Privacy/AVG

Het is van belang dat de documenten die je in het dossier bewaart, niet langer bewaard worden dan noodzakelijk. Deze documenten mogen geen ander doel hebben dan waarvoor ze bewaard worden. Ook moeten hier de wettelijke bewaartermijnen in acht genomen worden. Wanneer je de dossiers in de Cloud bewaart, moet er een verwerkingsovereenkomst zijn. Zie ook: Mag je personeelsdossiers digitaal bewaren? Recht op vergetelheid Artikel 17 van de Algemene Verordening Gegevensbescherming (AVG) bepaalt dat een betrokkene een verzoek bij een organisatie kan indienen om zijn of haar persoonsgegevens te wissen. Een (oud)medewerker kan jou hier ook om verzoeken. Het verzoek moet schriftelijk bij jou worden ingediend. Een (oud)medewerker kan onder andere aanvoeren dat de gegevens niet meer nodig zijn binnen de organisatie, zijn of haar toestemming voor de gegevensverwerking intrekken of aanvoeren dat de wettelijke bewaartermijn verlopen is. Let wel: je bent als werkgever wettelijk verplicht om sommige personeelsgegevens voor een bepaalde tijd te bewaren. U hoeft de persoonsgegevens tijdens deze periode dan niet te verwijderen. Voor de bewaartermijnen zie ook: KHN | Hoe zorg ik voor een goed personeelsdossier? Je moet binnen één maand schriftelijk reageren op het verzoek van de (oud)medewerker. Wanneer je besluit de persoonsgegevens te verwijderen dan moet je dit zo snel mogelijk doen.

Waar moet je op letten als je personeelsdossiers digitaal wil bewaren? Wat zijn de veiligheidseisen? KHN geeft antwoord en advies. Personeelsdossiers mogen digitaal bewaard worden. Maar let op! In juridisch opzicht kleven er nogal wat haken en ogen aan het beheren en bewaren van personeelsdossiers. Bijvoorbeeld het treffen van passende beveiligingsmaatregelen en de bewijsfunctie van de personeelsdossiers. Digitaal bewaren Je krijgt te maken met verschillende verplichtingen die voortvloeien uit de Algemene Verordening gegevensbescherming (AVG) en de wet meldplicht datalekken. De volgende verplichting voor het verwerken van de persoonsgegevens zijn het belangrijkst: - Je bent als werkgever verantwoordelijk voor de juistheid en nauwkeurigheid van de gegevens in de personeelsadministratie. - De gegevens moeten het doel dienen waarvoor ze verwerkt worden. Je mag geen overbodige informatie bewaren. - Je dient jouw personeelsleden te informeren over de doeleinden waarvoor je hun gegevens verzamelt. - Je moet passende technische en organisatorische maatregelen treffen om persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking. - Persoonsgegevens mogen niet langer bewaard worden dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor je de gegevens verzamelt of gebruikt. Je moet jouw medewerkers de mogelijkheid bieden hun gegevens in te zien en eventueel te corrigeren. Het recht op inzage geldt in principe voor het gehele personeelsdossier. Werknemers hebben geen recht op inzage in (elektronische) correspondentie in hun personeelsdossier die persoonlijke aantekeningen en gedachten bevat en alleen bedoeld is voor intern overleg en beraad. Wet meldplicht datalekken Sinds 1 januari 2016 regelt de Wet meldplicht datalekken dat je als werkgever een melding moet doen bij de Autoriteit Persoonsgegevens zodra er een datalek is. Een datalek is een toegang tot, vernietiging, wijziging of vrijkomen van persoonsgegevens zonder dat dit de bedoeling was. Denk hierbij bijvoorbeeld aan een gestolen laptop of een verloren USB stick. Vanaf 25 mei 2018 is de privacyregelgeving op Europees niveau geregeld. De wet bescherming persoonsgegevens geldt niet meer en daarvoor is de AVG in de plaats gekomen. Bewijsfunctie van het personeelsdossier De bewijsfunctie is een belangrijk aspect van het personeelsdossier. Denk aan de originele ondertekende arbeidsovereenkomsten, gespreksverslagen enzovoorts. Er dienen strikte voorwaarden gesteld te worden aan het scanproces, het opslaan van de documenten en het beheerproces na het digitaliseren om de authenticiteit te waarborgen. Meer hierover kun je nalezen in de brochure Uw geautomatiseerde administratie en de fiscale bewaarplicht op de website van de Belastingdienst. OR Houd er rekening mee dat een OR instemmingsrecht heeft als het gaat om het invoeren, wijzigen en intrekken van een systeem dat persoonsgegeven van medewerkers verwerkt.

Mag je foto's die je in jouw zaak van je gasten hebt gemaakt zomaar delen via social media? Wat zijn de regels voor portretrecht? KHN geeft antwoord! Stel: Je organiseert een feestje in je zaak en maakt daar leuke foto’s en filmpjes van. Of je krijgt leuke foto’s van je gasten doorgestuurd. Mag je deze beelden delen via jouw website of social media? Portretrecht Als een fotograaf iemand op de foto zet, komt het portretrecht toe aan de afgebeelde persoon en de auteursrechten in principe aan de fotograaf. Portretrecht is persoonlijk en kan alleen worden uitgeoefend door of namens de afgebeelde persoon. Het juridische begrip portret is breder dan in het dagelijkse spraakgebruik wordt gebruikt. Voor een portret is niet vereist dat de geportretteerde daarvoor heeft geposeerd: ook een foto die stiekem gemaakt is, kan een portret zijn. Herkenbaarheid is wel een vereiste voor portretrecht, maar dat moet in dit geval breed worden uitgelegd. Het gaat niet alleen om de herkenbaarheid van het gezicht, maar bijvoorbeeld ook om een bepaalde typerende houding van die persoon. In opdracht of niet? Er wordt binnen het portretrecht onderscheid gemaakt tussen een portret dat in opdracht is gemaakt en een portret dat niet in opdracht is gemaakt. Wanneer een portret in opdracht is gemaakt, zegt dat niet automatisch dat er ook toestemming gegeven is voor publicatie. Het portretrecht beperkt het recht om het openbaar te mogen maken, daarvoor is toestemming vereist van de geportretteerde. Een portret is niet in opdracht gemaakt bij bijvoorbeeld straat- of persfotografie. In zo’n geval kan de afgebeelde persoon zich alleen verzetten tegen publicatie voor zover die persoon een redelijk belang heeft om zich daar tegen te verzetten. Zonder verzet, mag het in principe vrij gepubliceerd worden. Meestal gaat het in het verzet om een belang in de privacysfeer. Het is doorgaans toegestaan om zonder toestemming mensen op beeld te zetten in voor publiek toegankelijke ruimtes. Hierbij moet wel rekening gehouden worden met de belangen van de gefotografeerden. Bij twijfel is het altijd beter om vooraf toch toestemming te vragen. Bewakingscamera's Het inzetten van bewakingscamera’s is toegestaan als dit noodzakelijk is. AVG (de nieuwe privacywet) De Algemene Verordening Gegevensverwerking heeft betrekking op het verwerken van persoonsgegevens. Foto’s van medewerkers of gasten zijn ook persoonsgegevens. Er moet dus worden bepaald wat het doel is om de foto’s te publiceren en er moet expliciete toestemming zijn van de persoon die op de foto staat. Heb je bijvoorbeeld een fotobibliotheek op jouw facebookpagina ter promotie van bepaalde evenementen? Geef dan aan de gasten aan: wij hebben een fotobibliotheek om onze evenementen onder de aandacht te brengen bij potentiële gasten. Wil je je foto’s hier tussen geplaatst zien, mail deze dan naar ons door. Voor medewerkers en smoelenboeken geldt dit ook. Overtreden Wanneer je zonder toestemming toch foto’s publiceert die de privacy van de betrokkene kunnen schaden, dan pleeg je inbreuk op het portretrecht. De betrokkene kan via de rechter verdere verspreiding verbieden en een vergoeding vragen voor de geleden schade. In de meeste gevallen zal de betrokkene kiezen voor een ‘goedkopere optie’ en een brief sturen met het verzoek om de inbreukmakende activiteiten te stoppen. Mocht je geen gehoor geven aan een dergelijke brief, dan kan er een voorlopige voorziening middels een kort geding worden afgedwongen, met daarbij vaak een dwangsom. Met betrekking tot overtreding van de AVG-verplichtingen is het de Autoriteit Persoonsgegevens die controleren naar aanleiding van klachten van betrokkenen of op hun eigen initiatief (bij vermoeden van overtreding). Zij kunnen corrigerende maatregelen nemen, als een waarschuwing of het opleggen van een boete.

Als werkgever bent je verplicht om vanaf het moment dat de medewerker in dienst komt een kopie van zijn/haar geldig legitimatiebewijs in jouw personeelsadministratie te bewaren. Hoe lang moet je de kopie bewaren? En moet je zodra het legitimatiebewijs is vernieuwd ook een nieuwe kopie aan de administratie toevoegen? Als werkgever ben je verplicht om vanaf het moment dat de medewerker in dienst komt een kopie van zijn/haar geldig legitimatiebewijs in jouw personeelsadministratie te bewaren. Een kopie van dit identiteitsbewijs moet je tot minstens vijf jaar na het einde van het kalenderjaar waarin de arbeidsovereenkomst met de medewerker is beëindigd bewaren. Met andere woorden: je moet altijd een kopie kunnen tonen van een geldig identiteitsbewijs op het moment dat de medewerker bij jou in dienst trad. Je hoeft dus geen nieuwe kopie te maken wanneer het identiteitsbewijs verlopen is. Geen rijbewijs Je moet het identiteitsbewijs controleren op geldigheid en echtheid. Het mag op het moment van indiensttreding niet verlopen of beschadigd zijn. Let op: een rijbewijs wordt hier niet als geldig identiteitsbewijs gezien. Werkplekcontrole Wanneer je een werkplekcontrole krijgt van bijvoorbeeld de inspectie van Sociale Zaken en Werkgelegenheid, het UWV, de Belastingdienst of de Vreemdelingenpolitie moet de medewerker een geldig identiteitsbewijs kunnen tonen. In deze situatie is een rijbewijs wel toegestaan. Wanneer de medewerker geen geldig document kan tonen kan hij/zij worden meegenomen naar het politiebureau voor verder onderzoek.

Je mag gegevens bewaren in de cloud of in een dropbox, mits er een verwerkingsovereenkomst is met het betreffende bedrijf. Ook moet je duidelijk vastleggen wie er toegang heeft tot de gegevens en moeten alle rechten voor de eigenaar gewaarborgd blijven.