Het Hof van Justitie oordeelt over de omvang van het recht van inzage

In het arrest van 22 juni 2023 heeft het Hof van Justitie benadrukt dat het recht van inzage niet zo ver gaat dat informatie over de identiteit van andere werknemers zomaar mag worden verstrekt. Dit kan volgens het Hof enkel als die informatie onontbeerlijk is om de aanvrager in staat te stellen het recht op inzage daadwerkelijk uit te oefenen en mits rekening wordt gehouden met de rechten en vrijheden van de andere werknemers.

1. De feiten

Een ex-werknemer van een bank (die daar tevens klant was), heeft kennis gekregen van het feit dat medewerkers van de bank gedurende een periode van 2 maanden zijn klantgegevens herhaaldelijk hadden geraadpleegd.

Na de inwerkingtreding van de Algemene Verordening Gegevensbescherming (hierna: “AVG”), had de ex-werknemer twijfels over de rechtmatigheid van de gedane raadplegingen door de bank. Hij verzocht de bank om hem te informeren over de identiteit van de personen die zijn klantgegevens hadden geraadpleegd, de exacte datums van de raadplegingen en de verwerkingsdoeleinden van deze persoonsgegevens. In haar antwoord had de bank geweigerd om de identiteit van de werknemers, die de persoonsgegevens hadden geraadpleegd, bekend te maken op grond van het feit dat deze informatie persoonsgegevens van deze werknemers uitmaakten. De bank had echter wel meegedeeld dat zij de opdracht had gegeven aan de interne auditdienst om zijn persoonsgegevens te raadplegen in het kader van een onderzoek naar een mogelijks ongeoorloofd belangenconflict.

De ex-werknemer was het niet eens met het antwoord van de bank en verzocht de Finse gegevensbeschermingsautoriteit om de bank te gelasten hem informatie te verstrekken over de raadplegingen van persoonsgegevens. De Finse gegevensbeschermingsautoriteit heeft het verzoek van de ex-werknemer afgewezen, aangezien dit verzoek neerkwam op de toegang tot de logbestanden van de medewerkers van de bank en dit bijgevolg de persoonsgegevens van de werknemers betroffen.

De ex-werknemer kon zich niet vinden in de beslissing van de Finse gegevensbeschermingsautoriteit en maakte de zaak aanhangig bij de Oost-Finse Bestuursrechter. Alvorens te oordelen over deze zaak, heeft de rechter enkele prejudiciële vragen gesteld aan het Hof van Justitie omtrent de omvang van het recht op inzage overeenkomstig artikel 15 van de AVG.

2. Het arrest

Eerst en vooral heeft het Hof bevestigd dat het niet uitmaakt dat de feiten zouden dateren van vóór de inwerkingtreding van de AVG. Het Hof oordeelt dan ook dat het artikel 15 van de AVG van toepassing is op een verzoek tot inzage, zoals degene van de ex-werknemer, wanneer het verzoek na de datum van de inwerkingtreding van de AVG werd ingediend.

Daarna geeft het Hof een antwoord op de vraag of het recht van inzage van de ex-werknemer overeenkomstig artikel 15 AVG zo ruim geïnterpreteerd moet worden dat deze het recht heeft informatie te krijgen over de raadplegingen van zijn persoonsgegevens, de data van deze raadplegingen, de doeleinden ervan en de identiteit van de personen die deze raadplegingen hebben verricht. Het Hof houdt rekening met het feit dat het verstrekken van deze informatie volgens de Finse rechter kon gedaan worden door de overdracht van de logbestanden.

Het Hof erkent dat een kopie van de logbestanden noodzakelijk kan blijken om te voldoen aan de verplichting om:

• aan de ex-werknemer inzage te verlenen in alle in artikel 15 van de AVG genoemde informatie;
• een behoorlijke en transparante verwerking te waarborgen.

Deze bestanden bevatten echter niet alleen informatie over het feit dat er een verwerking heeft plaatsgevonden, de frequentie en de intensiteit ervan, maar ook de identiteit van de personen die de verwerking hebben gedaan.

Artikel 15 lid 1, c) bepaalt dat de betrokkene weliswaar het recht heeft op informatie met betrekking tot de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt. Werknemers van de verwerkingsverantwoordelijke kunnen echter niet worden beschouwd als „ontvangers” in de zin van artikel 15, lid 1, onder c), AVG, wanneer zij persoonsgegevens verwerken onder het gezag van die verwerkingsverantwoordelijke en overeenkomstig zijn instructies. Bijgevolg heeft de werknemer aldus op basis van artikel 15, lid 1, c) geen recht op informatie over de identiteit van de werknemers.

Aangezien aan de hand van de informatie in de logbestanden de werknemers worden geïdentificeerd die de raadplegingen hebben gedaan, betreft deze informatie de persoonsgegevens van deze werknemers. Hoewel het verstrekken van informatie aan de ex-werknemer over de identiteit van de werknemer noodzakelijk kan zijn om na te gaan dat de verwerking rechtmatig was, mag dit geen afbreuk doen aan de rechten of vrijheden van anderen. De afweging tussen de uitoefening van het recht op inzage en de rechten en vrijheden van anderen mag er wel niet toe leiden dat de betrokkene alle informatie wordt onthouden.

Het Hof besluit aldus dat het recht op inzage in artikel 15 AVG moet worden uitgelegd dat de ex-werknemer recht heeft op informatie met betrekking tot de raadplegingen van zijn persoonsgegevens, over de datums en de doeleinden van deze raadplegingen. De ex-werknemer heeft daarentegen geen recht op de informatie over de identiteit van de werknemers van de bank in haar hoedanigheid van verwerkingsverantwoordelijke die onder haar gezag en overeenkomstig haar instructies deze raadplegingen hebben verricht, tenzij die informatie onontbeerlijk is om hem in staat te stellen de hem bij de AVG verleende rechten daadwerkelijk uit te oefenen en mits rekening wordt gehouden met de rechten en vrijheden van die werknemers.

Tot slot oordeelt het Hof dat het loutere feit dat de verwerkingsverantwoordelijke een bankactiviteit uitoefent en dat de persoon van wie de persoonsgegevens zijn verwerkt zowel (ex-) werknemer als klant was bij deze verwerkingsverantwoordelijke geen invloed heeft op de omvang van het recht op inzage op basis van artikel 15 van de AVG.

3. Beslissing van de Geschillenkamer n°89/2023

Ook de Geschillenkamer van onze Belgische Gegevensbeschermingsautoriteit heeft zich recent dienen uit te spreken in een gelijkaardige

In casu werd het nationaal rijksregister van 3 personen tot 15 keer geraadpleegd door een publieke overheid. Deze personen hebben inzage gevraagd tot de identiteit van de persoon die het rijkregister namens de publieke overheid heeft geconsulteerd en naar het doeleinde voor deze raadplegingen. Zij vermoedden immers dat de raadplegingen in het kader van privédoeleinden zouden hebben plaatsgevonden. De publieke overheid heeft echter geweigerd om in te gaan op het verzoek om de identiteit van de werknemer kenbaar te maken omwille van de bescherming van de persoonsgegevens van deze werknemer.

In haar beslissing verwijst de Geschillenkamer naar het voormeld arrest van het Hof van Justitie, waaruit volgens haar blijkt dat een betrokkene niet zomaar recht heeft op inzage tot de identiteit van de werknemers die persoonsgegevens hebben geraadpleegd.

Er dient nagegaan te worden of de werknemer de persoonsgegevens van de betrokkene heeft verwerkt onder gezag en volgens de instructies van zijn werkgever. Deze vraag houdt aldus verband met het doeleinde van de verwerking.

Wanneer een werknemer de persoonsgegevens van de betrokkene onder het gezag en volgens de instructies van zijn werkgever heeft verwerkt, heeft de betrokkene niet zonder meer recht op inzage tot de identiteit van de werknemer. De werkgever blijft verwerkingsverantwoordelijke en de relevante informatie dient aan de betrokkene te worden bezorgd die toelaat over de rechtmatigheid van de verwerking te oordelen. Wanneer deze informatie onvoldoende zou blijken, kan de betrokkene zich richten tot de gegevensbeschermingsautoriteit die de nodige controle kan doen.

De betrokkene dient wel recht op inzage tot de identiteit van deze werknemers te krijgen, indien deze werknemers niet onder het gezag en op instructie van hun werkgever de persoonsgegevens hebben verwerkt, maar voor eigen doeleinden. Desgevallend is immers de werkgever niet de verwerkingsverantwoordelijke, maar de werknemer zelf.

De identiteit van de werknemer die in overeenstemming met de instructies van de werkgever handelt, geniet aldus een hogere bescherming dan die van een werknemer die dit niet doet.

Het bovenstaande leidt er echter niet toe dat de rechten en vrijheden van de werknemer, die handelt onder gezag en volgens de instructies van zijn werkgever, voorrang zouden hebben op het recht op inzage van de betrokkene. Volgens de Geschillenkamer dient er nog steeds een belangenafweging te gebeuren tussen de rechten en vrijheden van de betrokkene en deze van de werknemers.

Alvorens het verzoek tot inzage af te wijzen, diende de publieke overheid volgens de Geschillenkamer:

• na te gaan of de werknemer al dan niet de persoonsgegevens van de betrokkene had geraadpleegd onder haar gezag en volgens haar instructies (finaliteit van de verwerking);
• desgevallend, een belangenafweging tussen de rechten en vrijheden van de betrokkene en de werknemer te maken.

Door dit niet te doen, heeft zij een inbreuk begaan op de bepalingen van de AVG. De Geschillenkamer biedt aan de publieke overheid de mogelijkheid om zich in regel te stellen door de bovenvermelde denkoefening alsnog te maken. Het betreft aldus nog geen beslissing ten gronde van de Geschillenkamer.

Aandachtspunt

Wanneer een betrokkene zich beroept op zijn recht op inzage, blijft het essentieel om de rechten en vrijheden van de andere werknemers te waarborgen. Enkel wanneer die informatie onontbeerlijk is om de betrokkene in staat te stellen zijn rechten overeenkomstig de AVG daadwerkelijk uit te oefenen en er rekening wordt gehouden met de rechten en vrijheden van die werknemers, kan de betrokkene recht hebben op informatie over de identiteit van andere werknemers, die onder het gezag en de instructies van de werkgever persoonsgegevens van de betrokkene hebben verwerkt. Van de werkgever wordt dus een ware balanceeroefening tussen de rechten en vrijheden van de betrokkene en deze van de andere werknemers verwacht.