgen, hebben hun zaakjes wel beter op orde.

Werknemer mag gehele personeelsdossier inzien

De werknemer kan het inzagerecht gebruiken voor inzage in zijn eigen personeelsdossier. Het uitgangspunt is dat de werknemer álle persoonsgegevens moet kunnen inzien. In principe vallen ook interne werknotities in het dossier, zoals aantekeningen van leidinggevenden, onder het inzagerecht. Wel gelden er een aantal uitzonderingen (artikel), waarmee werkgevers met een goede motivering toch bepaalde gegevens kunnen afschermen. Zo kan informatie worden weggelaten die (ook) wat zegt over collega’s van de werknemer. Ook (delen van) documenten zonder persoonsgegevens kunnen worden weggelaten.
De werkgever moet binnen een maand op een inzageverzoek reageren. Is een verzoek ingewikkeld, dan is deze termijn met nog eens twee maanden te verlengen. Als de verzoeker niet of niet op tijd de gevraagde gegevens ontvangt, kan deze via de rechter de afgifte van gegevens afdwingen.