Een praktische gids voor EU-werkgevers over welke medewerkergegevens je mag verzamelen, de rechtsgrondslagen voor verwerking, de rechten van medewerkers onder artikelen 15-20 en de meest voorkomende nalevingsfouten.
De meeste werkgevers weten dat ze zorgvuldig moeten omgaan met persoonsgegevens van medewerkers. Maar veel minder hebben er écht doorgedacht wat dat in de praktijk betekent: welke gegevens je mag verzamelen, welke expliciete toestemming vereisen, hoe lang je ze mag bewaren, en wat er gebeurt als een medewerker vraagt om alles te zien wat je van hem of haar bijhoudt.
Dit is een praktische gids, geen juridisch handboek. Ben je eigenaar of manager van een klein of middelgroot bedrijf in de EU? Dan is dit wat je moet weten.
Het uitgangspunt is eenvoudig: verzamel alleen wat je daadwerkelijk nodig hebt. De AVG noemt dit dataminimalisatie, en het geldt voor medewerkers net zo goed als voor klanten.
Voor de meeste arbeidsrelaties heb je rechtmatig de volgende gegevens nodig:
Wat je waarschijnlijk niet nodig hebt: social-mediaprofielen, burgerlijke staat (tenzij relevant voor arbeidsvoorwaarden), politieke opvattingen of persoonlijke informatie die verder gaat dan wat de functie vereist.
Bepaalde gegevens vallen onder een strenger regime binnen de AVG. Gezondheidsgegevens, vakbondslidmaatschap, biometrische gegevens en strafrechtelijke gegevens zijn zogenoemde bijzondere categorieën persoonsgegevens, waarvoor een expliciete rechtsgrondslag vereist is.
Voor werkgevers zijn de meest voorkomende situaties:
De AVG kent zes rechtsgrondslagen voor de verwerking van persoonsgegevens. Voor medewerkergegevens zijn er in de praktijk drie relevant.
De verwerking is noodzakelijk voor de uitvoering van de arbeidsovereenkomst. Dit omvat salarisverwerking, roostering, het verstrekken van loonstroken en het beheer van verlof. Hiervoor hoef je geen toestemming te vragen. De overeenkomst zelf is de rechtsgrondslag.
De verwerking is vereist op grond van de wet. Belastingaangifte, sociale verzekeringsbijdragen, registraties in het kader van veiligheid en gezondheid op het werk, en verplicht toezicht op de werkplek (in sommige sectoren) vallen hieronder. Ook hier is geen toestemming nodig.
Je hebt een gerechtvaardigd bedrijfsbelang dat zwaarder weegt dan de privacybelangen van de medewerker. Deze grondslag vraagt om meer zorgvuldigheid. Volgens de AVG moet je jouw belangen afwegen tegen de rechten van de medewerker en die afweging ook documenteren.
E-mailmonitoring is een veelvoorkomend voorbeeld. Je kunt een gerechtvaardigd belang hebben bij het voorkomen van datalekken of het waarborgen van professionele communicatie. Maar je kunt niet zomaar willekeurig e-mails lezen. De monitoring moet proportioneel zijn, beperkt in omvang, en medewerkers moeten weten dat het plaatsvindt.
Toestemming is voor de meeste verwerkingen van medewerkergegevens de verkeerde rechtsgrondslag. Door de machtsongelijkheid tussen werkgever en werknemer is het moeilijk aan te tonen dat toestemming vrijelijk is gegeven. Als je je beroept op toestemming en een medewerker trekt die in, verlies je het recht om die gegevens te verwerken.
Gebruik toestemming alleen als er geen andere grondslag van toepassing is en de verwerking echt vrijwillig van aard is, zoals het plaatsen van een foto van een medewerker op de bedrijfswebsite.
Medewerkers hebben reële, afdwingbare rechten ten aanzien van hun persoonsgegevens. Je hebt een procedure nodig om deze verzoeken te behandelen, want onder de AVG moet je binnen één maand reageren.
Medewerkers kunnen een kopie opvragen van alle persoonsgegevens die je van hen verwerkt, inclusief informatie over hoe je deze gebruikt. Dit heet een inzageverzoek. Je moet een kopie van de gegevens verstrekken, de doeleinden waarvoor ze worden verwerkt, met wie je ze deelt en hoe lang je ze bewaart.
Eén maand is weinig tijd als je gegevens verspreid staan over spreadsheets, e-mailthreads en meerdere systemen. Dit is een van de sterkste argumenten om HR-gegevens in één gestructureerd systeem bij te houden.
Als gegevens onjuist of onvolledig zijn, kunnen medewerkers je vragen deze te corrigeren. Adreswijzigingen, naamswijzigingen na een huwelijk en het corrigeren van fouten in beoordelingsdossiers vallen hier allemaal onder. Dit verloopt doorgaans zonder problemen.
Het 'recht om vergeten te worden'. Medewerkers kunnen je in bepaalde omstandigheden vragen hun gegevens te verwijderen: de gegevens zijn niet langer noodzakelijk, ze trekken hun toestemming in, of de verwerking was onrechtmatig.
Een belangrijke uitzondering voor werkgevers: je hoeft geen gegevens te verwijderen die je wettelijk verplicht bent te bewaren. Belastingdocumentatie moet bijvoorbeeld jarenlang worden bewaard op grond van nationale belastingwetgeving. Voor wettelijk verplichte arbeidsregistraties gelden vergelijkbare bewaartermijnen. Je kunt een verwijderingsverzoek weigeren als een wettelijke bewaarplicht van toepassing is.
Medewerkers kunnen je vragen de verwerking op te schorten terwijl een geschil wordt opgelost, bijvoorbeeld als ze de juistheid van beoordelingsgegevens betwisten. De gegevens blijven in je systemen staan, maar mogen niet worden verwerkt totdat de kwestie is opgelost.
Als je op verzoek van een medewerker gegevens corrigeert of verwijdert, moet je iedereen met wie je die gegevens hebt gedeeld daarvan op de hoogte stellen. In de praktijk betekent dit dat je een duidelijke administratie bijhoudt van met wie je gegevens hebt gedeeld en voor welk doel.
Medewerkers kunnen hun gegevens opvragen in een machineleesbaar formaat, zodat ze deze elders kunnen gebruiken. Dit geldt voornamelijk voor gegevens die zij zelf hebben verstrekt (contactgegevens, bankgegevens) en gegevens die via geautomatiseerde middelen worden verwerkt.
'Bewaar het zolang je het nodig hebt' is geen bewaarbeleid. Je hebt vastgestelde termijnen nodig voor elke categorie gegevens, en je moet gegevens ook daadwerkelijk verwijderen wanneer die termijnen verlopen.
Hieronder een overzicht van gebruikelijke EU-vereisten (controleer altijd de regels voor jouw specifieke rechtsgebied):
| Gegevenstype | Gebruikelijke bewaartermijn |
|---|---|
| Salarisadministratie | 6-10 jaar (belastingwetgeving verschilt per land) |
| Arbeidsovereenkomsten | Duur van het dienstverband + 3-5 jaar |
| Pensioenadministratie | Tot 75 jaar in sommige landen |
| Disciplinaire dossiers | 1-3 jaar na afsluiting |
| Sollicitatiegegevens (afgewezen kandidaten) | 2-6 maanden, tenzij toestemming is gegeven voor een langere termijn |
| Registraties van arbeidsincidenten | 5-40 jaar, afhankelijk van ernst en land |
Stel een proces in om gegevens periodiek te beoordelen en te verwijderen. Gegevens bewaren 'voor het geval dat' is een nalevingsrisico, geen vangnet.
Toestemming klinkt veilig, maar is vaak de verkeerde grondslag voor medewerkergegevens. Zoals hierboven vermeld, is vrijelijk gegeven toestemming binnen een arbeidsrelatie moeilijk aan te tonen. Baseer je verwerking waar mogelijk op de uitvoering van een overeenkomst en wettelijke verplichtingen.
Gegevens die voor altijd bewaard blijven, vormen een aansprakelijkheidsrisico. Stel een bewaarschema op, laat het goedkeuren en automatiseer de verwijdering waar mogelijk.
Elke keer dat je medewerkergegevens deelt met een salarisverwerker, een aanbieder van arbeidsvoorwaarden of een screeningsdienst, vindt er een doorgifte van persoonsgegevens plaats. Deze doorgiften moeten worden geregeld via een verwerkersovereenkomst. Veel kleine bedrijven slaan deze stap over.
HR-gegevens verspreid over e-mails, spreadsheets en lokale schijven maken inzageverzoeken tot een nachtmerrie en vergroten het risico op datalekken. Het centraliseren van medewerkergegevens in één systeem maakt naleving aanzienlijk eenvoudiger te beheren.
Als een medewerker op vrijdagmiddag een inzageverzoek indient: wie behandelt het? Welke systemen controleer je? Hoe stel je de reactie samen? Het vastleggen van deze procedure vóórdat je die nodig hebt, is een stuk minder stressvol dan haasten om binnen een maand te reageren.
Een van de redenen waarom we PersoHR hebben gebouwd, was om dit soort compliance beheersbaar te maken voor kleine teams. Medewerkergegevens staan op één plek, inzageverzoeken kunnen snel worden samengesteld en bewaartermijnen worden automatisch bijgehouden. Het neemt de juridische complexiteit niet weg, maar het elimineert de operationele chaos die naleving in de praktijk zo lastig maakt.
AVG-naleving is geen eenmalig project. Het is een doorlopend onderdeel van hoe je je bedrijf runt. Het goede nieuws: zodra de juiste processen en systemen op hun plek staan, wordt het routine in plaats van een bron van stress.
Probeer PersoHR 30 dagen gratis. Geen creditcard nodig.
Start uw gratis proefperiode