Het beheer van werknemersgegevens: een praktische gids voor de AVG

Voor personeelsdossiers gelden duidelijke regels: wat u verzamelt, wie er toegang toe heeft en wanneer de gegevens moeten worden verwijderd. Begin bij het doel van elk dossier, in plaats van bij een lijst met informatie die op een dag misschien van pas zou kunnen komen.

Feiten gecontroleerd op 21 september 2026. Nationale arbeidsregels en de omstandigheden van de gegevensverwerking zijn eveneens van belang.

Verzamel informatie voor een welbepaald doel

Contactgegevens, salarisgegevens, werktijden en prestatiegegevens dienen verschillende doeleinden. Leg voor elke categorie het doel vast, de personen die toegang nodig hebben en de geldende bewaartermijn. Een HR-systeem dient u te helpen deze onderscheiden duidelijk te houden.

De AVG vereist gegevensminimalisatie. Het feit dat u werkgever bent, houdt geen algemene toestemming in om de privégegevens van een werknemer te verzamelen. Gegevens over strafrechtelijke veroordelingen en overtredingen vallen onder artikel 10, los van de bijzondere categorieën in artikel 9. AVG, artikelen 5, 9 en 10

Gezondheidsinformatie, vakbondslidmaatschap en biometrische gegevens die worden gebruikt voor unieke identificatie vereisen bijzondere zorgvuldigheid. Voor de verwerking van bijzondere categorieën gegevens dient u zowel een rechtsgrondslag op grond van artikel 6 als een toepasselijke voorwaarde op grond van artikel 9 vast te stellen. De noodzaak op grond van het arbeidsrecht overeenkomstig artikel 9, lid 2, onder b), is afhankelijk van toestemming in de EU-wetgeving of nationale wetgeving, of een in aanmerking komende collectieve arbeidsovereenkomst, met waarborgen. EDPB: rechtmatige verwerking en gevoelige gegevens

Kies de rechtsgrond voor elke activiteit

Contractuele noodzaak, wettelijke verplichting en gerechtvaardigde belangen komen veel voor in de arbeidsrelatie, maar de juiste rechtsgrondslag hangt af van de specifieke activiteit. Het feit dat er een clausule in een contract staat, betekent niet dat elk daarmee verband houdend gebruik van gegevens noodzakelijk is. Bij gerechtvaardigde belangen is een beoordeling van de noodzaak en een afweging vereist; voor monitoring kunnen aanvullende nationale regels van toepassing zijn.

Toestemming is vaak ongeschikt wanneer de arbeidsrelatie een vrije keuze in de weg staat. Wanneer toestemming toch wordt gevraagd, moeten weigering en intrekking mogelijk zijn zonder nadelige gevolgen. Leg de rechtsgrondslag vast voordat de verwerking begint. EDPB: rechtsgrondslagen

Leg de verwerking duidelijk uit

Voor informatie die rechtstreeks van de werknemer wordt verzameld, schrijft artikel 13 normaal gesproken voor dat de privacyverklaring moet worden verstrekt op het moment dat de gegevens worden verkregen. Gegevens die elders zijn verkregen, vallen onder artikel 14, met eigen termijnen en uitzonderingen. Ga in op de doeleinden, rechtsgrondslagen, ontvangers, bewaartermijnen, eventuele doorgiften en toepasselijke rechten. Het bevestigen van ontvangst van een kennisgeving houdt geen toestemming in voor alle activiteiten die daarin worden beschreven. AVG, artikelen 13 en 14

Zorg ervoor dat de verklaring na de introductie gemakkelijk te vinden is. Als de werknemer vragen heeft over een specifiek gebruik van zijn of haar gegevens, moet er iemand zijn die het daadwerkelijke proces achter de bewoordingen kan uitleggen.

Verwerk verzoeken van werknemers via een duidelijk proces

Werknemers kunnen toegang en correctie vragen en kunnen, afhankelijk van de omstandigheden, recht hebben op verwijdering, beperking, overdraagbaarheid of bezwaar. Verwijdering is niet onvoorwaardelijk: wettelijke bewaarplichten en rechtsvorderingen kunnen het bewaren van bepaalde gegevens rechtvaardigen. Beperking houdt evenmin een absoluut verbod in op elk gebruik van bewaarde informatie.

Draagbaarheid heeft betrekking op gegevens die door de betrokkene zijn verstrekt en die op basis van toestemming of een overeenkomst geautomatiseerd worden verwerkt. Dit geldt niet voor alle HR-gegevens. Verzoeken moeten doorgaans binnen één maand worden beantwoord; een toegestane verlenging moet binnen die eerste maand worden toegelicht. Correcties, verwijderingen en beperkingen moeten mogelijk aan ontvangers worden meegedeeld, behoudens de uitzonderingen van artikel 19. EDPB: rechten van betrokkenen

Een nuttige interne werkwijze is om:

1. Noteer het tijdstip waarop het verzoek is binnengekomen en wijs een verantwoordelijke aan.
2. Stel vast wat er wordt gevraagd en controleer de identiteit op evenredige wijze.
3. Doorzoek de relevante systemen, met inbegrip van documenten en correspondentie.
4. Controleer het antwoord op informatie van anderen en de van toepassing zijnde beperkingen.
5. Verzend het antwoord op een veilige manier en leg vast wat er is gedaan.

Stel de bewaartermijnen in per type document en rechtsgebied

Er bestaat geen uniforme EU-bewaartermijnentabel voor alle werknemersgegevens. Voor loonadministratie, sollicitatie dossiers en arbeidsgeneeskundige dossiers kunnen verschillende vereisten gelden. Leg voor elke periode vast wat de reden is, wanneer de termijn ingaat, of er een fase met beperkte toegang tot het archief is en wat er gebeurt wanneer de termijn afloopt.

De Franse CNIL publiceert richtlijnen inzake bewaartermijnen voor HR-gegevens, maar de landspecifieke termijnen mogen niet worden gepresenteerd als EU-brede regels. Wettelijke bewaarplichten en wettelijk voorgeschreven bewaartermijnen kunnen wijzigen wanneer verwijdering gepast is. CNIL: bewaartermijnen

Een standaardinstelling van software dient ter beoordeling en vormt geen bewijs dat de gekozen periode wettelijk is toegestaan. Neem exporten, gekoppelde diensten en het beheer van back-ups op in uw proces.

Houd een activiteitenlogboek bij, geen tweede werknemerslijst

Een register van verwerkingsactiviteiten beschrijft werkzaamheden zoals salarisadministratie of werving. Het betreft geen afzonderlijke regel voor elke nieuwe werknemer. Ga er niet vanuit dat de verplichting vervalt bij minder dan 250 medewerkers: de vrijstelling is beperkt en doorlopende HR-verwerking is niet incidenteel. EDPB: registers en verantwoording

Controleer de rol van elke dienstverlener

Wanneer een leverancier namens u gegevens verwerkt, is een verwerkersovereenkomst op grond van artikel 28 vereist. Andere ontvangers kunnen optreden als onafhankelijke of gezamenlijke verwerkingsverantwoordelijken en vereisen een afzonderlijke beoordeling; niet elke gegevensoverdracht houdt een verwerkersrelatie in. AVG, artikelen 26 en 28

Voor doorgiften buiten de EER dient u de toepasselijke adequaatheidsbeslissing of waarborgen te raadplegen, evenals de dienstverleningsovereenkomst. De vestigingsplaats in de EU en de locatie van de server bepalen niet de volledige gegevensstroom. EDPB: internationale doorgiften

PersoHR biedt gegevensexport, werkstroomprocessen voor het wissen van gegevens en auditverslagen ter ondersteuning van deze processen. Uw organisatie dient nog steeds te bepalen welke regels van toepassing zijn, de dienst dienovereenkomstig te configureren en verzoeken te beoordelen alvorens hierop in te gaan.