Op 25 mei is hij van kracht: de General Data Protection Regulation (GDPR), of in het Nederlands Algemene verordening gegevensbescherming (AVG). In het kort is het Europese regelgeving die bepaalt hoe bedrijven met persoonsgegevens mogen en moeten omgaan.
De afgelopen maanden gaf Dik van Leeuwerden bij HR- en salarisdienstverlener ADP verschillende kennissessies over GDPR voor HR-managers en HR-experts. Stuk voor stuk zaten ze volgeboekt. Enkele weken voordat de wet ingaat heeft het merendeel nog geen idee over hoe ze moeten omgaan met de GDPR.
Eerst maar even de basis over GDPR. ‘Er zijn twee belangrijke verschillen met de huidige wet bescherming persoonsgegevens’, zegt Van Leeuwerden. ‘Per 25 mei hebben bedrijven vóóraf een informatieplicht, en een documentatieplicht. Vooraf moeten ze de zogenoemde betrokkene informeren welk gegevens worden verwerkt, waarom, op welke grondslag, hoe lang ze worden bewaard. Daar heeft betrokkene recht op.’ Ter illustratie: nieuwe medewerkers worden bij indiensttreding doorgaans standaard gevraagd om NAW-gegevens. Vanaf 25 mei moet een werkgever vooraf motiveren met welk doel hij die vraagt en met wie hij ze deelt.
‘Het tweede dat verandert is dat de autoriteit persoonsgegevens niet meer alleen kan waarschuwen, maar de juridische mogelijkheid heeft om overtredingen te beboeten. Die boete kan oplopen tot maximaal 20 miljoen of 4% van de wereldwijde jaaromzet. Voor veel bedrijven, zeker internationaal opererende, is dat zeker een trigger om de wet serieus te nemen’, voegt hij eraan toe.
Implicaties
‘Het sleutelwoord voor bedrijven is bewustwording’, zegt Van Leeuwerden. ‘HR-afdelingen moeten zich bewust zijn van de informatieplicht en goed inventariseren: wat hebben we, hebben we er recht op, bewaren we het niet te lang enzovoort.’ Een arbeidsintensieve klus. ‘In seminars adviseer ik bedrijven dat dit niet specifiek een aangelegenheid is voor HR of finance; je moet dit in het hele bedrijf oppakken. Het gaat om werknemers, klanten, prospects, leveranciers.’
Waar HR-afdelingen volgens hem tegenaan lopen is dat niet alle maatregelen om privacy te beschermen concreet worden beschreven in de regelgeving. ‘HR-, en zeker salarismensen, willen graag concrete richtlijnen en termijnen, bijvoorbeeld dat je iets zeven jaar moet bewaren voor de belastingdienst. De GDPR zegt: je mag de gegevens ‘niet langer bewaren dan nodig voor beoogd doel’. Wat betekent dat? En wat doe je bijvoorbeeld met verslagen van beoordelings- en functioneringsgesprekken?’
Een ander knelpunt in de wetgeving is het verbod op het verwerken van gegevens omtrent gezondheid, tegenover de re-integratieverplichting die de werkgever ook heeft.
Smoelenboeken
Verder heeft de GDPR effect op heel praktische zaken die je makkelijk over het hoofd ziet. Van Leeuwerden somt op: ‘Smoelenboeken, afbeeldingen op websites, foto’s op beeldschermen in het bedrijf, data op verjaardagskalenders, allemaal van dat soort dingen.
Ik stel in kennissessies wel eens de vraag: ben je vandaag al met privacyonderwerpen in aanraking geweest? Dan antwoorden ze van niet, maar drie minuten ervoor hebben ze een presentielijst getekend, ze hebben op weg naar de sessie toe ingecheckt voor het ov of reden langs camera’s boven de rijksweg, ze browsen op hun telefoon waar data met providers wordt gedeeld. Daarom zei ik: bewustwording is een sleutelwoord.’
Burgers hebben met de GDPR het ‘recht om vergeten te worden’. Als de burger zijn toestemming intrekt, moet de verwerker daaraan meewerken en de gegevens verwijderen. Voor bedrijven onderling heeft dat recht om vergeten te worden met een omweg nog een consequentie.
‘Als een bedrijf zijn contract bij een ander bedrijf opzegt, moeten alle gerelateerde gegevens na een bepaalde tijd verwijderd worden, tenzij ze er een aparte overeenkomst voor ondertekenen. Het ‘beoogde doel’ is immers voorbij. Dat betekent dus ook dat die data verdwenen zijn als het bedrijf dat klant was die later nog nodig heeft, of bijvoorbeeld opnieuw klant wordt.’
Voorbereiden
Bedrijven moeten zich in aanloop naar 25 mei gaan voorbereiden, zegt Van Leeuwerden, en een projectgroep gaan vormen. ‘Denk na over: wat voor gegevens zijn er, wat mogen we verzamelen, hoe gaan we ermee om qua bewaartermijn en beveiliging. Neem in het arbeidsregelement een hoofdstukje privacy of persoonsbescherming op.
En erg belangrijk: laat vast weten in je organisatie dat je ermee bezig bent. Op het moment dat de overheid meer gaat communiceren naar burgers dat ze meer rechten inzake hun privacy krijgen, komen er al mensen naar je toe met vragen of verzoek om hun gegevens te verwijderen, dat is altijd zo. HR-professionals weten vaak zelf al wel welke werknemers dan als eerste aan hun bureau staan om duidelijkheid over hun rechten te vragen. Communiceer intern zo vroeg mogelijk, zodat medewerkers voorbereid zijn en weten dat je ermee bezig bent. En bedrijfsbreed dus, niet alleen HR.’
