null

Heeft een ambtenaar het recht om verwijderd te worden uit het externe personeelsadministratiesysteem?

Meerdere gemeenten maken gebruik van een externe partij voor de personeelsadministratie. Op 27 januari 2021 deed de Raad van State uitspraak over de vraag of persoonsgegevens van een werknemer van de gemeente Leiden verwijderd moesten worden uit het personeelsadministratiesysteem YouForce. De Raad van State (“RvS”) concludeert dat in dit geval de gemeente gerechtigd is de persoonsgegevens door de externe partij te laten verwerken. Het verzoek tot verwijdering van zijn persoonsgegevens ingevolge de Algemene Verordening Gegevensbescherming (“AVG”) wordt afgewezen. Lees hieronder meer over de bevindingen van de Raad van State (“RvS”).

Personeelsadministratiesysteem en de verwerking van persoonsgegevens

Gemeente Leiden heeft haar personeelsadministratie uitbesteed aan de gemeenschappelijke regeling ‘Servicepunt71’. De gemeenschappelijke regeling maakt gebruik van YouForce, een personeelsadministratiesysteem van het bedrijf RAET B.V. Dit personeelsadministratiesysteem biedt onder andere een online portal waarin medewerkers inzicht krijgen in de eigen HR-gegevens (aldus de website van RAET B.V.).

De betrokkene in kwestie is een ambtenaar bij de gemeente Leiden. Hij vindt het bezwaarlijk dat zijn persoonsgegevens in een digitaal dossier in YouForce worden verwerkt. Het gaat hem met name om de verzuimgegevens en functioneringsgegevens, omdat hierin gegevens over de gezondheidstoestand zijn opgenomen. Er is geen bezwaar tegen het opstellen van verslagen van functioneringsgesprekken en beoordelingen door de gemeente an sich, maar wel dat de persoonsgegevens door een derde worden verwerkt én online beschikbaar zijn. Naar aanleiding hiervan doet de ambtenaar een verwijderverzoek dat tevens opgevat moet worden als een inzageverzoek.

Ook een inzageverzoek?

De rechtbank heeft volgens de ambtenaar miskent dat het – naast een verwijderverzoek - een verzoek op inzage betrof waarop de gemeente ten onrechte niet heeft beslist. Hier gaat de RvS niet in mee. Zo overweegt de RvS:

“ "Ik heb het recht om vergeten te worden, en mijn functionering en beoordelingsgesprekken vallen daar zeker onder. De gemeente Leiden krijgt van mij niet het recht om deze online bereikbaar te maken." De rechtbank heeft terecht vastgesteld dat het verzoek van [appellant] gelet hierop alleen is gericht op verwijdering van de verslagen van zijn functionerings- en beoordelingsgesprekken”

De ambtenaar heeft vervolgens in het bezwaar wel aangegeven inzicht te willen verkrijgen in welke gegevens van hem worden verwerkt. In dit kader heeft het college hem verwezen naar het digitale personeelsdossier. Dit was voldoende om tegemoet te komen aan de wens op inzage, aldus de RvS.

Nu de RvS vaststelt dat het college terecht het verzoek niet heeft opgevat als een inzageverzoek ingevolge artikel 15 AVG, is het begrijpelijk dat de RvS het betoog ongegrond verklaart. Desalniettemin is het opmerkelijk dat de RvS vervolgens wel ingaat op de wens van de betrokkene op inzage. De RvS stelt namelijk dat aan die wens is voldaan door de ambtenaar te verwijzen naar het digitale personeelsdossier. Waarom die wens wel wordt behandeld, maar dit niet kwalificeert als een inzageverzoek is onduidelijk.

In ieder geval is het verwijzen naar het digitaal personeelsdossier (waarschijnlijk) niet voldoende aan het inzagerecht onder de AVG. Op basis daarvan heeft een betrokkene namelijk niet alleen recht op inzage in de betrokken categorieën van persoonsgegevens, maar juist ook op informatie daaromtrent. Zoals verwerkingsdoeleinden, ontvangers  en bewaartermijnen. Ik betwijfel of het digitaal personeelsdossier deze informatie bevat.

Recht op bezwaar en verwijdering

Ter onderbouwing van het verzoek tot verwijdering wordt betoogd dat geen wettelijke grondslag bestaat voor de verwerking van persoonsgegevens over de gezondheid door Servicepunt71 en RAET B.V.

De RvS concludeert dat voor de gezondheidsgegevens onvoldoende is weersproken dat geen grondslag kan worden gevonden in verplichtingen op het gebied van het arbeidsrecht overeenkomstig (artikel 9 lid 2 sub b AVG). Verder is de grondslag voor de verwerking van persoonsgegevens gelegen in een publieke taak of een gerechtvaardigd belang (artikel 6 lid 1 sub e respectievelijk sub f AVG). Nu wordt aangenomen dat een grondslag bestaat, wordt het verzoek  opgevat als de uitoefening van het recht op bezwaar ingevolge artikel  21 AVG en verwijdering ingevolge artikel 17 lid 1 sub c AVG. 

Vervolgens gaat de RvS in op de belangenafweging zoals vereist onder artikel 21 AVG. Er wordt geconcludeerd dat de gemeente dwingende gerechtvaardigde gronden heeft voor de elektronische opslag in YouForce. Dat heeft te maken met de bevordering van de kwaliteit van werkprocessen en efficiëntie. Ook wordt gewezen op het grote aantal medewerkers (1300) en het feit dat de gemeente zelf niet meer goed is toegerust om de HRM-taken uit te voeren. Daartegenover staat het belang van de ambtenaar dat zijn gegevens niet buiten de organisatie worden bewaard en bij onbevoegden terecht komen. De belangen van de gemeente wegen hier zwaarder dan de belangen van de ambtenaar.

Doorgifte naar India?

Als laatste betoogt de ambtenaar dat zijn persoonsgegevens onrechtmatig worden verwerkt door het bedrijf Mindtree in India. De gemeente heeft echter voldoende onderbouwd dat Mindtree geen persoonsgegevens verwerkt. Mindtree wordt namelijk ingeschakeld voor “monitoring en technische beheerwerkzaamheden, waaronder het monitoren van schijfcapaciteit, backup-processen en de beschikbaarheid van systemen”. Hiermee is voor de RvS geen sprake van een verwerking van persoonsgegevens.

Conclusie

Uit de uitspraak blijkt maar weer dat een zorgvuldige afweging moet worden gemaakt waar een verzoek van een betrokkene op toeziet. Het bepalen van welk recht wordt uitgeoefend en waarover het bestuursorgaan een besluit moet nemen is essentieel. In het kader van de AVG is het in ieder geval niet onrechtmatig om gebruik te maken van een gemeenschappelijke regeling voor de personeelsadministratie.

Heeft u vragen over de juiste verwerking van persoonsgegevens of behandeling van inzage- of verwijderverzoeken? Neem contact op met Corine d'Hulst.