Een aantal recente beslissingen van de Gegevensbeschermingsautoriteit onder de loep

Het voorwerp van de klacht betreft de weigering van de verweerder om gevolg te geven aan een verzoek tot inzage van een voormalige werknemer in diens evaluatieverslagen. De klager verzocht op 14 augustus 2024 en opnieuw op 2 september 2024 om inzage in zijn personeelsdossier, nadat zijn arbeidsovereenkomst door de verweerder was beëindigd. Daarbij vroeg hij uitdrukkelijk om een kopie van zijn evaluatieverslagen.

Op 6 september 2024 weigerde de verweerder in te gaan op dit verzoek tot inzage en afschrift, met als motivering dat de klager vóór zijn ontslag via het HR-portaal toegang had tot deze evaluaties en er toen zelf een kopie van had kunnen nemen.

Na een ingebrekestelling vanwege de klager werd op 24 december 2024 opnieuw formeel verzocht om inzage in de evaluatieverslagen.

In het kader van de klacht en de kennisgeving door de Geschillenkamer aan de verweerder op 1 september 2025, deelde de verweerder op 8 september 2025 mee dat hij de klager op 19 juni 2025 alsnog een kopie van zijn personeelsdossier, met inbegrip van de evaluatieverslagen, had overgemaakt. Dit gebeurde 10 maanden na het oorspronkelijke verzoek.

De Geschillenkamer is van oordeel dat uit de voorgaande analyse blijkt dat de verweerder mogelijk in strijd heeft gehandeld met de bepalingen van de AVG (ook bekend als de GDPR-regelgeving). Dit rechtvaardigt het nemen van een beslissing waarbij een waarschuwing wordt geformuleerd ten aanzien van de verweerder.

De Geschillenkamer onderstreept dat de verweerder gehouden is de uitoefening van de rechten van betrokkenen, waaronder het recht op inzage, te faciliteren. Hij dient bovendien onverwijld en in elk geval binnen een termijn van 1 maand na ontvangst van het verzoek de betrokkene te informeren over het gevolg dat aan diens verzoek wordt gegeven.

Op 21 juli 2021 diende een voormalige gedelegeerd bestuurder een klacht in bij de GBA. De klacht had betrekking op het feit dat zijn professioneel e-mailadres en gsm-nummer na zijn vertrek niet tijdig werden afgesloten. De betrokkene had gevraagd om zijn mailbox en gsm-nummer stop te zetten en om zijn persoonlijke berichten van de laatste 5 maanden, zoals sms, WhatsApp, voicemails en e-mails, te verwijderen. De onderneming antwoordde dat de mailbox spoedig zou worden afgesloten en dat het gsm-nummer eigendom was van de onderneming.

Wat zegt de GDPR-regelgeving hierover?

Volgens de AVG (GDPR) moet een werkgever zorgvuldig omgaan met persoonsgegevens wanneer een medewerker uit dienst gaat. Dit betekent dat een professionele mailbox uiterlijk op de dag van het effectieve vertrek moet worden afgesloten. De betrokken persoon moet daarover vooraf worden geïnformeerd.

Gedurende een beperkte overgangsperiode mag een automatisch antwoord worden ingesteld. In dat automatisch bericht moet duidelijk worden meegedeeld dat de betrokkene niet langer werkzaam is binnen de onderneming en moet een alternatief contactadres of een vervangende contactpersoon worden vermeld. In principe bedraagt deze overgangsperiode 1 maand. Enkel in uitzonderlijke situaties, bijvoorbeeld bij functies met grote verantwoordelijkheden, kan deze termijn worden verlengd tot maximaal 3 maanden. Een dergelijke verlenging moet gebeuren met medeweten of instemming van de betrokkene.

Na afloop van de overgangsperiode moet de mailbox definitief worden verwijderd. Het is mogelijk dat partijen overeenkomen dat de vertrekkende medewerker nog tijdelijk toegang behoudt tot de mailbox om lopende dossiers af te werken, maar dit moet uitdrukkelijk worden afgesproken.

Beoordeling van de mailbox in dit dossier

In dit dossier werd de samenwerking beëindigd op 8 februari 2021. Het e-mailadres bleef echter actief tot 15 juli 2021, dus meer dan 5 maanden na het einde van de samenwerking. De betrokkene werd niet geïnformeerd over het verdere gebruik van zijn mailbox en er was geen duidelijke overeenkomst over een overgangsperiode.

De onderneming stelde wel dat er gedurende een bepaalde periode een automatisch antwoord werd verstuurd naar afzenders, maar zij kon dit niet aantonen en verduidelijkte evenmin hoe lang die periode zou hebben geduurd. Hierdoor kon niet worden vastgesteld of de regels rond minimale gegevensverwerking werden gerespecteerd. Het instellen van een automatisch antwoord, zoals de verweerder aanvoert, is immers aanzienlijk minder ingrijpend dan het zelf openen, lezen en individueel beantwoorden van de e-mails die na het vertrek van de klager in diens mailbox toekwamen.

De GBA oordeelde verder dat het doel van de mailbox, namelijk professionele communicatie mogelijk maken, was weggevallen na het vertrek van de betrokkene. Doordat het account toch bleef bestaan en niet tijdig werd afgesloten, werden het doelbindingsbeginsel en het principe van opslagbeperking niet gerespecteerd. Bovendien werd het verzoek tot gegevenswissing niet correct behandeld.

Beoordeling van het gsm-nummer

Ook met betrekking tot het gsm-nummer stelde de GBA vast dat de regels niet werden nageleefd. Het gsm-nummer was ter beschikking gesteld voor professionele communicatie. Wanneer de functie eindigt, vervalt ook het doel waarvoor het nummer werd gebruikt. Vanaf dat moment mogen de gekoppelde gegevens niet langer worden bewaard.

In dit geval werden de privéberichten niet onmiddellijk verwijderd. Ook werd geen passend gevolg gegeven aan het uitdrukkelijke verzoek van 1 juli 2021 om alle privéberichten te wissen. Pas op 12 februari 2025 werd bevestigd dat de berichten waren verwijderd. Er kon evenwel niet worden aangetoond op welke datum deze verwijdering effectief had plaatsgevonden.

Volgens de GBA werden hierdoor niet alleen het doelbindingsbeginsel en het principe van opslagbeperking geschonden, maar werd ook onvoldoende gevolg gegeven aan het verzoek tot gegevenswissing.

Sanctie

Bij het bepalen van de sanctie hield de Geschillenkamer rekening met het feit dat het zeer lang duurde voordat bevestigd werd dat de privéberichten effectief waren verwijderd. Daarnaast werd in aanmerking genomen dat de onderneming erkende niet volledig te hebben voldaan aan haar verplichtingen onder de AVG, zowel wat betreft de mailbox als het gsm-nummer.

Tegelijk werd vastgesteld dat de onderneming inmiddels enkel nog bestaat in het kader van vereffening, geen operationele activiteiten meer uitvoert, geen personeel meer tewerkstelt en geen omzet meer genereert. In deze specifieke omstandigheden oordeelde de Geschillenkamer dat een berisping volstond en werd geen administratieve geldboete opgelegd.

_{Bron: Beslissing ten gronde 158/2025 van 7 oktober 2025 (dossiernummer: DOS -2021- 05215) en Beslissing ten gronde 159/2025 van 7 oktober 2025 (dossiernummer: DOS-2025-01406), Startpagina burger | Gegevensbeschermingsautoriteit.}