Niet reageren op een DSAR kan leiden tot hoge boetes

Inzageverzoeken van werknemers: altijd reageren, anders riskeert u een boete

De Italiaanse privacytoezichthouder heeft recent handhavend opgetreden tegen Autostrade per l’Italia en Amazon Italia. De bedrijven kregen respectievelijk boetes van €100.000 en €40.000 opgelegd vanwege het onjuist behandelen van inzageverzoeken van (voormalige) werknemers.

Artikel 15 AVG regelt het recht van betrokkenen op inzage. Het belang van dit recht wordt ook benadrukt in de EDPB-richtsnoeren 01/2022 over het recht op inzage, zoals bijgewerkt op 28 maart 2023.

Het inzagerecht stelt betrokkenen onder meer in staat om:

• te bevestigen of hun persoonsgegevens worden verwerkt;
• toegang te krijgen tot hun persoonsgegevens;
• informatie te ontvangen over de verwerking, waaronder:
  • de verwerkingsdoeleinden;
  • de categorieën persoonsgegevens;
  • de ontvangers van de gegevens;
  • de bewaartermijn.

De EDPB benadrukt dat het recht op inzage nauw samenhangt met andere bepalingen uit de AVG. Beperkingen mogen slechts worden toegepast wanneer daarvoor een specifieke grondslag bestaat, bijvoorbeeld op basis van artikel 15, lid 4, of artikel 12, lid 5, AVG. Deze bepalingen zijn onder meer bedoeld om de rechten en vrijheden van anderen te beschermen en om kennelijk ongegronde of buitensporige verzoeken te kunnen beperken.

Werknemers verzoeken om inzage in werkgerelateerde informatie: Autostrade per l’Italia

Autostrade kreeg klachten van 50 werknemers. Zij hadden verzocht om inzage in onder meer:

• hun personeelsdossiers;
• loonstroken;
• informatie over de verwerking van persoonsgegevens die werd gebruikt voor de berekening van hun salaris.

De werknemers ontvingen daarop geen reactie.

Autostrade voerde daarvoor onder meer de volgende argumenten aan:

• het bedrijf wilde zijn positie beschermen in verschillende juridische procedures waarbij de betrokken werknemers partij waren;
• de werknemers konden de informatie eenvoudig zelf opvragen via een onlineplatform;
• de werknemers waren via de privacyverklaring overeenkomstig artikel 13 AVG geïnformeerd over hun privacyrechten.

De Italiaanse toezichthouder accepteerde deze argumenten niet. Volgens de toezichthouder had Autostrade hoe dan ook moeten reageren op de inzageverzoeken en, wanneer toegang werd geweigerd, duidelijk moeten uitleggen waarom.

Het uitblijven van een reactie leidde uiteindelijk tot een boete van €100.000.

Voormalige werknemer vraagt inzage in personeelsdossier: Amazon Italia

Een voormalige werknemer van Amazon verzocht om een kopie van zijn personeelsdossier.

Amazon reageerde niet op het inzageverzoek, omdat het verzoek volgens het bedrijf te ruim en te algemeen was geformuleerd.

Pas nadat de Italiaanse toezichthouder om informatie had gevraagd en inmiddels ongeveer zes maanden waren verstreken, verstrekte Amazon alsnog een kopie van het personeelsdossier.

Volgens de Italiaanse toezichthouder had Amazon echter:

• binnen de wettelijke termijn van één maand moeten reageren;
• de voormalige werknemer moeten informeren wanneer aanvullende informatie nodig was om het verzoek te verduidelijken.

Met andere woorden: het feit dat een inzageverzoek breed of algemeen is geformuleerd, ontslaat een organisatie niet van de verplichting om erop te reageren.

Conclusie

In beide zaken reageerden de organisaties niet tijdig en niet adequaat op de inzageverzoeken. Daarmee schonden zij het recht op inzage van de betrokkenen.

Autostrade had moeten reageren, ook wanneer de gevraagde informatie via een andere weg toegankelijk was. Amazon had op zijn beurt tijdig moeten reageren en, indien nodig, om verduidelijking van het verzoek moeten vragen.

Door niet te reageren liepen beide organisaties boetes op van tienduizenden euro’s, terwijl deze in beginsel voorkomen hadden kunnen worden.

Deze handhavingsmaatregelen onderstrepen opnieuw het belang van het recht op inzage als middel waarmee betrokkenen controle kunnen uitoefenen over hun persoonsgegevens.

De Italiaanse toezichthouder benadrukt dat organisaties ook bij een weigering altijd een gemotiveerd antwoord moeten geven en betrokkenen moeten informeren over hun rechtsmiddelen. Ook een breed of algemeen geformuleerd inzageverzoek rechtvaardigt geen stilzwijgen of onnodige vertraging. In dat geval moet de organisatie tijdig contact opnemen om het verzoek waar nodig te verduidelijken.

Organisaties doen er daarom goed aan om het afhandelen van inzageverzoeken stevig te verankeren in hun privacybeleid en interne procedures. Een proactieve, tijdige en transparante aanpak is essentieel om aan de AVG te voldoen en de privacyrechten van betrokkenen te respecteren.

Wilt u ondersteuning bij het opstellen of actualiseren van uw DSAR-procedure? Neem dan gerust contact met ons op.