Behandelen verwijderverzoek wel opgenomen in beleid, maar niet nageleefd? Boete!

20/06/2024 – De Autoriteit Persoonsgegevens (AP) heeft een boete van 6000 euro opgelegd aan het recruitment bedrijf Ambitious People Group (APG), omdat zij niet tijdig gevolg had gegeven aan de verwijderverzoeken van drie personen. In deze blog wordt het boetebesluit van de AP uitgebreid besproken en ontdekt u hoe u dit binnen uw organisatie kunt vermijden.

Wat zegt de AVG?

Artikel 17 lid 1 van de Algemene Verordening Gegevensbescherming (AVG) geeft betrokkenen het recht om hun persoonsgegevens zonder onredelijke vertraging te laten wissen. Volgens overweging 59 van de AVG moeten regelingen voorhanden zijn om betrokkenen te helpen dit recht uit te oefenen, zoals middelen om een verzoek elektronisch in te dienen. De verwerkingsverantwoordelijke moet in beginsel binnen een maand reageren op dergelijke verzoeken en redenen geven voor eventuele weigeringen. Onder omstandigheden kan deze termijn met twee maanden worden verlengd.

De klachten

Een onderdeel van de dienstverlening van APG is dat zij personen, na inschrijving via hun website, benadert met relevante vacatures die aansluiten bij hun profiel. Naar aanleiding hiervan neemt APG persoonsgegevens op in hun database(s), waaronder namen, woonadressen en telefoonnummers. Op basis van deze persoonsgegevens benaderde APG de betrokkenen in deze zaak met vacatures nadat de betrokkenen in kwestie een verwijderverzoek aan APG hadden gericht. De betrokkenen besloten daarop klachten in te dienen bij de AP. De klachten hielden in dat APG onterecht geen gevolg heeft gegeven aan de eerder door hen ingediende verwijderverzoeken.

Het verweer van APG

APG brengt hier tegenin dat dergelijke verzoeken tot verwijdering centraal gericht kunnen worden aan het e-mailadres dat vermeld wordt in hun privacy statement en dat zij haar werknemers bovendien instrueert hoe zij om moeten gaan met verzoeken tot het wissen van persoonsgegevens. De verzoeken van de betrokkenen zijn echter niet via dit e-mailadres binnengekomen, maar zijn rechtstreeks bij de recruiters ingediend.

APG heeft naar eigen zeggen adequate procedures voor het behandelen van verzoeken van betrokkenen ingericht en adequaat beleid geïmplementeerd voor situaties waarin een betrokkene een verzoek naar een gewone medewerker stuurt in plaats van naar het e-mailadres zoals vermeld in de privacyverklaring. Volgens APG hebben de recruiters de verzoeken niet adequaat opgepakt, waardoor de betrokkenen in kwestie ook na hun verwijderverzoeken nog met vacatures zijn benaderd. Zij vindt dat er geen aanleiding is voor het opleggen van een boete, omdat sprake is van een uitzonderingssituatie en deze incidenten slechts het gevolg zijn van een menselijke fout.

Oordeel AP

De AP stelt dat de verplichting op grond van artikel 17 lid 1 AVG niet anders is indien betrokkenen hun verzoek niet via het aangewezen e-mailadres hebben ingediend. Dit doet bovendien ook niet af aan de ernst van de overtreding. APG draagt verantwoordelijkheid voor het handelen van haar medewerkers en de naleving van het beleid binnen de organisatie. Hieronder valt ook de verantwoordelijkheid voor het voorkomen van menselijke fouten. De AP concludeert dan ook dat APG in strijd heeft gehandeld met de AVG door niet naar behoren gevolg te geven aan de verzoeken tot het wissen van de persoonsgegevens van de betrokkenen in kwestie. De AP legt hiervoor een boete van 6000 euro op.

Lessons learned

Uit deze zaak blijkt wederom dat het opstellen van beleid an sich niet voldoende is, wanneer het bewustzijn in de organisatie onvoldoende is. Het enkel hebben van een intern beleid dat beschrijft hoe de organisatie omgaat met persoonsgegevens en voldoet aan de verplichtingen van de AVG, is aldus op zichzelf niet voldoende om aan de AVG te voldoen. Als verwerkingsverantwoordelijke draag je verantwoordelijkheid voor de acties van je medewerkers en dien je zorg te dragen voor een zekere mate bewustzijn om privacy risico’s te voorkomen. Het hebben van een speciaal e-mailadres voor (verwijderings-)verzoeken van betrokkenen kan een manier zijn om aan de AVG te voldoen, maar ontslaat een organisatie niet van de verplichting om binnen 30 dagen gehoor te geven aan dergelijke verzoeken.

Bewustwording van het privacy beleid binnen uw organisatie speelt hierbij een grote rol en kan door gerichte training aan het personeel worden bijgebracht om soortgelijke boetes te voorkomen.