De persoonsgegevens van een werknemer worden (bewust of onbewust) veelvuldig verwerkt door een werkgever. Op grond van de Wet bescherming persoonsgegevens (hierna: “Wbp”) is een persoonsgegeven ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. Een goed voorbeeld van een persoonsgegeven is een BSN-nummer. Onder het verwerken van persoonsgegevens wordt verstaan ‘elke handeling met betrekking tot persoonsgegevens’. Denk hierbij onder meer aan het verzamelen, vastleggen of verspreiden van persoonsgegevens. De persoonsgegevens van werknemers worden onder meer vastgelegd in een zogenaamd personeelsdossier.

Personeelsdossiers
In de Wbp zijn de voorwaarden neergelegd voor het aanleggen van personeelsdossiers. Zo mag de werkgever niet meer gegevens in het personeelsdossier bewaren dan nodig is. Denk hierbij onder meer aan gegevens die nodig zijn om de arbeidsovereenkomst uit te kunnen voeren, zoals een bankrekeningnummer. Medische gegevens mogen in beginsel niet opgeslagen worden in het personeelsdossier. Dit kan in uitzonderlijke situaties anders zijn, bijvoorbeeld wanneer collega’s op de hoogte moeten zijn van de ziekte van een werknemer om in noodgevallen goed te kunnen handelen.

De persoonsgegevens mogen voorts niet langer bewaard worden dan noodzakelijk is. De algemene richtlijn is een bewaartermijn van twee jaar na datum einde arbeidsovereenkomst. Voor sommige gegevens geldt echter een langere bewaarplicht van bijvoorbeeld vijf jaar na datum einde arbeidsovereenkomst. Een goed voorbeeld hiervan is de loonbelastingverklaring.

Digitaal personeelsdossier
In het kader van de digitalisering krijgen wij steeds vaker vragen van cliënten over de mogelijkheid om over te gaan tot het digitaliseren van personeelsdossiers. Het digitaliseren van personeelsdossiers is als zodanig toegestaan. Wel moeten de persoonsgegevens in een personeelsdossier goed beveiligd worden. Ingevolge artikel 13 van de Wbp dient de werkgever passende technische en organisatorische maatregelen ten uitvoer te leggen om persoonsgegevens te beveiligen. Hoewel dit natuurlijk ook geldt voor het papieren personeelsdossier vereist een digitaal personeelsdossier andere beveiligingseisen. De Autoriteit Persoonsgegevens merkt op dat de werkgever het papieren personeelsdossier pas mag vernietigen zodra voor een goede beveiliging van het digitale dossier is gezorgd.

De technische maatregelen hebben betrekking op de beveiliging van onder meer de apparatuur en de opslag. Denk hierbij bijvoorbeeld aan firewalls als beveiligingsmaatregel. In bijzondere gevallen, zoals bij het beveiligen van gegevens over de gezondheid van werknemers, moeten strengere maatregelen genomen worden. Een zogenaamde tweefactor-authenticatie is hier een goed voorbeeld van. De organisatorische maatregelen zien op het gebruik van de persoonsgegevens binnen de organisatie van de werkgever, zoals door welke personen de gegevens kunnen worden ingezien.

Tot slot
Ofschoon het digitaliseren van personeelsdossiers is toegestaan dient u naast bovengenoemde beveiligingseisen nog rekening te houden met enkele andere aandachtspunten, zoals bijvoorbeeld de (vrije) bewijskracht van een scan van een originele akte. Hierdoor kan het nog steeds aan te bevelen zijn bepaalde essentiële originele documenten (zoals (arbeids-)overeenkomsten) fysiek te bewaren.

Bent u voornemens de personeelsdossiers te gaan digitaliseren of hebt u vragen over de hierbij in acht te nemen aandachtspunten? Neem voor meer informatie contact op met onze arbeidsrechtadvocaten. Zij zijn u graag van dienst.

14 september 2016