MKB werkgever doe hier uw voordeel mee!
Per 25 mei 2018 is hij er: de Algemene Verordening Gegevensbescherming (AVG). Vanaf 25 mei geldt in de hele Europese Unie dezelfde privacywetgeving. De nationale Wet bescherming persoonsgegevens (Wbp) wordt dan vervangen en geldt niet meer. Veel regels blijven hetzelfde. Maar de AVG introduceert ook nieuwe verplichtingen voor werkgevers. In deze blog zet ik op een rij wat er verandert en geef ik vijf tips voor werkgevers om aan de AVG te voldoen.
Elke onderneming die personeel in dienst heeft, verwerkt persoonsgegevens. Persoonsgegevens zijn gegevens die direct tot een persoon herleidbaar zijn, bijvoorbeeld de naam, het adres en de woonplaats van een werknemer. Maar ook foto’s met daarop het gezicht van een werknemer vallen onder persoonsgegevens. Dat geldt ook voor de indirecte gegevens, zoals informatie in het personeelsdossier over het functioneren of de arbeidsongeschiktheid van een werknemer. Het begrip ‘persoonsgegevens’ is dus erg ruim en kan daardoor in de praktijk op honderden situaties van toepassing zijn. De AVG legt meer verantwoordelijkheid bij u als werkgever om de gegevens van uw personeel (nog) beter te beschermen.
Boetes
Bovendien kunt u straks als werkgever worden geconfronteerd met een (hoge) boete als u de AVG niet naleeft. Een goede voorbereiding op de inwerkingtreding van de AVG is dan ook belangrijk. Met nog drie maanden te gaan voordat de nieuwe regels zullen gelden, is het de hoogste tijd om na te denken over uw AVG-bedrijfsvoering.
Wat verandert er?
Rechten werknemers
Op het gebied van rechten van werknemers verandert het volgende:
1. Recht op informatie
Onder de AVG krijgt de werknemer het recht op informatie over zijn privacyrechten. Zo heeft de werknemer straks het recht te weten hoe lang de werkgever zijn gegevens wil bewaren en heeft de werknemer het recht om te weten waar hij bezwaar kan maken of waar hij een klacht kan indienen als deze regels niet of niet juist worden nageleefd.
2. Recht op kopie
Daarnaast kan de werknemer een kopie van zijn volledige personeelsdossier opvragen. De werkgever zal aan dit verzoek moeten voldoen, tenzij de privacyrechten van anderen daarmee worden geschonden.
3. Recht op vergetelheid
Verder krijgt de werknemer een expliciet recht om ‘vergeten’ te worden. De werknemer heeft er recht op dat zijn gegevens worden verwijderd/vernietigd als:
- de verwerking niet meer nodig is;
- de werknemer een eenmaal gegeven instemming tot gegevensverwerking weer intrekt;
- als de werknemer gegronde bezwaren maakt tegen de verwerking of
- als een rechtsgrond voor verwerking ontbreekt.
Verplichtingen werkgevers
Tegenover uitbreiding van de rechten van werknemers staan aanvullende verplichtingen voor de werkgever.
Informatieplicht
De werkgever krijgt de plicht om de werknemers te informeren over:
- het doel van de gegevensverwerking;
- de verantwoordelijke die de gegevens namens de werkgever zal verwerken en beheren;
- gegevenstransport naar het buitenland en welke maatregelen/waarborgen in dat geval getroffen zijn;
- het klachtrecht van de werknemer en waar hij terecht kan;
- de voorgenomen bewaartermijn van de gegevens, en
- het recht van de werknemer dat hij de gegeven instemming voor de verwerking mag intrekken.
Een belangrijke verplichting voor de werkgever is dus om zowel huidige als nieuwe werknemers informatie te verschaffen over alles wat met de verwerking van hun persoonsgegevens te maken heeft. De werkgever is dus verplicht de werknemer te wijzen op al deze privacyrechten.
Hoe doe ik dat?
Om aan de informatieplicht te voldoen, kunt u uw huidige en nieuwe werknemers een informatiebrief sturen waarin zij worden geïnformeerd over hun privacyrechten. Als u een personeelshandboek of arbeidsreglement hebt, kunt u er ook voor kiezen daarin een privacyprotocol op te nemen.
Ondernemingsraad
Als uw bedrijf een ondernemingsraad heeft, dan moet u er wel op letten dat bij het naleven van verschillende verplichtingen uit de AVG, de ondernemingsraad mogelijk een instemmingsrecht heeft. De ondernemingsraad heeft namelijk op grond van artikel 27 lid 1 sub k van de Wet op de Ondernemingsraden (WOR) instemmingsrecht bij het invoeren, wijzigen of intrekken van een regeling voor het verwerken van persoonsgegevens van werknemers. Zo heeft de ondernemingsraad dus ook instemmingsrecht over de invoering van een privacyprotocol.
Tips
Hoe brengt u als werkgever uw onderneming op tijd in overeenstemming met de nieuwe privacyregels?
- Stel een verantwoordelijke binnen uw organisatie aan voor de verwerking en het beheer van persoonsgegevens;
- Informeer al uw werknemers tijdig over hun privacyrechten door middel van een informatiebrief of aangepast personeelsreglement. Verwerk daarin voornoemde informatie over de aangescherpte privacyregels. Vermeld o.a. het doel van de gegevensverwerking, wat de voorgenomen bewaartermijn is en waar en bij wie de werknemer terecht kan als hij een verzoek of een klacht heeft.
- Als er een ondernemingsraad aanwezig is, betrek deze dan tijdig bij het opstellen/wijzigen van het privacyprotocol;
- Bewaar gegevens niet langer dan nodig. Hou de bewaartermijn per werknemer goed in de gaten. Zorg voor tijdige en zorgvuldige vernietiging van persoonsgegevens die niet langer bewaard mogen worden.
- Houd bij organisatorische wijzigingen in het oog dat persoonsgegevens goed worden beschermd. Neem technische en organisatorische maatregelen om te waarborgen dat u de privacy van uw werknemers goed beschermt.
Wilt u meer weten?
Hebt u vragen over de AVG, of wilt u hulp bij het opstellen van een informatiebrief of het wijzigen van het privacyprotocol in uw personeelshandboek? Neem dan gerust contact met mij op. Ik adviseer u graag persoonlijk.
Heeft u een vraag over dit bericht? Wilt u meer weten over hoe dit op uw situatie van toepassing is? Neem gerust contact met mij op via tel. 0172 – 42 71 94 of vul het contactformulier in.
0172 - 42 71 94
