Personeelsdossier en de AVG: wat mag en wat niet?

Als werkgever leg je allerlei gegevens over je werknemers vast. Van arbeidsovereenkomsten en salarisafspraken tot verslagen van functioneringsgesprekken. Maar welke informatie mag je opnemen in een personeelsdossier? Hoelang mag je deze gegevens bewaren? En wat doe je als een werknemer zijn dossier wil inzien? 

De Algemene Verordening Gegevensbescherming (AVG) stelt duidelijke eisen aan het verzamelen, bewaren en beschermen van persoonsgegevens. Niet alles mag in het dossier en voor verschillende gegevens gelden andere bewaartermijnen.

Personeelsdossier en de AVG: de regels

Een personeelsdossier bevat persoonsgegevens van een werknemer. Daarom moet je bij het aanleggen, gebruiken en bewaren van het dossier rekening houden met de AVG. Je mag alleen gegevens verwerken waarvoor een geldige grondslag bestaat en die noodzakelijk zijn voor een duidelijk doel. 

Persoonsgegevens zijn alle gegevens waarmee je iemand direct of indirect kunt identificeren. Denk aan een naam, adres, e-mailadres of foto. Maar ook informatie over iemands functioneren, salaris en arbeidsverleden valt hieronder. 

De AVG stelt onder meer de volgende eisen: 

• Duidelijk doel: je legt alleen gegevens vast die nodig zijn voor bijvoorbeeld de uitvoering van de arbeidsovereenkomst, personeelsadministratie of het voldoen aan wettelijke verplichtingen.
• Niet meer dan nodig: je verzamelt geen informatie die niet relevant is voor het doel.
• Juist en actueel: je zorgt dat gegevens kloppen en past ze aan wanneer dat nodig is.
• Beperkte bewaartermijn: je bewaart gegevens niet langer dan noodzakelijk, tenzij een wettelijke bewaarplicht geldt.
• Goede beveiliging: je voorkomt dat onbevoegden toegang krijgen tot het personeelsdossier.

Een zorgvuldig bijgehouden personeelsdossier helpt je niet alleen om aan de AVG te voldoen. Het zorgt er ook voor dat je belangrijke afspraken en beslissingen kunt onderbouwen, bijvoorbeeld bij een arbeidsconflict of ontslag.

In een personeelsdossier mogen gegevens staan die noodzakelijk zijn voor het dienstverband en waarvoor een geldige grondslag bestaat. Denk aan de arbeidsovereenkomst, salarisafspraken en verslagen van functioneringsgesprekken. Welke gegevens je vastlegt, hangt af van het doel waarvoor je ze nodig hebt.

De AVG zelf noemt geen algemene bewaartermijn voor het personeelsdossier. Als werkgever moet je persoonsgegevens verwijderen zodra ze niet meer nodig zijn voor het doel waarvoor je ze hebt verzameld. Voor bepaalde documenten gelden wel bewaartermijnen die volgen uit andere wetten. 

Geldt geen wettelijke bewaartermijn, dan geldt voor personeelsgegevens opgenomen in het personeelsdossier doorgaans een richtlijn van maximaal twee jaar bewaren na het einde van het dienstverband.

Overzicht bewaartermijnen personeelsdossier:

Wanneer moet je gegevens eerder verwijderen?

Dat je bepaalde gegevens doorgaans twee jaar na uitdiensttreding mag bewaren, betekent niet dat je ze ook zo lang moet bewaren. 

Zijn gegevens eerder niet meer noodzakelijk en geldt er geen wettelijke bewaarplicht? Dan moet je ze verwijderen. Denk bijvoorbeeld aan verouderde informatie die geen betekenis meer heeft voor de personeelsadministratie of het onderbouwen van een beslissing. 

Ook kunnen specifieke verplichtingen of omstandigheden een andere bewaartermijn rechtvaardigen.

Mag je gegevens langer bewaren?

Soms bestaat een goede reden om persoonsgegevens langer te bewaren. Bijvoorbeeld wanneer je een arbeidsconflict hebt met een voormalige werknemer of wanneer een juridische procedure loopt. 

In zo'n situatie kunnen documenten nodig blijven om een vordering te onderbouwen of verweer te voeren. Denk aan relevante correspondentie, gespreksverslagen of stukken over de beëindiging van het dienstverband. 

Bewaar alleen de gegevens die voor het geschil noodzakelijk zijn. Zodra ook die reden vervalt, moet je opnieuw beoordelen of de gegevens verwijderd moeten worden.

Een werknemer heeft op grond van de AVG recht op inzage in zijn persoonsgegevens. Ook mag hij vragen om een kopie van de persoonsgegevens die je als werkgever verwerkt. Let op: het gaat hier slechts om een kopie van de persoonsgegeven en dus niet van de hele documenten. Dat recht geldt tijdens het dienstverband, maar ook daarna zolang je de gegevens bewaart. 

Een werknemer hoeft niet uit te leggen waarom hij zijn gegevens wil inzien. Het recht op inzage geldt bovendien niet alleen voor feitelijke gegevens, maar ook voor bijvoorbeeld beoordelingen en meningen over de werknemer.

Hoe behandel je een inzageverzoek?

Wanneer een werknemer inzage vraagt in zijn personeelsdossier, is het belangrijk dat je zorgvuldig handelt. 

1. Controleer de identiteit. Zorg dat je weet dat het verzoek afkomstig is van de werknemer of een bevoegd vertegenwoordiger.
2. Breng de persoonsgegevens in kaart. Kijk welke gegevens je verwerkt en welke informatie onder het verzoek valt.
3. Verstrek de gegevens. Geef een kopie van de persoonsgegevens en de wettelijk vereiste informatie over de verwerking.
4. Reageer binnen één maand. Alleen onder bepaalde omstandigheden mag je deze termijn met maximaal twee maanden verlengen. Je moet de werknemer binnen de eerste maand informeren over de verlenging. 

Een werknemer heeft – zoals hiervoor aangegeven - niet automatisch recht op ieder volledig document waarin zijn naam voorkomt. 

De eerste kopie van de persoonsgegevens is in beginsel kosteloos.

Personeelsgegevens verwijderen en veilig vernietigen

Wanneer de bewaartermijn afloopt of gegevens niet meer noodzakelijk zijn, moet je ze verwijderen. Dat geldt voor papieren documenten én digitale personeelsdossiers. 

Het is belangrijk dat persoonsgegevens niet alsnog in verkeerde handen terechtkomen. Zeker bij gevoelige informatie, zoals gegevens over verzuim of arbeidsconflicten. 

Zorg daarom voor een duidelijk proces: 

• Stel per categorie persoonsgegevens een bewaartermijn vast.
• Controleer regelmatig welke documenten verwijderd moeten worden.
• Vernietig papieren documenten op een veilige manier.
• Zorg dat digitale gegevens daadwerkelijk worden verwijderd en regel hoe je omgaat met back-ups.
• Leg binnen je organisatie vast wie verantwoordelijk is voor het verwijderen van gegevens.

Een vast verwijderbeleid voorkomt dat oude personeelsdossiers jarenlang blijven bestaan zonder dat daar een geldige reden voor is.

Zo houd je je personeelsdossiers AVG-proof

Een personeelsdossier dat jarenlang wordt aangevuld zonder duidelijke afspraken over opslag, toegang en bewaartermijnen levert onnodige privacyrisico's op. 

Met een paar praktische maatregelen houd je grip op de gegevens van je werknemers: 

1. Breng persoonsgegevens in kaart. Leg vast welke gegevens je verwerkt, waarom je dat doet en met wie je ze deelt.
2. Maak duidelijke afspraken over toegang. Zorg dat medewerkers alleen de informatie zien die zij voor hun werkzaamheden nodig hebben.
3. Stel een bewaarbeleid op. Maak onderscheid tussen gegevens met een wettelijke bewaartermijn en andere personeelsgegevens.
4. Informeer je werknemers. Leg in een privacyverklaring uit hoe je met hun persoonsgegevens omgaat.
5. Bereid je voor op datalekken. Leg vast wat medewerkers moeten doen wanneer persoonsgegevens verloren gaan of bij de verkeerde persoon terechtkomen.

Door vooraf duidelijke afspraken te maken, verklein je de kans op fouten en weet iedereen hoe te handelen als er toch iets misgaat.

Een zorgvuldig personeelsdossier is belangrijk voor een goede personeelsadministratie. Tegelijkertijd moet je rekening houden met de privacyrechten van je werknemers. Zeker bij arbeidsconflicten, ontslag of verzoeken om inzage roept dat soms lastige vragen op. 

Wil je weten of jouw personeelsdossiers voldoen aan de AVG? Of heb je vragen over bewaartermijnen, inzageverzoeken of het verwijderen van persoonsgegevens? Neem dan contact op met mij of een van de andere privacyrecht advocaten. We helpen je graag met praktische oplossingen die passen bij jouw organisatie.