Vanaf 25 mei 2018 geldt er een nieuwe Europese wetgeving, de GDPR (General Data Protection Regulation), in het Nederlands de AVG (Algemene Verordening Gegevensbescherming). De AVG bevat veel specifieke regels met betrekking tot de bescherming van persoonsgegevens en hoe je hier als bedrijf mee om hoort te gaan. Daarnaast staan heeft de toezichthouder in Nederland, de Autoriteit Persoonsgegevens, de bevoegdheid gekregen om hoge sancties op te leggen indien de regels voor het verwerken van persoonsgegevens niet worden nageleefd.
Een jaar na de inwerkingtreding van de AVG
We zijn inmiddels bijna een jaar verder na inwerkingtreding van de AVG. De Autoriteit Persoonsgegevens verwacht dat ondernemers vanaf 25 mei 2019 AVG-proof zijn en heeft aangegeven steviger in te gaan zetten op de handhaving van deze wet, nu ondernemers bekender zijn met de AVG. Dit houdt in dat er meer boetes worden verwacht. Met de pakketten van het AVG-team wordt jouw bedrijf AVG-proof!
Als werkgever verzamel je ontzettend veel persoonsgegevens van (toekomstige of potentiele) werknemers. In het personeelsdossier zitten bijvoorbeeld alleen al de functionerings- en beoordelingsgesprekken, loonstroken en de arbeidsovereenkomst. Daarin staan adresgegevens, salarisgegevens en dergelijke. Als werkgever heb je deze gegevens natuurlijk nodig om uitvoering te geven aan de arbeidsovereenkomst die je met de werknemer hebt. ‘Noodzakelijk voor de uitvoering van de overeenkomst’ is een van de grondslagen die volgens de AVG geldt bij het verwerken van gegevens.
Nog steeds kopzorgen bij het verwerken van de personeelsgegevens
Ondanks dat de AVG bijna een jaar geldt in Nederland, zetten wij in dit artikel nog even een paar punten op een rij waar je rekening mee moet houden met betrekking tot het verwerken van personeelsgegevens.
-
Verwerkersovereenkomst:
Veelal maak je als werkgever gebruik van een externe salarisadministratie. Zij verwerken, in opdracht van de werkgever, de (persoons-)gegevens van de werknemer. Een van de verplichtingen volgens artikel 28 AVG, is dat de werkgever een verwerkersovereenkomst dient aan te gaan met de opdrachtnemer, in dit geval de salarisadministratie. Daarin maak je afspraken over beveiliging van de gegevens, wat de verwerker met de gegevens mag doen, audits, geheimhouding en dergelijke.
-
BSN:
Artikel 46 van de Uitvoeringswet AVG regelt dat een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, bij de verwerking van persoonsgegevens alleen gebruikt mag worden ter uitvoering van die wet, dan wel voor doelen bij de wet bepaald. Dat houdt in het geval van werkgever-werknemer relatie in dat de werkgever deze alleen mag gebruiken voor de uitwisseling van loongegevens met de Belastingdienst. De werkgever mag het BSN niet gebruiken als inlogcode of benoemen in de arbeidsovereenkomst. Een kopie van het ID-bewijs bewaren in de salarisadministratie of doorgeven aan de arbodienst of bedrijfsarts bij ziekte, mag wel.
-
Bewaartermijnen:
Als vuistregel voor het bewaren van persoonsgegevens geldt: je mag de gegevens niet langer mag bewaren dan noodzakelijk. De gegevens van sollicitanten mag je tot vier weken na afronding van het sollicitatieproces bewaren. Als de sollicitant toestemming geeft om het langer te bewaren, geldt een bewaartermijn van een jaar. De loonbelastingverklaring en een kopie van het ID-bewijs dien je als werkgever, vijf jaar na uitdiensttreding te bewaren. Voor de overige gegevens uit het personeelsdossier geldt dat deze twee jaar na uitdiensttreding bewaard mogen blijven.
-
Privacyverklaring:
Als werkgever dien je je werknemers (inclusief sollicitanten) te informeren over de verwerking van de gegevens van de werknemer. Je dient ze onder meer te informeren over welke gegevens gedurende het dienstverband worden verwerkt en hoe lang deze bewaard worden. Deze privacyverklaring moet in makkelijke, begrijpelijke taal geschreven zijn. Als werkgever kan je de werknemer informeren bij indiensttreding middels een informatiebrief maar je kan het ook opnemen in het personeelshandboek. Daarnaast is het raadzaam om in het personeelshandboek gedragsregels op te nemen over hoe jij als werkgever verwacht dat het personeel met de persoonsgegevens van klanten omgaat.
Gegevens tijdens ziekte: Zodra werknemers ziek worden, dienen diverse betrokken partijen gegevens uit te wisselen over deze werknemer. Denk daarbij aan de werknemer zelf, de werkgever, de arbodienst of bedrijfsarts, het re-integratiebedrijf, het UWV en de verzuimverzekeraar. Het recht op bescherming van persoonsgegevens tijdens ziekte is groot. Het is wettelijk niet toegestaan voor werkgevers om te informeren naar de aard en oorzaak van de ziekte van hun werknemers. Alleen de arbodienst of bedrijfsarts mag deze medische gegevens verwerken. Als werkgever mag je zieke werknemers enkel de vragen stellen die noodzakelijk zijn om te kunnen beoordelen hoe het verder moet met hun werkzaamheden en voor het vaststellen van de loondoorbetalingsverplichting, zoals de vermoedelijke duur van het verzuim, (verpleeg)adres.
Goorts + Coppens kan je helpen bij het opstellen van het personeelshandboek en de privacyverklaring voor werknemers. Of heb je de AVG al voor een groot gedeelte geïmplementeerd en wil jij hier graag nog extra ondersteuning bij?
Het AVG-team, bestaande uit juristen van Recht Direct en advocaten van Goorts + Coppens, biedt verschillende pakketten aan die ervoor zorgen dat jouw organisatie AVG proof wordt. Met deze pakketten kun je een keuze maken voor de vorm van ondersteuning die het beste bij jouw organisatie past. Daarnaast hebben we praktische juridische modellen ontwikkeld die je kunt toepassen binnen jouw bedrijf.
Meer weten?
Kijk hier voor de AVG-pakketten:
Neem contact op met:
- Maud Saes (advocaat)
