Artikel 15 AVG op de werkvloer: een correctiemechanisme tegen informatie-asymmetrie

Als ik voor iedere werknemer die na een ontslag op staande voet een inzageverzoek op grond van artikel 15 AVG indient één euro zou krijgen, had ik mijn praktijk waarschijnlijk al kunnen sluiten.

Het patroon is herkenbaar. Er ontstaat een arbeidsconflict, de werknemer wordt ontslagen – soms op staande voet – en niet veel later ligt er een inzageverzoek. En dan gaat het zelden alleen om het personeelsdossier. Gevraagd wordt om interne e-mails, correspondentie tussen HR en leidinggevenden, berichten van collega's, gespreksnotities, waarschuwingen, beoordelingen en eigenlijk alles wat mogelijk verband houdt met het ontslag. Artikel 15 AVG wordt dan al snel een soort werphengel naar informatie die in een arbeidsrechtelijke procedure van pas kan komen.

Vanuit werkgeversperspectief kan dat behoorlijk frustrerend zijn. Er moet worden gezocht, geselecteerd, beoordeeld en gelakt. Mailboxen moeten worden doorlopen. De belangen van collega's moeten worden beschermd. En dat allemaal terwijl er mogelijk tegelijkertijd een procedure over het ontslag loopt. Toch zou het te gemakkelijk zijn om het inzagerecht daarom vooral als een hinderlijk procesrechtelijk instrument te zien.

Want eigenlijk is artikel 15 AVG een heel mooi recht. Het is een correctiemechanisme tegen informatie-asymmetrie. En juist in arbeidsverhoudingen is daar principieel veel voor te zeggen.

1. Eerst was er het recht op een persoonlijke levenssfeer

Om te begrijpen waarom het inzagerecht bestaat, moeten we niet beginnen bij artikel 15 AVG. We moeten beginnen bij het grondrecht waaruit het is voortgekomen. In Nederland is het recht op eerbiediging van de persoonlijke levenssfeer neergelegd in artikel 10 Grondwet. Interessant is vooral het derde lid. De Grondwet verlangt dat de wet regels stelt over het recht van personen op kennisneming van gegevens die over hen zijn vastgelegd en over het gebruik dat daarvan wordt gemaakt. De gedachte achter het inzagerecht is dus constitutioneel al goed herkenbaar: wie niet weet welke informatie over hem wordt vastgelegd en gebruikt, kan daarop ook nauwelijks controle uitoefenen.

Op Europees niveau vinden we het bredere recht op bescherming van het privéleven en de correspondentie in artikel 8 EVRM en artikel 7 van het EU-Handvest. Maar het Europese recht heeft vervolgens een belangrijke volgende stap gezet. In artikel 8 EU-Handvest is gegevensbescherming als zelfstandig grondrecht erkend. En in artikel 8 lid 2 staat het recht op toegang tot de over iemand verzamelde gegevens zelfs expliciet vermeld. Inzage is dus veel meer dan een administratieve verplichting uit de AVG. Het raakt aan een zelfstandig grondrecht.

2. En dat grondrecht houdt niet op bij de deur van de werkgever

Dat wordt interessant zodra we naar de arbeidsverhouding kijken. Een werknemer bevindt zich een aanzienlijk deel van zijn tijd in een omgeving die door een ander wordt georganiseerd. De werkgever bepaalt de systemen, verstrekt accounts en apparatuur, organiseert de werkzaamheden en mag binnen bepaalde grenzen toezicht houden op de uitvoering daarvan. Maar door een arbeidsovereenkomst te sluiten, levert een werknemer zijn persoonlijke levenssfeer niet in. Een prachtig arrest om dat te illustreren is de ‘moeder aller privacy op de werkvloer’ arresten: Bărbulescu t. Roemenië van de Grote Kamer van het EHRM uit 2017.

De zaak ging over een werknemer van wie de werkgever elektronische communicatie had gemonitord. Daarbij was ook kennisgenomen van privécommunicatie. Het EHRM maakte duidelijk dat communicatie op de werkvloer onder de begrippen private life en correspondence van artikel 8 EVRM kan vallen. Het Hof formuleerde bovendien een belangrijk uitgangspunt: interne regels van een werkgever kunnen het privéleven op de werkvloer niet tot nul reduceren. Ook tijdens het werk blijft een zekere bescherming van privéleven en correspondentie bestaan.

Dat betekent niet dat een werkgever nooit mag controleren of monitoren. Wel moeten daarvoor voldoende rechtvaardiging en waarborgen bestaan en moet rekening worden gehouden met onder meer de voorafgaande informatie aan de werknemer, de aard en omvang van de monitoring, de redenen daarvoor, minder ingrijpende alternatieven en de gevolgen voor de werknemer.

Bărbulescu gaat niet over artikel 15 AVG. Maar het arrest legt wel iets bloot wat voor het inzagerecht fundamenteel is.

3. De werkgever heeft een informationele voorsprong

Een arbeidsrelatie is namelijk óók een informationele machtsverhouding. Een werkgever kan informatie over een werknemer verzamelen, registreren, combineren en beoordelen. Denk aan functioneringsbeoordelingen, waarschuwingen, e-mails, toegangsregistraties, verklaringen van collega's, gespreksnotities, klachten, IT-logs, verzuimgegevens en disciplinaire dossiers.

Daarmee kan binnen een organisatie een compleet beeld van een werknemer ontstaan. Alleen: de werknemer ziet dat beeld meestal niet. Hij weet wat hij zelf heeft gezegd en gedaan. Maar hij weet niet noodzakelijk wat zijn leidinggevende daarover heeft vastgelegd. Hij weet niet welke kwalificaties HR daaraan heeft gegeven. Hij kent niet alle interne e-mails. En hij weet niet altijd welke informatie uiteindelijk wordt gebruikt om een beslissing over hem te nemen. Dat kan een beslissing zijn over promotie of salaris. Maar ook over een waarschuwing, verbetertraject, schorsing of ontslag.

Daar zit de informatie-asymmetrie. En precies daar krijgt het inzagerecht zijn betekenis.

4. Het inzagerecht is daarom een wenselijk recht

In de praktijk wordt over artikel 15 AVG nogal eens gesproken alsof het vooral een complianceverplichting is. Maar draai het perspectief eens om.

Stel dat een organisatie ingrijpende beslissingen over mensen mag nemen op basis van informatie die zij zelf verzamelt, zonder dat die mensen ooit kunnen achterhalen welke persoonsgegevens over hen zijn vastgelegd. Dan ontstaat een black box.

Juist daarom is inzage niet alleen juridisch verklaarbaar, maar ook wenselijk.

Wie door een organisatie wordt beoordeeld op basis van informatie over zijn gedrag of functioneren, moet in beginsel kunnen controleren welke persoonsgegevens over hem worden verwerkt.

Niet omdat hij recht heeft op iedere interne gedachte. Niet omdat iedere mailbox moet worden opengetrokken. En ook niet omdat de AVG een alternatief bewijsrecht biedt. Maar omdat gegevensbescherming weinig voorstelt wanneer degene over wie gegevens worden verwerkt niet kan controleren welke gegevens dat eigenlijk zijn. Dat verklaart ook waarom inzage zo nauw samenhangt met andere AVG-rechten.

-          Hoe kun je rectificatie vragen als je niet weet dat een onjuist gegeven bestaat?

-          Hoe kun je bezwaar maken tegen een verwerking waarvan je niet op de hoogte bent?

-          Hoe kun je de rechtmatigheid van een verwerking beoordelen als je niet weet wat wordt verwerkt?

De AP omschrijft het doel tegenwoordig als het krijgen van meer grip op persoonsgegevens en het kunnen controleren of organisaties zich aan de regels houden. De AP benadrukt bovendien dat het recht in beginsel alle persoonsgegevens omvat, waaronder meningen en beoordelingen over de betrokkene.  Inzage is daarmee in zekere zin de toegangspoort tot de rest van het gegevensbeschermingsrecht.

5. Van Wbp naar artikel 15 AVG

Het inzagerecht is uiteraard ouder dan de AVG. Onder de Europese Privacyrichtlijn 95/46/EG bestond al een recht op toegang tot persoonsgegevens. In Nederland kreeg dat onder meer vorm in artikel 35 Wet bescherming persoonsgegevens (Wbp).

De betrokkene kon vragen of hem betreffende persoonsgegevens werden verwerkt en, zo ja, om een begrijpelijk overzicht daarvan en informatie over onder meer doeleinden, categorieën gegevens, ontvangers en herkomst. Er loopt dus een duidelijke lijn van de Privacyrichtlijn en de Wbp naar artikel 15 AVG. Toch moeten we oppassen met de stelling dat het oude Wbp-recht één op één is overgenomen. Het huidige inzagerecht moet autonoom worden uitgelegd vanuit de AVG, de Europese grondrechten en de rechtspraak van het Hof van Justitie. Dat is met name belangrijk wanneer we oude Nederlandse rechtspraak over bijvoorbeeld persoonlijke aantekeningen willen toepassen op moderne digitale gegevensverwerking.

6. Wat geeft artikel 15 AVG eigenlijk?

Artikel 15 AVG geeft een betrokkene allereerst het recht te weten of persoonsgegevens over hem worden verwerkt. Als dat zo is, bestaat recht op inzage in die persoonsgegevens en op aanvullende informatie, waaronder de doeleinden van de verwerking, categorieën persoonsgegevens, ontvangers, bewaartermijnen en beschikbare informatie over de herkomst van de gegevens.

Artikel 15 lid 3 AVG bepaalt vervolgens dat de verwerkingsverantwoordelijke een kopie verstrekt van de persoonsgegevens die worden verwerkt. En daar begint een onderscheid dat voor de rest van dit verhaal essentieel is.

Er staat niet: een kopie van alle documenten waarin persoonsgegevens voorkomen. Het object van het inzagerecht is het persoonsgegeven. Een document kan de drager daarvan zijn.

Die twee zijn niet hetzelfde.

7. De toezichthouders: effectieve controle staat voorop

Dat uitgangspunt zien we ook terug bij toezichthouders. De AP benadrukt de controlefunctie van het recht: een betrokkene mag in beginsel weten welke persoonsgegevens worden verwerkt, hoe ze worden gebruikt en mag daarmee controleren of de organisatie zich aan de regels houdt. Een verzoek hoeft in beginsel niet te worden gemotiveerd.

Ook de Britse ICO heeft specifieke guidance voor werkgevers. Bij e-mails moet worden gekeken welke informatie daadwerkelijk persoonsgegevens van de werknemer vormt. Dat iemand een e-mail heeft ontvangen of daarin wordt genoemd, betekent niet automatisch dat de gehele e-mail zijn persoonsgegeven is. Andersom betekent een zakelijke context evenmin dat informatie niet over de werknemer kan gaan. De inhoud en context zijn beslissend.

De Franse CNIL heeft misschien nog wel de interessantste guidance voor onze arbeidsrechtelijke praktijk. Zij behandelt expliciet inzage door werknemers in professionele e-mailcorrespondentie. Het uitgangspunt is helder: de regels voor gegevensbescherming gelden ook in de professionele context. Een werknemer kan dus inzage verlangen in persoonsgegevens die zijn werkgever over hem verwerkt, óók wanneer die persoonsgegevens in e-mails voorkomen.

Tegelijkertijd benadrukt ook de CNIL dat het recht betrekking heeft op persoonsgegevens en niet als zodanig op documenten. Het verstrekken van een e-mail kan een eenvoudige manier zijn om aan het verzoek te voldoen, maar een overzicht van metadata en de relevante persoonsgegevens kan onder omstandigheden eveneens volstaan.

8. Het personeelsdossier is dus niet noodzakelijk het einde

Bij een inzageverzoek van een werknemer is de eerste reflex vaak: pak het personeelsdossier erbij. Logisch.

Maar juridisch is de plaats waar een persoonsgegeven wordt opgeslagen niet beslissend. Een beoordeling in het personeelsdossier kan een persoonsgegeven zijn. Dezelfde beoordeling in een HR-systeem ook. En dezelfde beoordeling in een interne e-mail tussen HR en de leidinggevende eveneens. Dat is belangrijk bij arbeidsconflicten. Juist de informatie die voor een werknemer het meest interessant is, bevindt zich mogelijk niet in het formele personeelsdossier.

9. Nowak: ook meningen en beoordelingen kunnen persoonsgegevens zijn

Daar komt het arrest Nowak (C-434/16) om de hoek kijken. Het Hof van Justitie maakte daarin duidelijk dat het begrip persoonsgegeven ruim is. Ook subjectieve informatie, waaronder meningen en beoordelingen, kan een persoonsgegeven zijn wanneer die informatie vanwege haar inhoud, doel of gevolg betrekking heeft op een natuurlijke persoon.

Vergelijk bijvoorbeeld: “Werknemer X heeft dinsdag geweigerd twee uur langer door te werken.” met: “X weigert structureel redelijke instructies van zijn leidinggevende op te volgen.” en: “Ik krijg steeds meer de indruk dat X bewust de confrontatie zoekt.”

De eerste mededeling is voornamelijk feitelijk. De andere twee bevatten een beoordeling. Maar alle drie kunnen persoonsgegevens over X zijn. Dat een kwalificatie subjectief is, haalt haar dus niet automatisch uit het gegevensbeschermingsrecht.

10. Een recht op inzage vereist ook dat je behoorlijk zoekt

En hier komt een zeer recente Nederlandse uitspraak mooi van pas.

In Rechtbank Midden-Nederland 11 juni 2026, ECLI:NL:RBMNE:2026:5420 ging het om een inzageverzoek bij de Belastingdienst. De Belastingdienst beschikte over honderden systemen en had aanvankelijk gezocht in de gebruikelijke systemen. De betrokkene had echter concrete omstandigheden genoemd die aanleiding gaven om ook elders naar zijn persoonsgegevens te zoeken, onder meer zijn betrokkenheid bij verschillende rechtspersonen en faillissementen.

De rechtbank vond de zoekslag onvoldoende geïndividualiseerd. Dat uitgangspunt is voor de arbeidspraktijk interessant. Een werkgever hoeft bij ieder algemeen verzoek niet noodzakelijk blind ieder systeem en iedere mailbox integraal om te keren.

Maar als een werknemer concreet zegt: “Ik verzoek ook om mijn persoonsgegevens in de e-mails tussen mijn leidinggevende, HR en de regiomanager over mijn weigeringen van de werkinstructies op 3, 8 en 12 mei,” dan wordt het lastig om alleen het personeelsdossier te doorzoeken. De door de betrokkene aangedragen omstandigheden moeten daadwerkelijk worden meegenomen bij het bepalen waar redelijkerwijs moet worden gezocht. Dat sluit rechtstreeks aan bij de functie van het inzagerecht als correctiemechanisme.

Een recht op toegang is immers weinig waard als uitsluitend wordt gezocht op de plaatsen waar de verwerkingsverantwoordelijke zelf het liefst kijkt.

11. Een inefficiënte informatiehuishouding maakt het grondrecht niet kleiner

Ook dat verdient nadruk. Het feit dat een organisatie veel systemen, mailboxen of opslaglocaties heeft, betekent niet dat het recht op inzage daardoor vanzelf kleiner wordt. De technische architectuur van een organisatie bepaalt niet de omvang van het grondrecht van de betrokkene. Dat betekent niet dat iedere denkbare gegevensbron altijd moet worden doorzocht. De ICO spreekt bijvoorbeeld over het verrichten van redelijke zoekacties en staat bij grote hoeveelheden informatie toe dat om verduidelijking wordt gevraagd.  Ook de CNIL zoekt bij zeer omvangrijke hoeveelheden e-mail naar een praktische balans. Een werkgever kan de werknemer bijvoorbeeld vragen zijn verzoek te preciseren wanneer de extractie van persoonsgegevens uit zeer grote hoeveelheden berichten een aanzienlijke belasting oplevert.

Maar dat is iets anders dan zeggen: “Onze informatiehuishouding is ingewikkeld, dus u heeft minder recht op inzage.” Dat argument draait de verantwoordelijkheid om.

12. Persoonsgegevens zijn nog geen documenten

Dan volgt de volgende stap. Als in een interne e-mail persoonsgegevens staan, heeft de werknemer dan recht op die hele e-mail? Niet automatisch. Daarvoor is het arrest CRIF (C-487/21) belangrijk. Het Hof van Justitie heeft daarin verduidelijkt dat de betrokkene recht heeft op een getrouwe en begrijpelijke reproductie van zijn persoonsgegevens. Dat kan meebrengen dat gedeelten van documenten of zelfs volledige documenten moeten worden verstrekt wanneer dat noodzakelijk is om de persoonsgegevens begrijpelijk te maken en de betrokkene zijn AVG-rechten effectief te laten uitoefenen. Maar artikel 15 AVG geeft geen zelfstandig algemeen recht op ieder onderliggend document. Dat onderscheid is essentieel: het document is de drager; het persoonsgegeven is het object van het inzagerecht. Soms heb je de drager of een gedeelte daarvan nodig om het persoonsgegeven te kunnen begrijpen.

13. Ook de Nederlandse rechter houdt vast aan dat onderscheid

Ook in de hiervoor genoemde uitspraak van de Rechtbank Midden-Nederland uit 2026 zien we dit terug. De betrokkene wilde ook onderliggende documenten ontvangen. De rechtbank wees erop dat artikel 15 AVG geen algemeen recht op kopieën van stukken of dossiers geeft en dat inzage in feitelijke en waarderende persoonsgegevens ook via overzichten kan plaatsvinden. Die overweging moet naar mijn mening wel zorgvuldig naast CRIF worden gelezen. De regel kan niet zijn dat een overzicht altijd voldoende is. Wanneer de context noodzakelijk is om persoonsgegevens begrijpelijk te maken, kan juist uit CRIF volgen dat een passage of document moet worden verstrekt. Dus niet: “Heeft de werknemer recht op deze e-mail?” maar: “Welke persoonsgegevens van de werknemer staan in deze e-mail en welke context is nodig om daarin daadwerkelijk en begrijpelijk inzage te geven?”

14. Dan de interne e-mails over het ontslag

Terug naar onze werknemer. Hij zou meerdere malen hebben geweigerd over te werken. Een leidinggevende schrijft aan HR: “Dit is inmiddels de derde keer dat X weigert een redelijke instructie op te volgen. Vorige week hebben we hem daar nog expliciet voor gewaarschuwd. Ik krijg inmiddels het beeld dat hij bewust de confrontatie zoekt.” In zo'n korte passage kunnen al verschillende persoonsgegevens zitten.

-          Dat X een instructie zou hebben geweigerd.

-          Dat dit volgens de manager voor de derde keer gebeurde.

-          Dat hij een waarschuwing heeft ontvangen.

-          En de beoordeling dat hij bewust de confrontatie zou zoeken.

Dat deze informatie in een interne e-mail staat, verandert niet zonder meer de kwalificatie ervan als persoonsgegeven. En dat X zelf geen afzender of ontvanger is evenmin.

De CNIL maakt bij professionele e-mails juist expliciet onderscheid tussen berichten waarbij de werknemer afzender of ontvanger is en berichten waarin hij alleen wordt genoemd. In die laatste categorie kan een beoordeling per bericht nodig zijn, waarbij het inzagerecht van de werknemer wordt afgewogen tegen onder meer de privacy en het correspondentiegeheim van andere werknemers.

15. En dan de beruchte persoonlijke aantekeningen

Hier ontstaat een specifiek Nederlandse discussie. Onder de Wbp heeft de Hoge Raad zich in 2007 uitgesproken over interne notities met persoonlijke gedachten van medewerkers die uitsluitend bestemd waren voor intern overleg en beraad. Die rechtspraak heeft in de praktijk soms een eigen leven gekregen: “Persoonlijke aantekeningen vallen niet onder het inzagerecht.” En soms zelfs: “Interne e-mails hoeven niet te worden verstrekt.” Zo eenvoudig ligt het niet.

De rechtspraak dateert uit het Wbp-tijdperk en moet binnen het toenmalige wettelijke kader worden begrepen. Onder de AVG, zeker bij geautomatiseerde verwerking zoals e-mail, kan die lijn niet zonder meer worden omgezet in een algemene uitzondering voor interne correspondentie. Bovendien moet onderscheid worden gemaakt tussen de persoonlijke gedachte van de schrijver en persoonsgegevens over de werknemer.

Vergelijk: “Ik wil eerst met Legal bespreken welke aanpak verstandig is.” met: “Volgens mij heeft X tijdens het onderzoek bewust onjuiste informatie gegeven.”

De eerste mededeling ziet primair op de interne gedachtevorming van de schrijver. De tweede bevat een beoordeling over X en kan daarmee juist een persoonsgegeven van X zijn.

Het label “persoonlijke aantekening” is dus geen juridische verdwijntruc.

16. En collega's hebben óók rechten

Het inzagerecht is belangrijk, maar niet absoluut. Artikel 15 lid 4 AVG bepaalt dat het recht op een kopie geen afbreuk mag doen aan de rechten en vrijheden van anderen. Dat is op de werkvloer geen theoretische beperking. Denk aan verklaringen van collega's, klachten, getuigen, melders, informatie over andere werknemers en correspondentie waarin verschillende personen worden besproken.

Stel dat een collega aan HR schrijft: “X vertelde mij gisteren dat hij niet meer van plan was over te werken en dat ze hem maar moesten ontslaan als ze daar problemen mee hadden.”

Die mededeling kan persoonsgegevens over X bevatten. Maar de collega heeft zelf ook rechten. De oplossing is dan niet automatisch dat de hele e-mail wordt geweigerd. Eerst moet worden onderzocht of persoonsgegevens van derden kunnen worden verwijderd, geanonimiseerd of gepseudonimiseerd. De CNIL benadrukt die benadering expliciet. Pas wanneer dergelijke maatregelen onvoldoende bescherming bieden, kan weigering van bepaalde informatie aan de orde zijn. Bij bijvoorbeeld een disciplinair onderzoek kan dat relevant zijn als iemand ondanks redactie gemakkelijk als bron kan worden geïdentificeerd.

Het inzagerecht corrigeert dus informatie-asymmetrie, maar creëert geen onbeperkt recht om de persoonlijke levenssfeer van anderen binnen te stappen.

17. En dan toch: artikel 15 AVG als werphengel

Daarmee komen we terug bij de praktijk. De werknemer is op staande voet ontslagen en vraagt vervolgens: “Graag ontvang ik alle persoonsgegevens die u over mij verwerkt, waaronder alle interne correspondentie over de gebeurtenissen die tot mijn ontslag hebben geleid.”

Laten we niet naïef zijn. Het kan de werknemer mede te doen zijn om informatie die in een ontslagprocedure bruikbaar is.

-          Wie heeft wat gezegd?

-          Wanneer werd voor het eerst over ontslag gesproken?

-          Zijn de vermeende eerdere weigeringen daadwerkelijk vastgelegd?

-          Waren leidinggevenden het intern wel eens over de ernst van het incident?

-          Zijn er verklaringen die afwijken van het uiteindelijke standpunt van de werkgever?

De werphengel wordt dus inderdaad uitgegooid. Maar daaruit volgt juridisch niet dat het verzoek ongeldig is. En eigenlijk brengt de grondrechtelijke benadering ons hier bij een interessante paradox.

Juist wanneer informatie over een werknemer belangrijk genoeg is om te worden gebruikt voor een ingrijpende beslissing, wordt begrijpelijk waarom die werknemer wil weten welke persoonsgegevens over hem worden verwerkt.

De bewijsrechtelijke bruikbaarheid van de informatie neemt haar karakter als persoonsgegeven niet weg.

18. De AVG is geen discovery

Daarmee moet artikel 15 AVG overigens niet worden omgebouwd tot iets wat het niet is. Het is geen algemeen recht op bewijsvergaring. Het is geen algemeen recht op het ontslagdossier. Het is geen recht op iedere interne gedachte van HR. En het is geen recht op ieder document waarin de naam van de werknemer ergens voorkomt.

De CNIL maakt dat onderscheid mooi. Een werknemer hoeft zijn inzageverzoek niet te motiveren en kan het recht ook uitoefenen terwijl tegelijkertijd een procedure bij bijvoorbeeld de arbeidsrechter loopt. Het bestaan van die procedure vormt op zichzelf geen geldige reden om inzage te weigeren. Maar het AVG-inzagerecht blijft iets anders dan de procesrechtelijke regels over het verkrijgen van bewijsstukken.

Dat is volgens mij precies de juiste balans.

Artikel 15 AVG is geen discovery. Maar het bestaan van een procedure maakt van persoonsgegevens ook geen niet-persoonsgegevens.

19. Hoe ziet dat er concreet uit bij een ontslag op staande voet?

Stel dat een werknemer wordt ontslagen wegens het herhaaldelijk weigeren van een werkinstructie over overwerk. Hij vraagt vervolgens om:

-          zijn personeelsdossier;

-          persoonsgegevens in interne correspondentie over zijn weigeringen;

-          persoonsgegevens in e-mails tussen zijn leidinggevende en HR;

-          persoonsgegevens in verklaringen van collega's;

-          persoonsgegevens in persoonlijke aantekeningen van leidinggevenden; en

-          persoonsgegevens in interne communicatie over het voorgenomen ontslag.

Dan zou ik de juridische beoordeling langs een aantal opeenvolgende vragen laten lopen.

Ten eerste: welke persoonsgegevens worden over de werknemer verwerkt? Feiten over de weigeringen vallen daaronder. Waarschuwingen ook. Beoordelingen van zijn functioneren en kwalificaties van zijn gedrag kunnen op grond van Nowak eveneens persoonsgegevens zijn.

Ten tweede: waar bevinden die gegevens zich? Niet alleen het personeelsdossier telt. Ook relevante HR-systemen, e-mailboxen, gespreksverslagen en digitale notities kunnen moeten worden betrokken. Hoe specifieker de werknemer relevante personen, gebeurtenissen, periodes en systemen aanwijst, hoe moeilijker het wordt die buiten een redelijke zoekslag te laten.

Ten derde: welke context is noodzakelijk? Soms volstaat een overzicht. Soms is een passage uit een e-mail nodig om te begrijpen wat er daadwerkelijk over de werknemer is vastgelegd. Daar komt CRIF in beeld.

Ten vierde: welke informatie is geen persoonsgegeven van de werknemer? Een interne juridische analyse of processtrategie is niet alleen omdat zij betrekking heeft op een arbeidsconflict automatisch een persoonsgegeven van de werknemer. De daarin verwerkte onderliggende informatie over hem kan dat wél zijn.

Ten vijfde: welke rechten van anderen moeten worden beschermd? Daarvoor moeten onder meer artikel 15 lid 4 AVG en, waar toepasselijk, de wettelijke beperkingsmogelijkheden zorgvuldig worden beoordeeld.

20. Wat een werkgever vooral niet moet doen

Een aantal reacties is naar mijn mening juridisch te gemakkelijk. “Dit is interne correspondentie, dus u krijgt het niet.” Te absoluut.

“Dit zijn persoonlijke aantekeningen, dus artikel 15 AVG is niet van toepassing.” Ook te absoluut.

“U voert een arbeidsprocedure en gebruikt de AVG alleen om bewijs te verzamelen.” Op zichzelf onvoldoende.

“We hebben alleen in het personeelsdossier gekeken.” Problematisch wanneer het verzoek concrete aanwijzingen bevat dat relevante persoonsgegevens elders worden verwerkt.

Maar andersom is ook de stelling van een werknemer: “Mijn naam staat in deze e-mail, dus ik heb recht op de volledige e-mail” te gemakkelijk.

Artikel 15 AVG vraagt om een inhoudelijke beoordeling.

21. Dan blijkt de juridische ontwikkeling eigenlijk verrassend consistent

Als we teruggaan naar het begin, vallen de puzzelstukken mooi in elkaar.

-          Artikel 10 Grondwet en artikel 8 EVRM beschermen de persoonlijke levenssfeer.

-          Bărbulescu maakt duidelijk dat die persoonlijke levenssfeer niet verdwijnt zodra iemand werknemer wordt.

-          Artikel 7 en 8 EU-Handvest onderscheiden vervolgens het bredere privéleven van het zelfstandige grondrecht op gegevensbescherming, inclusief toegang tot de eigen gegevens.

-          De Privacyrichtlijn en de Wbp gaven daaraan een concreet inzagerecht.

-          Artikel 15 AVG zet die ontwikkeling voort.

-          De AP, ICO en CNIL benadrukken de functie van effectieve controle.

-          Nowak laat zien dat het begrip persoonsgegeven ruim is en ook meningen en beoordelingen kan omvatten.

-          De recente Nederlandse rechtspraak over de zoekslag maakt duidelijk dat effectieve inzage ook daadwerkelijk zoeken vereist.

-          En CRIF brengt vervolgens de noodzakelijke nuance aan tussen het recht op persoonsgegevens en het recht op de documenten waarin die gegevens zich bevinden.

-          Daarna komen de grenzen: de rechten van anderen, vertrouwelijkheid, de positie van interne gedachtevorming en de vraag welke context werkelijk nodig is.

22. Geen discovery, maar ook geen black box

En daarmee kom ik weer bij mijn werknemer met zijn werphengel. Misschien hoopt hij inderdaad iets te vangen dat hij in zijn ontslagprocedure kan gebruiken. Maar als we artikel 15 AVG uitsluitend vanuit dat wantrouwen bekijken, missen we volgens mij waar het recht eigenlijk voor bedoeld is.

De werkgever heeft in de arbeidsrelatie een aanzienlijke informationele voorsprong. Hij verzamelt informatie, registreert, beoordeelt, kwalificeert. En hij kan mede op basis daarvan beslissingen nemen die voor de werknemer verstrekkende gevolgen hebben.

Het inzagerecht corrigeert een deel van die informatie-asymmetrie. Niet door de werknemer onbeperkte toegang te geven tot de interne keuken van zijn werkgever. Niet door de privacy van collega's opzij te zetten. En niet door van de AVG een alternatieve civiele discovery-procedure te maken. Maar wel door het fundamentele uitgangspunt serieus te nemen dat iemand moet kunnen controleren welke persoonsgegevens over hem worden verwerkt en hoe die worden gebruikt.

Dat is geen vervelende anomalie van het privacyrecht. Dat is juist de bedoeling ervan.

En misschien moeten we artikel 15 AVG daarom, óók wanneer het verzoek de dag na een ontslag op staande voet op de mat valt, wat minder vaak benaderen als een lastige complianceverplichting. En wat vaker als wat het in wezen is: een behoorlijk en wenselijk correctiemechanisme tegen informationele ongelijkheid.