Mag ik personeelsdossiers digitaal bewaren?
Ja, je mag personeelsdossiers digitaal bewaren. Als werkgever blijf je wel verantwoordelijk voor een goede beveiliging en voor het naleven van de privacyregels. Bewaar alleen gegevens die je nodig hebt en verwijder gegevens zodra de bewaartermijn is verstreken.
Zorg voor een goede beveiliging
Voorkom dat onbevoegden toegang krijgen tot personeelsgegevens. Zorg er in ieder geval voor dat:
- alleen medewerkers die de gegevens voor hun werk nodig hebben toegang krijgen;
- je werkt met sterke wachtwoorden en bij voorkeur tweestapsverificatie;
- toegangsrechten worden aangepast als iemand van functie verandert of uit dienst gaat;
- je regelmatig back-ups maakt;
- je persoonsgegevens veilig verstuurt;
- je controleert of gegevens nog nodig en actueel zijn.
Niet iedere leidinggevende hoeft toegang te hebben tot het volledige personeelsdossier. Een bedrijfsleider kan bijvoorbeeld wel roosters en verlofgegevens nodig hebben, maar geen toegang tot waarschuwingen of andere vertrouwelijke documenten.
Informeer je medewerkers ook over welke persoonsgegevens je verwerkt, waarom je dat doet, met wie je de gegevens deelt en hoe lang je deze bewaart. Dit kun je opnemen in een privacyverklaring voor medewerkers.
Gebruik je een extern HR- of salarissysteem?
Controleer dan hoe de leverancier met de personeelsgegevens omgaat. Kijk onder meer naar:
- de beveiliging van het systeem;
- waar de gegevens worden opgeslagen;
- wie toegang tot de gegevens heeft;
- hoe datalekken en back-ups zijn geregeld;
- wat er met de gegevens gebeurt als je het contract beëindigt.
Verwerkt de leverancier de persoonsgegevens namens jou? Dan moet je een verwerkersovereenkomst sluiten. Ook als je een externe leverancier inschakelt, blijf je als werkgever verantwoordelijk voor een zorgvuldige verwerking van de gegevens.
Let op met medische gegevens
Gezondheidsgegevens zijn bijzondere persoonsgegevens. Als werkgever mag je deze maar zeer beperkt verwerken. Noteer daarom geen diagnose, behandeling, medicijngebruik of andere medische informatie in het personeelsdossier.
Leg bij ziekte alleen informatie vast die je nodig hebt voor de verzuimadministratie, loonbetaling en re-integratie. Medische informatie hoort bij de bedrijfsarts of arbodienst.
Hoelang mag je personeelsgegevens bewaren?
Er geldt niet één bewaartermijn voor het volledige personeelsdossier. De termijn hangt af van het soort document.
- Loonadministratie en andere fiscale basisgegevens: in beginsel zeven jaar.
- Gegevens die nodig zijn voor de loonheffingen: ten minste vijf kalenderjaren na het kalenderjaar waarin de medewerker uit dienst is gegaan.
- Kopie van het identiteitsbewijs: ten minste vijf kalenderjaren na het kalenderjaar waarin de medewerker uit dienst is gegaan.
Gaat een medewerker bijvoorbeeld in juni 2026 uit dienst? Dan begint de termijn van vijf kalenderjaren na afloop van 2026.
Voor andere documenten, zoals beoordelingsverslagen, waarschuwingen en verslagen van personeelsgesprekken, geldt meestal geen vaste wettelijke bewaartermijn. Bewaar deze niet langer dan nodig voor het doel waarvoor je ze hebt vastgelegd. Controleer personeelsdossiers daarom regelmatig en verwijder verouderde of niet meer relevante informatie.
Let op: op één document kunnen verschillende bewaartermijnen van toepassing zijn. Houd dan rekening met de langste toepasselijke bewaartermijn.
Heeft een medewerker recht op inzage?
Een medewerker heeft recht op inzage in de persoonsgegevens die je over hem of haar verwerkt. De medewerker kan meestal ook om een kopie van deze gegevens vragen.
Dat betekent niet automatisch dat je ieder intern document zonder beoordeling volledig moet verstrekken. Je moet bijvoorbeeld ook rekening houden met de privacy van andere personen. Beoordeel een inzageverzoek daarom zorgvuldig.
Wat moet je doen bij een datalek?
Een datalek kan bijvoorbeeld ontstaan als je:
- een personeelsdossier naar de verkeerde persoon mailt;
- een laptop of USB-stick met personeelsgegevens verliest;
- onbevoegde toegang tot het HR-systeem ontdekt;
- persoonsgegevens per ongeluk verwijdert of niet meer kunt bereiken.
Registreer het incident intern en beoordeel direct of je het datalek bij de Autoriteit Persoonsgegevens moet melden. Een meldplichtig datalek moet in beginsel binnen 72 uur na ontdekking worden gemeld. Bij een hoog risico voor de medewerker moet je mogelijk ook de medewerker informeren.
Let op
Digitaal bewaren betekent niet automatisch dat de gegevens veilig worden bewaard. Maak duidelijke afspraken over toegang, beveiliging en bewaartermijnen. Controleer het digitale personeelsdossier regelmatig en verwijder gegevens die je niet meer nodig hebt.
Neem bij twijfel over privacy, medische gegevens of een inzageverzoek contact op met KHN Advies.