Is een verwerkingsverantwoordelijke vrij om een verwerker in te schakelen?
Deze vraag stond centraal in de uitspraak van Afdeling van 27 januari 2021 (ECLI:NL:RVS:2021:154).
Een ambtenaar van de gemeente Leiden verzoekt het college van burgemeester en wethouders van de gemeente Leiden (hierna: ‘het college’) om verwijdering van zijn functionerings- en beoordelingsgesprekken uit het digitale personeelssysteem YouForce. Hij wil niet dat zijn persoonsgegevens met derden worden gedeeld, omdat hij vreest op die manier zijn gegevens niet meer zelf te kunnen beheersen. Het college wijst het verzoek om verwijdering af. De gemeenschappelijke regeling Servicepunt 71 voert de personeelsadministratie voor de gemeente Leiden. Servicepunt71 maakt op haar beurt weer gebruik van YouForce dat door RAET B.V. wordt aangeboden.
Onterecht niet op inzageverzoek beslist?
De appellant stelt dat de rechtbank ten onrechte zijn verzoek niet mede heeft aangemerkt als een inzageverzoek als bedoeld in art. 15 lid 1 AVG. De Afdeling volgt de appellant hier niet in. De rechtbank heeft terecht geoordeeld dat appellant alleen verzoeken gericht op verwijdering heeft gedaan.
Volgens de Afdeling is de vraag van appellant aan het college om completering van zijn dossier en het aangeven dat hij inzicht in de verwerking van zijn persoonsgegevens wenst, onvoldoende om te oordelen dat sprake is van een inzageverzoek waar het college op had moeten besluiten. Het college heeft appellant gedurende de bezwaarprocedure gewezen op de mogelijkheid om zijn eigen digitale personeelsdossier in te zien. Volgens de Afdeling is het college hiermee tegemoet gekomen aan de wens van appellant om inzage in zijn dossier en had het college deze wens niet als een inzageverzoek aan hoeven te merken.
De uitspraak laat in het midden op welke wijze appellant zijn wens om inzage kenbaar heeft gemaakt en of uit het digitale personeelsdossier dezelfde informatie kan worden opgemaakt als het college had moeten verstrekken bij een inzageverzoek. Zonder deze informatie had naar mijn idee het oordeel dat in deze zaak geen sprake is van een inzageverzoek ook gemakkelijk anders uit kunnen pakken.
Grondslag gegevensverwerking
Ter zitting bij de Afdeling wordt duidelijk dat appellant zich niet verzet tegen het opslaan van de verslagen van functioneringsgesprekken en beoordelingen an sich, maar tegen het feit dat deze gegevens bij een andere partij dan de gemeente worden opgeslagen.
Partijen menen dat de verwerking plaatsvindt op grond van art. 6 lid 1 onder e (algemeen belang) of f (gerechtvaardigd belang) AVG. Welke van deze twee grondslagen precies moet worden gehanteerd, is volgens de Afdeling niet relevant, nu beide grondslagen voorzien in een afweging of er dwingende gerechtvaardigde gronden zijn voor de verwerking die zwaarder wegen dan de belangen, rechten en vrijheden van appellant (art. 21 lid 1 AVG). De Afdeling weegt vervolgens die belangen.
Opvallend is dat partijen noch de Afdeling als mogelijke grondslag voor de verwerking art. 6 lid 1 onder b (uitvoering van een overeenkomst) noemen. Met de Wet normalisering rechtspositie ambtenaren (WNRA) zou deze grondslag in elk geval vanaf 1 januari 2020 kunnen gelden voor dergelijke persoonsgegevens. In dat geval bestaat op grond van art. 21 lid 1 AVG geen recht om bezwaar te maken tegen de verwerking van persoonsgegevens en kan een belangenafweging achterwege blijven.
Belangenafweging verzoek om verwijdering
De Afdeling overweegt dat de gemeente Leiden met drie andere gemeenten – onder meer ter bevordering van de kwaliteit van de werkprocessen en een efficiëntere inzet van beschikbare arbeidskracht – samen is gaan werken binnen de Gemeenschappelijke regeling Servicepunt 71. Aan deze gemeenschappelijke regeling hebben de gemeenten werkzaamheden op HRM-gebied opgedragen. Over de exacte rol van de gemeenschappelijke regeling (verwerkingsverantwoordelijke/verwerker) laat de Afdeling zich niet uit. De Afdeling stelt slechts vast dat het noodzakelijk werd de personeelsdossiers onder te brengen bij deze gemeenschappelijke regeling. In dat verband is de gemeente Leiden (of de gemeenschappelijke regeling voor de gemeente Leiden?) gebruik gaan maken van het elektronische systeem, YouForce. Gelet op de gebruiksvriendelijkheid van dit systeem en het aantal medewerkers waarvoor de gemeente Leiden personeelsdossiers moet bijhouden, oordeelt de Afdeling dat er dwingende gerechtvaardigde gronden als bedoeld in art. 21 lid 1 AVG zijn voor elektronisch opslag van gegevens bij Servicepunt71.
Tegenover dit belang van het college staat het belang van de appellant dat zijn persoonsgegevens niet buiten de gemeente zelf bewaard worden en bij onbevoegden terecht komen.
De Afdeling oordeelt dat het belang van het college zwaarder weegt dan dat van appellant. Van belang is de dienstverleningsovereenkomst waarin waarborgen zijn opgenomen dat Servicepunt71 zich aan de AVG houdt, de geheimhoudingsplicht van de HRM-medewerkers (tevens ambtenaren) en de onweersproken stelling van het college dat RAET B.V. een betrouwbare verwerker is, die werkt op grond van het ISAE 3402 (type 2) rapport, waarmee de veiligheid en vertrouwelijkheid van de persoonsgegevens kunnen worden geborgd. Hiermee lijkt de Afdeling te concluderen dat de kans dat de persoonsgegevens van appellant bij onbevoegden terechtkomen gering is.
Een interessant voorbeeld hoe om te gaan met rechten van betrokkenen. De uitspraak roept wel nog een paar vragen op, bijvoorbeeld over de gehanteerde grondslagen en de privacy rechtelijke rollen van partijen. Als uitgangspunt kan wel worden aangenomen dat een verwerkingsverantwoordelijke vrij is om een verwerker in te schakelen, mits aannemelijk is dat de ingeschakelde verwerker een betrouwbare partij is.