In een uitspraak van 25 juli jl. kwam de vraag aan de orde of de AVG van toepassing is op het personeelsdossier. De kortgedingrechter kwam (terecht) tot de conclusie dat het antwoord op die vraag bevestigend luidt.
De AVG is van toepassing op de geautomatiseerde verwerking van persoonsgegevens, en ook op de verwerking van persoonsgegevens die in een bestand zijn of worden opgenomen. Van een geautomatiseerde verwerking is bijvoorbeeld sprake als er wordt gewerkt met een online-database of als er documenten worden opgeslagen op de computer. Als van geautomatiseerde verwerking geen sprake is, zal beoordeeld moeten worden of de persoonsgegevens in een bestand zijn opgenomen. Van een bestand in de zin van de AVG is sprake als de persoonsgegevens een gestructureerd geheel vormen dat volgens bepaalde criteria toegankelijk is. Een “gestructureerd geheel” houdt in dat de verzameling van de gegevens op grond van meer dan één kenmerk een onderlinge samenhang vertoont.
De rechter kwam in genoemde uitspraak tot de conclusie dat een personeelsdossier meerdere kenmerken bevat die met elkaar samenhangen. Om deze reden oordeelde de rechter dat het (niet geautomatiseerde) personeelsdossier is aan te merken als ‘bestand’ en dat de AVG daarom van toepassing is op het (niet geautomatiseerde) personeelsdossier. Dit brengt bijvoorbeeld met zich mee dat werkgevers er op grond van de AVG voor moeten zorgen dat zowel het geautomatiseerde als het niet geautomatiseerde personeelsdossier niet méér gegevens bevat dan noodzakelijk is, dat de gegevens niet langer worden bewaard dan dat nodig is én dat het personeelsdossier goed is beveiligd. Daarnaast moet de werkgever de eigen werknemers (o.a.) wijzen op hun rechten, zoals bijvoorbeeld het inzagerecht.
Heeft u vragen over de verplichtingen die voortvloeien uit de AVG voor uw personeelsadministratie? Neem dan contact op met onze sectie privacy voor advies.
Sanne Kleerebezem