Hoe zit het me de verwerkers van de personeelsadministratie?

Een verwerkingsverantwoordelijke is veelal vrij om verwerkers in te schakelen, mits het aantoonbaar is dat deze verwerkers en ook haar eventuele sub-verwerkers voldoende betrouwbaar zijn. Onderstaande uitspraak van de Afdeling Bestuursrechtspraak, rondom de toepassing van de AVG, heeft betrekking op het opslaan van persoonsgegevens in een personeelsadministratie die is uitbesteed.

Personeelsadministratie uitbesteed

Een ambtenaar van de gemeente Leiden wil niet dat er digitale persoonsgegevens van hem door de gemeente Leiden met derden worden gedeeld. Hij vreest ervoor dat hij zijn gegevens daardoor niet meer zelf kan beheersen. De gemeente Leiden heeft haar personeelsadministratie uitbesteed aan de gemeenschappelijke regeling. Deze gemeenschappelijke regeling maakt op haar beurt gebruik van het personeelsadministratiesysteem.

Verwijdering wordt afgewezen

Het college van burgemeester en wethouders van Leiden heeft het verzoek om verwijdering van de verslagen van zijn functionerings- en beoordelingsgesprekken uit het personeelsadministratiesysteem afgewezen. De ambtenaar gaat in beroep. De rechtbank verklaart het ingestelde beroep ongegrond. De ambtenaar gaat in hoger beroep bij de Afdeling Bestuursrechtspraak.

Persoonsgegevens opslaan bij verwerkers

Op de zitting van de Afdeling Bestuursrechtspraak (de Afdeling) is duidelijk geworden dat de ambtenaar geen bezwaar heeft tegen het opstellen van verslagen van functioneringsgesprekken en beoordelingen door het college. Hij verzet zich er ook niet tegen dat deze verslagen digitaal worden bewaard mits dat binnen de gemeente plaatsvindt. De ambtenaar wil niet dat de verslagen worden bewaard door derden (verwerkers). In dit geval door de gemeenschappelijke regeling en de leverancier van het personeelsadministratiesysteem.

Grondslag voor de verwerking

Het is op de zitting onduidelijk gebleven op welke grondslag de verwerking volgens partijen plaats vindt. De Afdeling stelt dat het verwerken van de persoonsgegevens door de gemeenschappelijke regeling en de leverancier van het personeelsadministratiesysteem kan worden begrepen onder één van deze leden van artikel 6 van de AVG. De ambtenaar heeft op basis van art. 21 lid 1 AVG het recht om bezwaar te maken tegen de verwerking van persoonsgegevens als deze plaats vindt op basis van art. 6 lid 1 AVG onder e of f. De Afdeling heeft op grond van art. 21 lid 1 AVG beoordeeld of er dwingende gerechtvaardigde gronden zijn voor de verwerking die zwaarder wegen dan de belangen, rechten en vrijheden van de ambtenaar.

Waarborgen voor verwerking personeelsadministratie

De Afdeling is, kort gezegd, van oordeel dat het belang van het college zwaarder weegt dan het belang van de ambtenaar. De Afdeling merkt hierbij verder op dat de dienstverleningsovereenkomst 2018-2020 voorschriften bevat om te waarborgen dat de gemeenschappelijke regeling zich aan de AVG houdt, dat de HRM-medewerkers die met de verwerking zijn belast als ambtenaren werkzaam zijn bij de gemeenschappelijke regeling en een geheimhoudingsplicht hebben. Tevens is vastgesteld dat de leverancier van het personeelsadministratiesysteem een betrouwbare verwerker is en dat de veiligheid en vertrouwelijkheid van gegevens in de personeelsadministratie kunnen worden geborgd.

Subverwerking van persoonsgegevens

De ambtenaar draagt verder aan dat de rechtbank niet heeft onderkend dat zijn persoonsgegevens (onrechtmatig?) kunnen worden geraadpleegd door medewerkers van een Cloudbased dienstverlener in India. Het college heeft toegelicht dat dit bedrijf door de leverancier van het personeelsadministratiesysteem wordt ingezet voor monitoring en technische beheerwerkzaamheden, waaronder het monitoren van schijfcapaciteit, backup-processen en de beschikbaarheid van systemen. Er worden geen persoonsgegevens van medewerkers van de gemeente verwerkt door dat bedrijf. Deze toelichting wordt door de ambtenaar niet weersproken. Hierdoor heeft de rechtbank terecht geen aanleiding gezien voor een beoordeling van de rechtmatigheid van de verwerking van persoonsgegevens door dit bedrijf, zo oordeelt de Afdeling.

De verwerkingsverantwoordelijke kiest zijn verwerkers

In deze uitspraak komt goed tot uitdrukking dat een verwerkingsverantwoordelijke vrij is om verwerkers in te schakelen voor haar personeelsadministratie, mits aantoonbaar is dat deze verwerkers en ook haar eventuele sub-verwerkers voldoende betrouwbaar zijn.

Naar mijn idee had de belangenafweging van de Afdeling trouwens achterwege kunnen blijven. Als er was gekozen voor de grondslag van “uitvoering van een overeenkomst” (art. 6 lid 1 AVG, onder b) was er geen grond geweest om bezwaar te maken tegen de verwerking van de persoonsgegevens (art. 21 lid 1 AVG).