Privacywetgeving voor werknemersgegevens in Nederland onder de AVG (GDPR)

De verwerking van werknemersgegevens omvat meer dan alleen de salarisadministratie: het verzamelen, opslaan, gebruiken of delen van informatie die een werknemer identificeert, valt er allemaal onder. Onder de AVG (GDPR) zijn personeelsnummers en herleidbare audio- of video-opnamen persoonsgegevens, en voor de verwerking ervan is een van de zes wettelijke grondslagen van de verordening vereist. De werkgever is over het algemeen de verwerkingsverantwoordelijke en moet toelichten welke gegevens worden gebruikt en waarom.

Dat klinkt overzichtelijk totdat routinematige personeelsdossiers samenkomen met monitoring, gezondheidsgegevens of grensoverschrijdende doorgiften. Pas de AVG-beginselen toe op elk doel: verzamel alleen noodzakelijke gegevens, gebruik deze op een behoorlijke en transparante wijze en beveilig ze passend.

In deze gids wordt uitgelegd wat de verwerking van werknemersgegevens inhoudt, wanneer een Functionaris voor Gegevensbescherming (FG) verplicht is, welke bevoegdheden de Autoriteit Persoonsgegevens heeft en hoe internationale doorgiften zijn geregeld. Ook worden de kernbeginselen uiteengezet die werkgevers helpen om rechtmatig om te gaan met personeelsinformatie in Nederland.

Door Joost Hubregtse, Payroll Director.

Joost Hubregtse is Payroll Director bij ICSPayroll, de Nederlandse payroll- en EOR-specialist van Intercompany Solutions. Als ervaren payroll-specialist en voormalig Head of Payroll overziet hij aangiften loonheffingen, aanvragen voor de 30%-regeling en arbeidsrechtelijke compliance voor internationale werkgevers.

Beoordeeld door Joost Hubregtse, Payroll Director, op 6 november 2026.

Wat is de verwerking van persoonsgegevens?

Onder de Europese AVG betekent verwerking elke bewerking die wordt uitgevoerd op persoonsgegevens. Dit omvat het verzamelen, vastleggen, ordenen, opslaan, bijwerken, opvragen, raadplegen, gebruiken, doorzenden, beperken of wissen van informatie. Een Nederlandse werkgever verwerkt gegevens wanneer deze het adres van een werknemer toevoegt aan een personeelsdossier, het salaris berekent of herleidbare beelden van werkplekcamera's bekijkt. Ook personeelsnummers tellen mee wanneer zij een persoon identificeren. De verordening is van toepassing op organisaties die persoonsgegevens verwerken, inclusief werkgevers, ongeacht of dossiers digitaal of op papier worden bijgehouden.

In een arbeidsrelatie is de werkgever doorgaans de verwerkingsverantwoordelijke en de werknemer de betrokkene. De verwerkingsverantwoordelijke bepaalt het doel en de middelen voor de verwerking van persoonsgegevens. Voordat gegevens worden gebruikt, moet de werkgever een wettelijke grondslag vaststellen en het personeel informeren over welke gegevens worden gebruikt en waarom. Een arbeidsovereenkomst kan de verwerking rechtvaardigen die nodig is om verplichtingen uit de overeenkomst na te komen, zoals het betalen van het afgesproken loon. Het rechtvaardigt echter niet het verzamelen van niet-gerelateerde informatie of het hergebruiken van dossiers voor een ander doel zonder te beoordelen of dat doel verenigbaar is.

De AVG biedt zes wettelijke grondslagen voor verwerking. De juiste grondslag hangt af van het doel, en niet louter van de voorkeur van de werkgever:

• Overeenkomst: verwerking die noodzakelijk is voor de uitvoering van de arbeidsovereenkomst met de werknemer, zoals de salarisadministratie.
• Wettelijke verplichting: verwerking die wettelijk verplicht is, zoals salarisgegevens die nodig zijn voor de wettelijke verplichtingen rondom loonheffingen.
• Gerechtvaardigd belang: verwerking die wordt onderbouwd door een gedocumenteerde afweging tussen het belang van de werkgever en de rechten van de werknemer.
• Toestemming: alleen geldig wanneer deze in vrijheid is gegeven. Door de gezagsverhouding in een dienstverband is een werkelijk vrije keuze vaak problematisch.
• Vitale belangen: verwerking die noodzakelijk is om het leven of de fysieke integriteit van iemand te beschermen.
• Algemeen belang: verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag.

Verwerkingsverantwoordelijken moeten tevens een verwerkingsregister bijhouden op grond van artikel 30 AVG. Een doeltreffend register koppelt elk doel aan de betrokken gegevens, de ontvangers, bewaartermijnen en beveiligingsmaatregelen. Een vermelding voor de salarisadministratie moet bijvoorbeeld het doel van de loonadministratie vermelden, de relevante werknemersgegevens, geautoriseerde ontvangers en de geldende bewaartermijnen. Deze registers helpen aantonen hoe de werkgever aan zijn verplichtingen voldoet en maken het eenvoudiger om overbodige verwerkingen te identificeren. Ze moeten de werkelijke praktijk weerspiegelen, en niet slechts een ideaalproces beschrijven dat in werkelijkheid niet plaatsvindt.

De Nederlandse Wet politiegegevens (Wpg) staat los van gewone gegevensverwerkingen door werkgevers onder de AVG. Deze wet regelt de verwerking van politiegegevens door de politie en aangewezen diensten en instanties. De reguliere personeelsdossiers van een werkgever worden niet opeens politiegegevens omdat er melding wordt gemaakt van een incident. Gegevens over strafrechtelijke veroordelingen en strafbare feiten genieten afzonderlijke AVG-bescherming, waardoor het doel en de wettelijke voorwaarden hiervan zorgvuldig moeten worden beoordeeld alvorens tot verwerking over te gaan.

Tot slot brengt een inbreuk in verband met persoonsgegevens (datalek) een meldplicht met zich mee. Bedrijven die verantwoordelijk zijn voor een datalek in Nederland moeten dit volgens de Autoriteit Persoonsgegevens binnen 72 uur melden. Een inbreuk kan bestaan uit ongeoorloofde toegang tot, verlies van of openbaarmaking van personeelsdossiers. Een accuraat verwerkingsregister helpt om snel in kaart te brengen welke informatie is getroffen en ondersteunt een tijdige opvolging.

Vereisten voor een Functionaris voor Gegevensbescherming

De Algemene verordening gegevensbescherming vereist een Functionaris voor Gegevensbescherming (FG / DPO) in specifiek omschreven situaties, en niet enkel omdat een organisatie personeel in dienst heeft. Op grond van artikel 37 AVG is een FG verplicht voor overheidsinstanties en voor organisaties van wie de kernactiviteiten bestaan uit regelmatige en stelselmatige observatie op grote schaal, of uit grootschalige verwerking van bijzondere categorieën persoonsgegevens. Voor een werkgever is de cruciale toets of deze activiteiten onderdeel uitmaken van de kernactiviteiten en een grote schaal bereiken. Reguliere personeelsadministratie op zich is geen directe aanleiding voor deze verplichting.

Monitoring kan betrekking hebben op het stelselmatig observeren van personen, terwijl bijzondere categorieën persoonsgegevens gevoelige informatie betreffen, zoals gezondheidsgegevens van werknemers. Een organisatie moet de werkelijke aard en omvang van haar kernactiviteiten evalueren. Een werkpleksysteem dat personeel intensief monitort, roept een andere vraag op over de aanstelling van een FG dan gewone toegangslogging. Evenzo vereist het verwerken van gevoelige werknemersgegevens als kernactiviteit aandacht voor de vraag of dit op grote schaal gebeurt. De verplichting hangt af van deze criteria, niet van een functietitel of een algemene interesse in gegevensbescherming.

Een gegevensbeschermingseffectbeoordeling (DPIA) is een afzonderlijke verplichting. Op grond van artikel 35 AVG moet een organisatie een DPIA uitvoeren wanneer een voorgenomen verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. Een werkgever die bijvoorbeeld grootschalige monitoring van personeel plant, moet de risico's beoordelen voordat de verwerking aanvangt. De beoordeling onderzoekt het beoogde gebruik en de waarschijnlijke impact, en stelt vervolgens maatregelen vast om het risico te verkleinen. Een DPIA betekent niet automatisch dat een FG verplicht is. Beide vereisten kunnen echter van toepassing zijn op dezelfde verwerking wanneer aan de respectieve criteria wordt voldaan.

De privacy van werknemers valt tevens onder bredere Europese mensenrechtenkaders. Artikel 8 van het Europees Verdrag voor de Rechten van de Mens beschermt het recht op eerbiediging van het privéleven, wat relevant kan zijn wanneer werkgevers personeel monitoren. De AVG richt zich op de verwerking van persoonsgegevens; het Verdrag benadert privacy in bredere zin. Artikel 8 van het Handvest van de grondrechten van de EU draagt eveneens bij aan de bescherming van persoonsgegevens. Het Databeschermingsverdrag van de Raad van Europa dateert uit 1981 en staat ook bekend als Verdrag 108. Samen bieden deze instrumenten de context voor het beoordelen van privacy en gegevensbescherming op de werkplek.

Werknemers in Nederland kunnen privacyklachten indienen bij de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens. Een gegronde klacht kan leiden tot een boete voor de organisatie. De Uitvoeringswet AVG (UAVG) bevat tevens een geheimhoudingsplicht voor de FG: volgens artikel 38, lid 5 UAVG moet een FG geheimhouding betrachten ten aanzien van informatie die is verkregen via een klacht of verzoek van een betrokkene, tenzij diegene instemt met openbaarmaking. Dit is van groot belang wanneer een werknemer zich vertrouwelijk tot de FG wendt. Een duidelijke interne procedure waarborgt deze vertrouwelijkheid terwijl de organisatie de zorg oppakt.

Voor werkgevers is het praktische onderscheid helder: beoordeel de noodzaak van een FG aan de hand van de kernactiviteiten, en toets elk risicovol verwerkingsplan op de noodzaak van een DPIA. Het documenteren van deze afwegingen helpt verantwoorden waarom een FG of effectbeoordeling vereist is, of juist waarom de criteria niet van toepassing zijn.

Wat kan de Autoriteit Persoonsgegevens doen?

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder voor gegevensbescherming. Zij houdt toezicht op de naleving van de AVG, de Richtlijn gegevensbescherming opsporing en vervolging en andere wetten rondom persoonsgegevens. In arbeidszaken kan dit inhouden dat zij onderzoekt hoe een organisatie omgaat met personeelsdossiers, werknemers monitort of reageert op de rechten van betrokkenen. De AP kan beoordelen of een verwerking een rechtmatig doel heeft en of de waarborgen aansluiten bij de risico's. Haar rol behelst meer dan alleen boetes: toezicht kan een organisatie er ook toe dwingen haar werkwijze aan te passen.

De AVG heeft een rechtstreekse werking in Nederland, terwijl de Uitvoeringswet AVG (UAVG) nationale regels stelt waar de Europese verordening dat toestaat. De UAVG bevat Nederlandse bepalingen over zaken als nationaal toezicht en de toepassing van specifieke AVG-voorschriften. Werkgevers moeten rekening houden met zowel de algemene Europese eisen van de AVG als de relevante Nederlandse bepalingen, en de UAVG niet beschouwen als een vervanging van de verordening.

De AP kan onderzoek doen naar vermoedens van niet-naleving en corrigerende maatregelen treffen onder de AVG. Afhankelijk van de kwestie kunnen maatregelen bestaan uit een bevel om de verwerking in overeenstemming te brengen met de regels, een beperking van de verwerking of een verbod op een specifiek gebruik van werknemersgegevens. Onder artikel 58, lid 6 AVG geeft de UAVG de AP tevens de bevoegdheid om bestuursdwang toe te passen of een last onder dwangsom op te leggen. Een organisatie die doorgaat met een verwerking die in strijd is met de privacyregels, kan bijvoorbeeld te maken krijgen met een herstelsanctie, versterkt met een dwangsom om naleving af te dwingen.

De financiële risico's kunnen aanzienlijk zijn. De Autoriteit Persoonsgegevens kan AVG-boetes opleggen tot 4% van de wereldwijde jaaromzet of EUR 20 miljoen, afhankelijk van welk bedrag hoger is. De uiteindelijke sanctie hangt af van de overtreding en de omstandigheden van het geval. De AP kan kijken naar de verwerkingsactiviteiten van de organisatie, de getroffen beveiligingsmaatregelen en of er eerder actie is ondernomen na signalen. Een verwerkingsregister en duidelijke dossiervorming van beslissingen helpen aantonen hoe het beleid op de werkplek is ingericht en beheerd.

Toestemming is geen universele oplossing voor privacyvraagstukken op de werkvloer. De AP beoordeelt kritisch of toestemming daadwerkelijk in vrijheid is gegeven en of een andere grondslag niet beter past bij het doel. Werkgevers moeten kunnen uitleggen waarom zij elke categorie werknemersgegevens gebruiken, wie daartoe toegang heeft en hoe de genomen maatregelen risico's beperken. Goede interne administratie maakt het eenvoudiger om deze onderbouwing tijdens een toezichtprocedure te overleggen.

Een organisatie die een besluit van de AP ontvangt, kan binnen zes weken bezwaar maken en vervolgens in beroep gaan bij de bestuursrechter. Deze stappen betreffen bestuursrechtelijke besluiten; ze schorten niet automatisch elke nalevingsplicht op. De praktische prioriteit voor werkgevers is het oplossen van het onderliggende verwerkingsprobleem, het bewaren van relevante documentatie en het volgen van de formele bezwaar- en beroepsprocedure wanneer zij het besluit aanvechten.

Internationale doorgifte van gegevens

Nederlandse werkgevers moeten werknemers informeren over welke persoonsgegevens zij gebruiken en waarom. Wanneer een werknemer een verzoek om inzage in diens persoonsgegevens indient, moet de werkgever binnen een maand reageren. Deze verplichtingen zijn eveneens van belang wanneer informatie naar het buitenland wordt verzonden: werknemers moeten begrijpen wie de gegevens ontvangt en voor welk doel.

Een doorgifte vanuit Nederland naar een ander land is alleen toegestaan als dat land een passend beschermingsniveau biedt of als er passende waarborgen zijn getroffen. Artikel 44 AVG stelt voorwaarden aan de doorgifte naar derde landen. Voordat salarisgegevens worden verzonden naar een buitenlandse groepsmaatschappij of dienstverlener, moeten de bestemming, ontvanger, betrokken gegevens en het doel worden vastgesteld. Bepaal vervolgens welke bescherming of waarborg van toepassing is op die doorgifte. Een contract alleen neemt de noodzaak om aan de AVG-doorgiftevoorwaarden te voldoen niet weg.

Kijk naar de volledige verwerkingsketen. Een werkgever kan personeelsdossiers in het ene land opslaan, terwijl een payroll-team en een buitenlandse moedermaatschappij er vanuit een ander land toegang toe hebben. Breng elke ontvanger en de gedeelde informatie in kaart, zoals salarisdetails of contactgegevens. Beperk doorgiften tot de gegevens die noodzakelijk zijn voor het gestelde doel. Leg de bestemming en waarborgen vast in de verwerkingsdocumentatie van de organisatie en herbeoordeel de regeling zodra de ontvanger, het doel of de bestemming wijzigt.

Wanneer een externe leverancier werknemersgegevens verwerkt namens de werkgever, vereist artikel 28 AVG een verwerkersovereenkomst. Die overeenkomst moet de rol van de leverancier en de instructies van de werkgever weerspiegelen. Het vervangt echter niet de doorgiftebeoordeling wanneer de leverancier of diens systemen zich in een derde land bevinden. Zorg dat de overeenkomst, de doorgiftebeoordeling en de privacyverklaring voor werknemers op elkaar zijn afgestemd. Een kennisgeving over de salarisadministratie moet bijvoorbeeld de relevante ontvangers benoemen en het doel van de gegevensdeling toelichten.

E-mail- en internetbeleid vormen een ander cruciaal onderdeel van transparante gegevensverwerking op het werk. Nederlandse werkgevers moeten het personeel informeren over het bedrijfsbeleid ten aanzien van e-mail en internet. Een richtlijn of gedragscode kan regels stellen voor het gebruik van internet en sociale media op de werkplek. Daarin kan worden uitgelegd wat is toegestaan tijdens werktijd, wat de werkgever monitort en waarom controle een welomschreven bedrijfsbelang dient. Werknemers moeten deze informatie ontvangen voordat de regels van invloed zijn op hun gebruik van bedrijfssystemen.

Werkgevers mogen controleren of personeel zich aan de regels voor internet en sociale media houdt, maar monitoring van privégebruik moet het grondrecht van werknemers op privacy respecteren. Als controleapparatuur of -software wordt ingezet om naleving te monitoren, moeten werknemers vooraf worden geïnformeerd. Blijkt uit de controle dat er sprake is van een overtreding van de bedrijfsregels, dan moet de werknemer daar eveneens van op de hoogte worden gesteld. Vermeld de reden en reikwijdte van de monitoring in het beleid en zorg dat de werkelijke praktijk exact overeenkomt met die toelichting.

Zorg voor consistentie tussen het doel, de ontvangers, de waarborgen en de informatievoorziening aan werknemers bij elke doorgifte of monitoringregeling. Heldere documentatie verklaart waarom gegevens grenzen overschrijden of waarom werkpleksystemen worden gemonitord, en ondersteunt tegelijkertijd het inzagerecht en de transparantierechten van werknemers.

AVG-beginselen voor werknemersgegevens

De beginselen van de AVG bepalen hoe Nederlandse organisaties moeten omgaan met werknemersinformatie. Ze gelden gedurende de gehele levenscyclus: van het verzamelen van gegevens van een sollicitant tot het vernietigen van dossiers van een ex-werknemer. Naleving vereist meer dan het publiceren van een privacybeleid. Elk gebruik vereist een duidelijk doel, minimale gegevens, passende toegangsrechten en een beargumenteerde bewaartermijn. Deze beginselen vormen de kern van de privacywetgeving voor werknemersgegevens in Nederland onder de AVG en zijn van toepassing in alle EU-lidstaten.

• Rechtmatigheid, behoorlijkheid en transparantie: stel een geldige wettelijke grondslag vast, behandel werknemers op een eerlijke manier en wees duidelijk over de verwerking.
• Doelbinding: verzamel gegevens uitsluitend voor welbepaalde doeleinden. Gebruik sollicitatieaantekeningen niet zomaar voor functioneringsgesprekken zonder te beoordelen of dat verenigbaar is.
• Gegevensminimalisatie: vraag alleen de gegevens op die noodzakelijk zijn voor de taak. Een manager die een rooster maakt, heeft beschikbaarheid nodig, geen overbodige privégegevens.
• Juistheid: houd gegevens accuraat en werk ze bij wanneer omstandigheden veranderen, zoals bij gewijzigde contactgegevens.
• Opslagbeperking: bewaar personeelsdossiers niet langer dan noodzakelijk is voor het doel of dan wettelijk verplicht is.
• Integriteit en vertrouwelijkheid: bescherm dossiers tegen ongeoorloofde toegang, verlies of openbaarmaking met beveiligingsmaatregelen die zijn afgestemd op het verwerkingsrisico.
• Verantwoordingsplicht: documenteer beslissingen en maatregelen om aan te tonen dat aan de overige beginselen wordt voldaan.

Gezondheidsgegevens vereisen extra zorgvuldigheid. Dit zijn bijzondere categorieën persoonsgegevens onder artikel 9 AVG en mogen alleen onder strikte voorwaarden worden verwerkt. Werkgevers moeten onderscheid maken tussen noodzakelijke werkgerelateerde informatie (zoals functionele beperkingen) en medische diagnoses. Informatie over strafrechtelijke veroordelingen en feiten valt onder artikel 10 AVG en kent specifieke beschermingsregels. Beperk de toegang tot personen die de informatie strikt nodig hebben voor hun functie en verzamel geen gevoelige gegevens zonder wettelijke grondslag en toepasselijke uitzondering.

Monitoring op de werkplek raakt meerdere beginselen tegelijk. Bepaal vooraf het doel voordat e-maillogs of internetgebruik worden gecontroleerd, beperk de onderzochte informatie en weeg af of de methode evenredig is. Een brede controle van privéberichten verzamelt al snel meer dan voor het gestelde doel nodig is. Licht het controlebeleid toe, beperk de toegang tot de resultaten en bewaar bevindingen niet langer dan noodzakelijk. Hiermee brengt u transparantie, gegevensminimalisatie en vertrouwelijkheid in de praktijk.

Beveiliging moet passen bij de aard en de risico's van de verwerking. Artikel 32 AVG vereist passende technische en organisatorische maatregelen. Toegangscontroles, rolgebaseerde autorisaties en veilige procedures verminderen de risico's rond personeelsdossiers. Privacy by design bouwt gegevensbescherming in vanaf de ontwerpfase van een systeem. Privacy by default configureert systemen standaard met privacyvriendelijke instellingen, tenzij een gerechtvaardigde behoefte anders vereist. Het toepassen van privacywetgeving voor personeelsgegevens in Nederland onder de AVG betekent dat deze waarborgen een vast onderdeel worden van uw operationele beslissingen.

Voor het opzetten van een Nederlandse tewerkstelling kunt u ondersteuning bij aannemen in Nederland verkennen, afgestemd op deze privacybeginselen.

ICSPayroll

ICSPayroll ondersteunt internationale werkgevers bij het beheren van personeel en payroll in Nederland, waar werknemersgegevens een vast onderdeel vormen van de dagelijkse administratie. De Employer of Record (EOR)- en Nederlandse payroll-diensten helpen om lokale werkgevers- en salarisverplichtingen gestructureerd in te richten. Deze diensten zijn waardevol wanneer een organisatie personeel aanneemt in Nederland en een ordelijke aanpak van personeelsdossiers nodig heeft binnen de bredere AVG-verplichtingen.

Voor bedrijven die een Nederlands team opbouwen, kan een EOR lokaal werkgeverschap faciliteren zonder dat de onderneming direct zelf een entiteit hoeft op te richten of werknemers in dienst hoeft te nemen. Werkgevers die al een lokale entiteit hebben, kunnen gebruikmaken van Dutch Payroll voor de salarisadministratie. Geen van beide diensten neemt echter de verantwoordelijkheid van de organisatie weg om te bepalen waarom zij persoonsgegevens verwerkt en om die gegevens passend te beveiligen.

Neem contact op met ICSPayroll om uw wensen voor tewerkstelling of salarisadministratie in Nederland te bespreken.

Maak privacy een vast onderdeel van uw personeelsbeleid

Privacy van werknemers werkt het beste wanneer het een rol speelt in alledaagse beslissingen, in plaats van te worden behandeld als een losstaand beleidsdocument. Wijs bij veranderende rollen, systemen en verantwoordelijkheden een duidelijke eigenaar aan voor het toezicht op het gebruik van personeelsgegevens. Zo blijven uw privacypraktijken in lijn met uw operationele processen in Nederland.

Voor internationale werkgevers betekent het naleven van de privacywetgeving voor werknemersgegevens in Nederland onder de AVG ook dat de personeelsadministratie moet worden afgestemd op verantwoorde gegevensverwerking. ICSPayroll ondersteunt werving en tewerkstelling in Nederland via Employer of Record (EOR), Nederlandse salarisadministratie en aanvragen voor de 30%-regeling. De juiste ondersteuning hangt af van uw operationele behoeften, terwijl de verantwoordelijkheid voor rechtmatige gegevensverwerking bij de betreffende verwerkingsverantwoordelijke blijft liggen.

Bespreek uw behoeften op het gebied van Nederlands werkgeverschap en payroll met ICSPayroll. Een duidelijk operationeel plan helpt uw organisatie met vertrouwen vooruit.

Veelgestelde vragen

Mag de werkgever de elektronische communicatie van de werknemer monitoren, inzien of controleren?

Ja, maar monitoring moet een welomschreven werkdoel dienen en de privacy van de werknemer respecteren. Een werkgever mag bijvoorbeeld zakelijke e-mails controleren om een gedocumenteerd veiligheidsincident te onderzoeken, terwijl het integraal inzien van privéberichten doorgaans onevenredig is. Nederlandse werkgevers moeten personeel informeren over het e-mail- en internetbeleid en hen vooraf waarschuwen als er controleapparatuur wordt gebruikt. Het beleid moet de reden en omvang van de controle toelichten.

Heeft een werknemer recht op inzage in alle gegevens die de werkgever over hem of haar bewaart?

Werknemers hebben het recht op inzage in hun eigen persoonsgegevens, maar dit betekent niet automatisch dat zij toegang hebben tot elk bedrijfsdocument. Een verzoek kan betrekking hebben op persoonsgegevens in salarisadministraties, functioneringsverslagen of correspondentie. De werkgever moet de gegevens identificeren die betrekking hebben op de werknemer en reageren via de vastgestelde inzageprocedure. Een duidelijk overzicht van personeelssystemen helpt om relevante gegevens te traceren zonder persoonsgegevens te verwarren met algemene bedrijfsdocumenten.

Is de AVG rechtstreeks van toepassing in Nederland?

Ja. De AVG is een verordening van de Europese Unie die rechtstreeks van toepassing is in Nederland en andere EU-lidstaten. De verordening is rechtstreeks van toepassing sinds 25 mei 2018. Nederlandse organisaties passen de vereisten ervan toe op de verwerking van persoonsgegevens, naast de aanvullende nationale regels in de Uitvoeringswet AVG (UAVG). Voor een werkgever betekent dit dat personeelsdossiers onder hetzelfde Europese kader vallen als andere persoonsgegevens die de organisatie verwerkt.

Hoe lang mag een werkgever gegevens van werknemers bewaren na afloop van het dienstverband?

De bewaartermijn hangt af van het doel van het document en eventuele wettelijke verplichtingen. Nederlandse werkgevers bewaren personeelsdossiers doorgaans tot twee jaar na beëindiging van het dienstverband. Voor loonbelasting- en fiscale gegevens geldt een afzonderlijke wettelijke fiscale bewaarplicht van zeven jaar. Deze termijnen vormen geen uniforme deadline: maak onderscheid tussen reguliere personeelsdocumentatie en gegevens die nodig zijn voor fiscale verplichtingen, en verwijder of anonimiseer gegevens zodra er geen doel of wettelijke verplichting meer bestaat.

Hoe snel moet een organisatie reageren op een inzageverzoek?

Een organisatie moet binnen één maand reageren op een inzageverzoek van een werknemer. Het verzoek heeft betrekking op de persoonsgegevens die de organisatie over die werknemer bewaart, zoals gegevens in personeels- of salarissystemen. Een praktische procedure registreert wanneer het verzoek is binnengekomen, brengt in kaart welke systemen en teams de relevante gegevens beheren en coördineert het antwoord vóór de deadline. Centrale afhandeling voorkomt dat dossiers tussen afdelingen over het hoofd worden gezien.

Wat zijn de gevolgen als een werkgever de AVG overtreedt?

Een overtreding kan leiden tot corrigerende maatregelen of een boete van de Autoriteit Persoonsgegevens. De toezichthouder kan AVG-boetes opleggen tot 4% van de wereldwijde jaaromzet of EUR 20 miljoen, afhankelijk van welk bedrag hoger is. Een werknemer die materiële of immateriële schade lijdt door een inbreuk kan bovendien schadevergoeding vorderen bij de civiele rechter op grond van artikel 82 AVG. De uitkomst hangt af van de aard van de inbreuk, de gevolgen en de reactie van de organisatie.

Wat houdt 'verwerking' precies in?

Verwerking omvat alle bewerkingen die worden uitgevoerd op persoonsgegevens, en dus niet alleen het verzamelen ervan. Het invoeren van bankgegevens van een nieuwe werknemer, het opslaan van een ondertekend contract, het wijzigen van een adres, het delen van salarisgegevens met een geautoriseerde salarisverwerker of het verwijderen van een oud dossier zijn bijvoorbeeld allemaal vormen van verwerking. Dit geldt ongeacht of de werkgever een digitaal platform of papieren mappen gebruikt. De graadmeter is of een handeling betrekking heeft op informatie die een werknemer identificeert.

Wat moet een organisatie geregeld hebben?

Een organisatie moet voor elk gebruik van werknemersgegevens een omschreven doel en wettelijke grondslag hebben, duidelijke informatie verstrekken aan het personeel en een verwerkingsregister bijhouden. Ook moet zij beschikken over passende beveiligingsmaatregelen, verwerkersovereenkomsten met toeleveranciers die gegevens verwerken, en procedures voor inzageverzoeken en datalekken. Een payroll-workflow moet bijvoorbeeld vastleggen wie toegang heeft tot salarisdossiers, waarom zij die toegang nodig hebben en hoe de organisatie die gegevens beveiligt.

Artikel door

Joost Hubregtse

Joost Hubregtse is Director van ICS Staffing & Payroll B.V., de volledige dochteronderneming van Intercompany Solutions achter ICS Payroll. Hij is verantwoordelijk voor Employer of Record en Nederlandse payroll-diensten: arbeidsovereenkomsten, aangiften loonheffingen en sociale premies, vakantiegeld, pensioen, ziekteverzuim en CAO-compliance, met onboarding mogelijk binnen 48 uur.