Op 17 mei 2023 verscheen het prototype van de Handreiking Meldingen van seksueel grensoverschrijdend gedrag op de werkvloer van Regeringscommissaris seksueel grensoverschrijdend gedrag en seksueel geweld, Mariëtte Hamer. Volgens de toelichting zou deze zijn “opgesteld in samenwerking met experts en met mensen die betrokken zijn geweest bij een melding.”
Helaas moeten we vaststellen dat de juridische expertise, met name van mensen die niet alleen – mogelijk verouderde – kennis van arbeidsrecht hebben, maar ook van mensenrechten, waaronder het recht op eer en goede naam en privacy, volledig ontbreekt.
Hier beschrijf ik dat de Handreiking niet in overeenstemming is met mensenrechtenverdragen op het gebied van reputatie en privacy. Artikel 17 Internationaal Verdrag inzake burgerrechten en politieke rechten (IVBPR) geeft niet alleen recht op privacy, maar ook op bescherming van reputatie. Artikel 8 EVRM, dat het recht op privacy regels, incorporeert volledig artikel 17 IVBPR. De Algemene verordening gegevensbescherming (AVG) is vervolgens de in alle EU-lidstaten geldende ‘privacywet’, die weer een weerslag is van artikel 8 EVRM. Nederland moet zich als lidstaan aan al deze verdragen en wetten houden. De AVG geldt voor alle ‘verwerkingsverantwoordelijken’. Dat zijn bijvoorbeeld alle werkgevers en bedrijfsmatig onderzoekers.
In de Handreiking beschrijft mevrouw Hamer het inzagerecht. Zij relateert dat in het geheel niet aan belangrijke verdragen en privacywetten. ‘AVG’ en ‘persoonsgevens’ komen zelfs niet in het document voor. De Handreiking mag dan een prototype zijn, maar dit document geeft onrechtmatige adviezen, met ernstige gevolgen voor alle betrokkenen. Zo’n belangrijk aspect over het hoofd zien is onbegrijpelijk.
De manier waarop het inzagerecht wordt beschreven, is onrechtmatig, want in strijd met de AVG. Volgens Hamer is het ‘verstandig’ om tijdens het onderzoek inzage in het dossier met de verslagen van de gesprekken met ‘de ander’, getuigen en eventuele bewijsmiddelen’ niet middels het verstrekken van een kopie te laten plaatsvinden, vanwege ‘vertrouwelijkheid en mogelijke consequenties’.
Inzagerecht na het onderzoek betekent volgens Hamer dat melder en beschuldigde het rapport in mogen zien. Pas als iemand een procedure wil starten of als er een procedure tegen die persoon gestart wordt, dan heeft die persoon volgens Hamer recht op een kopie van het rapport. Vaak worden dan volgens Hamer afspraken gemaakt over de geheimhouding, zodat de privacy van de organisatie of de ‘ander’ niet geschonden wordt.
Maar klopt dat wel? Het antwoord is simpelweg: nee. En dat had mevrouw Hamer kunnen weten als zij artikel 15 lid 3 AVG had gelezen. In samenhang met artikel 12 lid 3 AVG waarin staat dat de betrokkene binnen een maand een kopie van alle verwerkingen van persoonsgegevens moet krijgen als hij dat verzoekt. Waaronder alle dossierstukken en formele en informele notities, ook als daar ‘vertrouwelijk’ of ‘persoonlijk’ op staat!
Onlangs deed het EU Hof van Justitie in Luxemburg, de hoogste rechter op AVG-gebied, uitspraak over de vraag: hoe ver gaat het recht van de betrokkene – degene over wie de informatie gaat - op een kopie van de persoonsgegevens die worden verwerkt? Want dat dit recht er is, en dat dit in elk geval betekende dat niet kon worden volstaan met ‘inzage’ of met een ‘overzicht van de persoonsgegevens’, was wel helder. Nu is duidelijk dat, zeker waar het gaat om dossiers, of andere grotere verwerkingen, die vrijwel altijd volledig moet worden verstrekt. Het Hof doet hier – net als de Duitse rechter die de vragen aan het Hof stelde, iets heel verstandigs. Het kijkt namelijk naar wat het woord ‘kopie’ betekent in het woordenboek: Aangezien de AVG geen definitie bevat van het aldus gebruikte begrip „kopie”, dient daarvoor te rade te worden gegaan bij de gebruikelijke betekenis van deze term die, verwijst naar de getrouwe reproductie of transcriptie van een origineel, zodat een zuiver algemene beschrijving van de gegevens die worden verwerkt of een verwijzing naar categorieën persoonsgegevens niet aan die definitie voldoet. (r.o. 22) Verder oordeelt het Hof over dit derde lid dat de verwerkingsverantwoordelijke de „persoonsgegevens die worden verwerkt” moet verstrekken in de vorm van een „kopie”. Echter, de term „kopie” verwijst niet naar een document als zodanig, maar naar de persoonsgegevens die het document (of de data) bevat en die volledig moeten zijn. De kopie moet dus alle persoonsgegevens bevatten die worden verwerkt (r.o. 30-32). Het doel van inzage en een kopie is om de betrokkene in staat te stellen te controleren of de hem betreffende persoonsgegevens juist zijn en rechtmatig worden verwerkt. Rechtmatig betekent: in overeenstemming met de beginselen en regels van de AVG. Zo moet er bijvoorbeeld een grondslag zijn als bedoeld in artikel 6 van de AVG. Is die er niet, dan is verwerking per definitie al onrechtmatig. Het recht op een kopie is volgens het Hof vooral noodzakelijk om ervoor te zorgen dat de betrokkene zijn rechten ook kan gebruiken. Het Hof noemt: zijn recht op rectificatie, gegevenswissing, beperking, maar ook het recht om bezwaar te maken of een schadeclaim in te dienen (r.o. 34-35). De betrokkene moet hierover kunnen klagen bij de Autoriteit Persoonsgegevens en naar de rechter kunnen stappen. Verder moet de betrokkene volgens het Hof – op grond van artikel 12, 13 en 14 AVG – op de hoogte moet worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke moet de nadere informatie verstrekken die noodzakelijk is voor de betrokkene, “met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt.” (r.o. 36) Het Hof concludeert dat de kopie van de persoonsgegevens die worden verwerkt en die de verwerkingsverantwoordelijke moet verstrekken, “alle noodzakelijke kenmerken moet vertonen om de betrokkene in staat te stellen de rechten die hij aan deze verordening ontleent daadwerkelijk uit te oefenen. Deze kopie moet deze gegevens dus volledig en getrouw reproduceren.” Dit betekent dat om te waarborgen dat de verstrekte informatie gemakkelijk te begrijpen is, het immers onontbeerlijk kan zijn dat uittreksels uit documenten of zelfs volledige documenten of databankuittreksels die onder meer de persoonsgegevens bevatten die worden verwerkt, worden verstrekt. Dat kan immers nodig zijn om de gegevens in hun context te plaatsen, omdat ze anders niet begrijpelijk zijn. (r.o. 39-42) Dit betekent niet dat er geen grenzen zijn. Het Hof verwijst naar artikel 15, lid 4, AVG, gelezen in samenhang met overweging 63 van deze verordening. Daaruit volgt dat het recht op inzage en een kopie geen afbreuk doen aan de rechten en vrijheden van anderen. Het Hof wijst op bedrijfsgeheimen of intellectuele eigendom. Daarbij kan ook worden gedacht aan de privacy van andere personen. Is sprake van zo’n recht, dan moeten het belang op een kopie worden afgewogen tegen de rechten en vrijheden van anderen. Maar dat betekent niet dat de betrokkene alle informatie wordt onthouden. (r.o. 43,44) Het Hof vat het als volgt samen: “het recht om van de verwerkingsverantwoordelijke een kopie te verkrijgen van de persoonsgegevens die worden verwerkt, inhoudt dat aan de betrokkene een getrouwe en begrijpelijke reproductie van al deze gegevens moet worden gegeven. Dit recht omvat het recht om een kopie te verkrijgen van uittreksels uit documenten of zelfs van volledige documenten of databankuittreksels die onder meer die gegevens bevatten, indien de verstrekking van een dergelijke kopie onontbeerlijk is om de betrokkene in staat te stellen de hem bij deze verordening verleende rechten daadwerkelijk uit te oefenen, waarbij moet worden benadrukt dat daarbij ook rekening moet worden gehouden met de rechten en vrijheden van anderen.” (r.o. 45) Over de vraag wat persoonsgegevens zijn, waren er al eerder uitspraken gedaan, die het Hof nog eens herhaalt. Dat is een zeer breed begrip. Het gaat namelijk over “elk soort informatie, zowel objectieve informatie als subjectieve informatie, in de vorm van meningen of beoordelingen, op voorwaarde dat deze informatie de betrokkene „betreft”.” Informatie heeft betrekking op een geïdentificeerde of identificeerbare natuurlijke persoon wanneer zij wegens haar inhoud, doel of gevolg verband houdt met een identificeerbare persoon (r.o. 23-24). Het begrip verwerking is eveneens heel breed: alles wat je met persoonsgegevens doet, valt hieronder.
Uit het inzagerecht en het recht op een kopie van artikel 15 AVG volgt ook dat de betrokkene in beginsel recht heeft te weten wie een melding heeft gedaan. De ‘hoofregel van Hamer’: anonimiteit moet zo veel mogelijk geborgd blijven, is hiermee niet in overeenstemming. Zo schrijft Hamer dat bij het informeren van de beschuldigde over een melding de anonimiteit van de melder gewaarborgd moet blijven. Dat is onjuist. De AVG gaat namelijk uit van het omgekeerde: alleen als na belangenafweging blijkt, bijvoorbeeld vanwege dreigende repressailes, dat anonimiteit nodig is, mag de melder anoniem blijven. De beschuldigde moet ook direct inzage kunnen krijgen. De AVG-hoofdregel strookt ook met de regels in de Wet bescherming klokkenluiders. Bovendien: wat valt er in vredesnaam te onderzoeken als je zo cryptisch moet blijven dat je feitelijk niet eens kunt melden waar iemand van beschuldigd wordt, omdat je dan automatisch prijsgeeft wie het vermeende slachtoffer is?
Wat mevrouw Hamer nog meer heeft gemist, en dat samenhangt met de AVG, is dat als een werkgever een externe inhuurt om persoonsgericht onderzoek te doen – dus naar de vraag of er een concreet geval van grensoverschrijdend gedrag is geweest – dat deze onderzoeker een vergunning nodig heeft. Heeft hij die niet, dan pleegt hij een strafbaar feit. De reden voor de vergunningplicht is juist dat ‘privedetectives’ omgaan met persoonsgegevens. De vergunningplichtige is dan ook gebonden aan gedragsregels die op de AVG zijn gebaseerd.
Lees dit artikel over wat te doen bij grensoverschrijdend gedrag Op 9 juni 2023 is weer de succesvolle cursus AVG voor onderzoekers. Online, voor slechts € 125,-.
