Personeelsgegevens en de AVG, nuchter bekeken

Rond de AVG hangt in veel KMO's een mengeling van schrik en gelatenheid: te ingewikkeld om helemaal juist te doen, dus doen we maar wat. Voor personeelsgegevens is dat jammer, want de regels komen in de praktijk neer op gezond verstand, en naleven is vooral een kwestie van opruimen.

De kern in drie vragen

1. Waarom bewaar je dit gegeven? Voor elk veld in een personeelsdossier moet er een reden zijn: de loonadministratie, een wettelijke verplichting, de uitvoering van het contract. Kun je geen reden noemen, dan hoort het gegeven er niet in.
2. Wie kan erbij? Personeelsgegevens zijn er voor wie ze nodig heeft, niet voor iedereen met een login. Toegang volgt de rol: de zaakvoerder ziet meer dan een teamleider, en een medewerker ziet alleen zichzelf.
3. Hoe lang bewaar je het? Ook na een vertrek mag en moet je bepaalde gegevens bewaren, sommige zelfs jarenlang, maar niet alles en niet eeuwig. Spreek per soort gegeven een termijn af.

Wat dit praktisch betekent

• Verzamel personeelsgegevens op één plek in plaats van verspreid over mailboxen en losse lijsten; verspreide kopieën zijn het echte risico.
• Wees terughoudend met vrije-tekstvelden en losse notities over personen; schrijf alsof de medewerker meeleest, want inzagerecht bestaat.
• Zorg dat je kunt aantonen wie wat heeft aangepast; een auditlogboek maakt dat aantoonbaar in plaats van aannemelijk.
• Sluit een verwerkersovereenkomst met elke leverancier die personeelsgegevens voor jou verwerkt, ook je HR-software.

Dit artikel is een praktische leidraad, geen juridisch advies. In Tilly helpen de rollen, het auditlogboek en het centrale dossier je om dit waar te maken; de verwerkersovereenkomst vind je gewoon op de website.