ECLI:NL:RVS:2021:154 text/xml public 2023-06-06T03:38:46 2021-01-27 Raad voor de Rechtspraak nl Raad van State 2021-01-27 202001651/1/A3 Uitspraak Hoger beroep NL Den Haag Bestuursrecht
Rechtspraak.nl JBP 2021/19
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RVS:2021:154 text/html public 2021-01-27T10:15:38 2021-01-27 Raad voor de Rechtspraak nl ECLI:NL:RVS:2021:154 Raad van State , 27-01-2021 / 202001651/1/A3
Bij besluit van 15 januari 2018 heeft het college van burgemeester en wethouders van Leiden het verzoek van [appellant] om verwijdering van de verslagen van zijn functionerings- en beoordelingsgesprekken uit het digitale personeelssysteem YouForce afgewezen. [appellant] is ambtenaar bij de gemeente Leiden en werkt in die hoedanigheid bij Museum De Lakenhal. Hij wil niet dat digitale persoonsgegevens over hem door de gemeente Leiden met derden worden gedeeld, omdat hij vreest dat hij zijn gegevens als gevolg daarvan niet meer zelf kan beheersen. De gemeente Leiden heeft haar personeelsadministratie uitbesteed aan de gemeenschappelijke regeling Servicepunt71. Servicepunt71 maakt gebruik van het personeelsadministratiesysteem YouForce dat wordt aangeboden door RAET B.V. en slaat in YouForce onder meer de verslagen van functioneringsgesprekken en beoordelingen op.
202001651/1/A3.
Datum uitspraak: 27 januari 2021
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend te [woonplaats],
tegen de uitspraak van de rechtbank Den Haag van 17 september 2019 in zaak nr. 19/244 in het geding tussen:
[appellant]
en
het college van burgemeester en wethouders van Leiden.
Procesverloop
Bij besluit van 15 januari 2018 heeft het college het verzoek van [appellant] om verwijdering van de verslagen van zijn functionerings- en beoordelingsgesprekken uit het digitale personeelssysteem YouForce afgewezen.
Bij besluit van 20 november 2018 heeft het college het door [appellant] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 17 september 2019 heeft de rechtbank het door [appellant] daartegen ingestelde beroep ongegrond verklaard. Deze uitspraak is aangehecht.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
Het college heeft een schriftelijke uiteenzetting gegeven.
De Afdeling heeft de zaak ter zitting behandeld op 2 december 2020, waar [appellant], bijgestaan door mr. P. Le Heux, advocaat te Amsterdam, en het college, vertegenwoordigd door mr. A.M. van de Laar, advocaat te Leiden, mr. R.G. Kroes en D. Brussee zijn verschenen.
Overwegingen
Inleiding
1. [appellant] is ambtenaar bij de gemeente Leiden en werkt in die hoedanigheid bij Museum De Lakenhal. Hij wil niet dat digitale persoonsgegevens over hem door de gemeente Leiden met derden worden gedeeld, omdat hij vreest dat hij zijn gegevens als gevolg daarvan niet meer zelf kan beheersen. De gemeente Leiden heeft haar personeelsadministratie uitbesteed aan de gemeenschappelijke regeling Servicepunt71. Servicepunt71 maakt gebruik van het personeelsadministratiesysteem YouForce dat wordt aangeboden door RAET B.V. en slaat in YouForce onder meer de verslagen van functioneringsgesprekken en beoordelingen op. In het besluit van 15 januari 2018 heeft het college het verzoek van [appellant] om verwijdering van de verslagen van zijn functioneringsgesprekken en beoordelingen uit YouForce afgewezen. Dit besluit is bij besluit van 20 november 2018 in stand gelaten.
In de aangevallen uitspraak heeft de rechtbank overwogen dat de besluitvorming van het college alleen betrekking heeft op het verzoek van [appellant] om verwijdering van gegevens omtrent zijn functioneringsgesprekken en beoordelingen en de in bezwaar daarop gemaakte aanvulling dat hij zich met name verzet tegen het opnemen in YouForce van verzuimgegevens en functioneringsgegevens, waarin gegevens over zijn gezondheidstoestand zijn verwerkt. Dit betekent volgens de rechtbank dat het geding niet gaat over de vraag of [appellant] is geïnformeerd over welke persoonsgegevens met welke partijen worden gedeeld en evenmin over het inzagerecht van [appellant]. Daarbij komt volgens de rechtbank dat [appellant] zelf in YouForce kan zien welke gegevens van hem in het digitale personeelsdossier zijn verwerkt. De rechtbank heeft daarnaast overwogen dat de Algemene Verordening Gegevensbescherming (hierna: de AVG) er niet aan in de weg staat dat verwerking van functionerings- en beoordelingsgesprekken plaatsvindt en dat het verwerken van verslagen van deze gesprekken rechtmatig is. De rechtbank overweegt dat het college dwingende, gerechtvaardigde gronden heeft aangevoerd voor de gegevensverwerking die zwaarder wegen dan de belangen van [appellant]. Ten slotte is volgens de rechtbank niet gebleken dat gegevens van [appellant] door medewerkers van het bedrijf Mindtree in India worden verwerkt.
Wettelijk kader
2. De relevante regelgeving is opgenomen in de bijlage die deel uitmaakt van deze uitspraak.
De omvang van het verzoek
3. [appellant] betoogt dat de rechtbank niet heeft onderkend dat het verzoek mede had moeten worden aangemerkt als een verzoek om inzage zoals bedoeld in artikel 15, eerste lid, van de AVG. Volgens hem is in zijn bezwaarschrift duidelijk gemaakt dat de in het bezwaardossier beschikbare stukken het niet mogelijk maakten om te controleren of de gegevensverwerking rechtmatig is. Daarnaast is de wens geuit dat het dossier in goed overleg zou kunnen worden aangevuld met stukken die hem inzicht zouden geven in welke persoonsgegevens worden verwerkt en op welke wijze deze verwerking plaatsvindt. Ook tijdens de hoorzitting in bezwaar is aangegeven dat [appellant] inzicht wenst in de verwerking van zijn gegevens.
3.1. De rechtbank heeft terecht overwogen dat het verzoek van [appellant] alleen betrekking heeft op de verwijdering van zijn functionerings- en beoordelingsverslagen en op het verwijderen en stopzetten van het opnemen van functionerings- en verzuimgegevens in YouForce. [appellant] heeft op 21 november 2017 zijn leidinggevende verzocht om er voor zorg te dragen dat gegevens over zijn functionerings- en beoordelingsgesprekken zijn. In een e-mailbericht van 28 november 2017 heeft [appellant] aangegeven dat hij al bijna vijf jaar probeert zijn gegevens online te laten verwijderen. Hij geeft aan: "Ik heb het recht om vergeten te worden, en mijn functionering en beoordelingsgesprekken vallen daar zeker onder. De gemeente Leiden krijgt van mij niet het recht om deze online bereikbaar te maken." De rechtbank heeft terecht vastgesteld dat het verzoek van [appellant] gelet hierop alleen is gericht op verwijdering van de verslagen van zijn functionerings- en beoordelingsgesprekken. De rechtbank heeft eveneens terecht overwogen dat het verzoek in bezwaar is uitgebreid tot het opnemen in YouForce van verzuimgegevens en functioneringsgegevens, waarin gegevens over zijn gezondheidstoestand zijn verwerkt. Gelet op deze verzoeken is in het besluit van 15 januari 2018 noch het besluit op bezwaar van 20 november 2018 beslist op een inzageverzoek als bedoeld in artikel 15, eerste lid, van de AVG.
In de omstandigheid dat [appellant] in bezwaar heeft gevraagd om completering van het dossier en heeft aangegeven inzicht in de verwerking van zijn gegevens te wensen, heeft de rechtbank terecht geen aanleiding gevonden voor het oordeel dat ook een inzageverzoek als bedoeld in artikel 15, eerste lid, van de AVG is gedaan waarop het college ten onrechte niet heeft beslist. [appellant] heeft in bezwaar aangegeven dat hij inzicht wenst in welke gegevens van hem worden verwerkt en het college heeft hem vervolgens gewezen op de mogelijkheid om zijn eigen digitale personeelsdossier in te zien. De rechtbank heeft terecht overwogen dat het college hiermee voldoende tegemoet is gekomen aan de wens van [appellant] om inzicht in de van hem verwerkte gegevens. Het college heeft deze wens niet hoeven te duiden als een verzoek om inzage als bedoeld in artikel 15, eerste lid, van de AVG.
Het betoog faalt.
De verwerking van de persoonsgegevens van [appellant]
4. [appellant] betoogt dat de rechtbank ten onrechte heeft overwogen dat het college een gerechtvaardigd belang heeft bij verwerking van verslagen van functionerings- en beoordelingsgesprekken door Servicepunt71 en RAET B.V. in een digitaal dossier. Hij voert aan dat er geen wettelijke grondslag is voor het door deze partijen verwerken van de gegevens over zijn gezondheid die voorkomen in functionerings- en beoordelingsverslagen. Bovendien is niet zorgvuldig afgewogen welke gegevens verwerkt mogen worden en heeft de rechtbank zijn verzoek om wissing althans zijn bezwaar tegen de verwerking ten onrechte afgewezen, aldus [appellant].
4.1. Ter zitting van de Afdeling is vastgesteld dat [appellant] geen bezwaar heeft tegen het opstellen van verslagen van functioneringsgesprekken en beoordelingen door het college. Hij verzet zich er ook niet tegen dat deze verslagen digitaal worden bewaard mits dat binnen de gemeente plaatsvindt, bijvoorbeeld op de computer van zijn leidinggevende. [appellant] wil echter niet dat de verslagen worden bewaard door derden, zoals in dit geval door Servicepunt71 en RAET B.V. De Afdeling zal alleen die verwerking bij haar beoordeling betrekken.
[appellant] heeft verder niet duidelijk gemaakt waarom voor de verwerking van de gegevens over zijn gezondheid als zodanig geen grondslag kan worden gevonden in verplichtingen op het gebied van het arbeidsrecht overeenkomstig artikel 9, tweede lid, onder b, van de AVG. De Afdeling gaat op dit onderdeel van zijn betoog daarom niet in.
4.2. Ingevolge artikel 21, eerste lid, heeft [appellant] het recht om bezwaar te maken tegen de verwerking van zijn persoonsgegevens als deze plaats vindt op basis van artikel 6, eerste lid, onder e of f, van de AVG. Ter zitting is onduidelijk gebleven op welke grondslag de verwerking volgens partijen plaats vindt. Omdat naar het oordeel van de Afdeling het verwerken van de persoonsgegevens van [appellant] door Servicepunt71 en RAET B.V. hoe dan ook kan worden begrepen onder één van deze leden van artikel 6 van de AVG zal de Afdeling op grond van artikel 21, eerste lid, van de AVG beoordelen of er dwingende gerechtvaardigde gronden zijn voor de verwerking die zwaarder wegen dan de belangen, rechten en vrijheden van [appellant]. Wanneer dergelijke dwingende gerechtvaardigde gronden niet aanwezig zijn of wanneer de belangen, rechten en vrijheden van [appellant] zwaarder wegen dan het belang van het college bij de verwerking van de persoonsgegevens door Servicepunt71 en RAET B.V., dient het college de verwerking van de persoonsgegevens ingevolge artikel 21 te staken en de persoonsgegevens ingevolge artikel 17, eerste lid, aanhef en onder c, zonder onredelijke vertraging te wissen, dit laatste tenzij zich een uitzonderingsgrond als bedoeld in artikel 17, derde lid, van de AVG voordoet.
4.3. In het advies van de bezwaarschriftencommissie dat ten grondslag ligt aan het besluit op bezwaar is opgenomen dat het college niet meer is toegerust om de op haar rustende HRM-taken zelfstandig te vervullen. Met drie andere gemeenten is daarom onder meer ter bevordering van de kwaliteit van de werkprocessen en een efficiënter inzet van beschikbare arbeidskracht samenwerking gezocht, die vorm heeft gekregen binnen de Gemeenschappelijke regeling Servicepunt71. Aan deze gemeenschappelijke regeling hebben de vier gemeenten sturing en ondersteuning van hun ondersteunende en uitvoeringstaken op HRM-gebied opgedragen. Dit bracht de noodzaak mee de personeelsdossiers onder te brengen bij deze gemeenschappelijke regeling. Op initiatief van Servicepunt71 maakt de gemeente Leiden gebruik van een elektronisch HRM-systeem, YouForce. Voor dit systeem is gekozen omdat het verschillende voordelen heeft, zoals de mogelijkheid dat medewerkers zelf inzage krijgen in de over hen opgeslagen persoonsgegevens. Een ander voordeel van het elektronische systeem is dat het hiertoe gemachtigde HRM-medewerkers op een eenvoudige wijze in staat stelt de gesprekscyclus bij te houden en de mogelijkheid biedt aan de hand van opgeslagen gespreksverslagen het functioneren te monitoren en optimaliseren. Deze wijze van verwerking voorkomt bovendien dat leidinggevenden eigen schaduwdossiers aanhouden en dat dossiers gaan zwerven. Ook de bewaartermijn kan elektronisch eenvoudig worden beheerd. Mede gelet op het aantal medewerkers waarvan personeelsdossiers moeten worden bijgehouden (voor de gemeente Leiden 1300) is de Afdeling van oordeel dat er dwingende gerechtvaardigde gronden als bedoeld in artikel 21, eerste lid, van de AVG zijn voor de elektronische opslag van gegevens bij Servicepunt71.
Tegenover het gerechtvaardigde belang van het college staat het door van [appellant] gestelde belang, dat er kort gezegd op neerkomt dat geen gegevens van hem buiten de organisatie van de gemeente zelf worden bewaard en bij onbevoegden terecht komen. De Afdeling is van oordeel dat het belang van het college zwaarder weegt dan het belang van [appellant]. Hiertoe is van belang dat de dienstverleningsovereenkomst 2018-2020 voorschriften bevat om te waarborgen dat Servicepunt71 zich aan de AVG houdt, dat de HRM-medewerkers die met de verwerking zijn belast als ambtenaren werkzaam zijn bij Servicepunt71 en een geheimhoudingsplicht hebben en dat het college onweersproken heeft gesteld dat RAET B.V. een betrouwbare verwerker is, die werkt op grond van het ISAE 3402, type 2 rapport, waarmee de veiligheid en vertrouwelijkheid van gegevens kunnen worden geborgd.
Het voorgaande leidt tot de gevolgtrekking dat de rechtbank terecht heeft geconcludeerd dat artikel 21, eerste lid , van de AVG het college niet verplichtte om de gegevensverwerking door Servicepunt71 en RAET B.V. te staken. Het college was daarom ook niet verplicht de gegevens te wissen als bedoeld in artikel 17, eerste lid, aanhef en onder c, van de AVG. Aan het derde lid van artikel 17 van de AVG wordt dus niet toegekomen.
Het betoog faalt.
Verwerkt Mindtree persoonsgegevens?
5. [appellant] betoogt tevergeefs dat de rechtbank niet heeft onderkend dat zijn persoonsgegevens kunnen worden geraadpleegd door medewerkers van het bedrijf Mindtree in India en dat de rechtbank ten onrechte niet heeft beoordeeld of deze verwerking van zijn persoonsgegevens rechtmatig is. Het college heeft in zijn schriftelijke uiteenzetting toegelicht dat het bedrijf Mindtree door RAET B.V. wordt ingeschakeld voor monitoring en technische beheerwerkzaamheden, waaronder het monitoren van schijfcapaciteit, backup-processen en de beschikbaarheid van systemen. Er worden geen persoonsgegevens van medewerkers van de gemeente Leiden in het algemeen of persoonsgegevens van [appellant] in het bijzonder verwerkt door het bedrijf Mindtree, aldus het college. Gelet op deze toelichting die door [appellant] niet is weersproken, heeft de rechtbank terecht geen aanleiding gezien voor een beoordeling van de rechtmatigheid van de verwerking van persoonsgegevens door Mindtree.
Nieuwe beroepsgrond in hoger beroep
6. [appellant] betoogt voor het eerst in hoger beroep dat loonstroken met daarop bijzondere persoonsgegevens door RAET B.V. naar PostNL worden gestuurd en daar worden geprint, zodat ook door PostNL persoonsgegevens worden verwerkt. Aangezien het hoger beroep is gericht tegen de uitspraak van de rechtbank en er geen reden is waarom dit betoog niet reeds bij de rechtbank kon worden aangevoerd, en [appellant] dit uit een oogpunt van zorgvuldig en doelmatig gebruik van rechtsmiddelen had behoren te doen, dient dit betoog buiten beschouwing te blijven.
Conclusie
7. Het hoger beroep is ongegrond. De aangevallen uitspraak dient te worden bevestigd.
8. Voor een proceskostenveroordeling bestaat geen aanleiding.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
bevestigt de aangevallen uitspraak.
Aldus vastgesteld door mr. C.J. Borman, voorzitter, en mr. H.G. Sevenster en mr. J.M.L. Niederer, leden, in tegenwoordigheid van mr. M. Duifhuizen, griffier.
De voorzitter is verhinderd de uitspraak te ondertekenen.
De griffier is verhinderd de uitspraak te ondertekenen.
Uitgesproken in het openbaar op 27 januari 2021
724.
BIJLAGE
Algemene Verordening Gegevensbescherming
Artikel 6
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
a) […]
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) […].
Artikel 15
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:
a) de verwerkingsdoeleinden;
b) de betrokken categorieën van persoonsgegevens;
c) de ontvangers of categorieën van ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt, met name ontvangers in derde landen of internationale organisaties;
d) indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria om die termijn te bepalen;
e) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken dat persoonsgegevens worden gerectificeerd of gewist, of dat de verwerking van hem betreffende persoonsgegevens wordt beperkt, alsmede het recht tegen die verwerking bezwaar te maken;
f) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit;
g) wanneer de persoonsgegevens niet bij de betrokkene worden verzameld, alle beschikbare informatie over de bron van die gegevens;
h) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene.
2. […].
Artikel 17
1. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
a) de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
d) de persoonsgegevens zijn onrechtmatig verwerkt;
e) de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
f) de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
2. […]
3. De leden 1 en 2 zijn niet van toepassing voor zover verwerking nodig is:
a) […]
b) voor het nakomen van een in een het Unierecht of het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust, of voor het vervullen van een taak van algemeen belang of het uitoefenen van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend;
c. […].
Artikel 21
1. De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
2. […].