Hoe lang mag u bij een vacature de sollicitatiegegevens van kandidaten bewaren, of camerabeelden? Wat zijn de regels rond het bewaren van camerabeelden en de gegevens over het internetgebruik van uw medewerkers?
Hoe lang bent u verplicht bepaalde gegevens, zoals facturen en dergelijke, minimaal op te slaan? Wat zegt de AVG hierover?
Volgens de AVG mag u persoonsgegevens niet langer bewaren dan nodig voor het doel waarvoor u ze heeft verzameld. Daarna moet u de persoonsgegevens ook daadwerkelijk vernietigen.
WAT ZIJN PERSOONSGEGEVENS?
Het gaat in het kader van de AVG altijd over persoonsgegevens. Persoonsgegevens zijn gegevens die, alleen of in combinatie met andere gegevens, terug te herleiden zijn naar een natuurlijk persoon. Voorbeelden van persoonsgegevens zijn o.a. naam, adres, woonplaats, kentekennummer, personeelsnummer, mailadres en videobeelden.
CONCRETE TERMIJNEN
In de AVG zijn echter geen concrete termijnen opgenomen voor het bewaren van persoonsgegevens. In sommige gevallen schiet andere wetgeving u te hulp waarin specifieke bewaartermijnen zijn opgenomen. Dit kunnen maximale bewaartermijnen zijn, daarna dient u de gegevens te vernietigen, of minimale bewaartermijnen, waarbij u zelf een passende termijn moet bepalen voor het eventueel langer bewaren. Is er geen wetgeving, dan dient u zelf beargumenteerd bewaartermijnen te bepalen.
VEREISTEN BEWAREN PERSOONSGEGEVENS
U dient voor het bewaren van persoonsgegevens aan de volgende vereisten voldoen:
U dient vooraf vast te stellen hoelang bepaalde documenten met persoonsgegevens bewaard gaan worden
De bewaartermijnen moeten openomen worden in een zogenaamd verwerkingsregister
De personen van wie u gegevens verwerkt dienen geïnformeerd te worden over deze bewaartermijnen
De bepaalde bewaar- en vernietigingstermijnen dienen zo mogelijk te worden vertaald naar passende technische en organisatorische maatregelen
Na verstrijken van de bewaartermijn dienen de persoonsgegevens daadwerkelijk vernietigd te worden of geanonimiseerd
SALARIS, FACTUUR EN VERZUIM
Er zijn binnen uw organisatie diverse processen en activiteiten, waarin verschillende categorieën van persoonsgegevens nodig zijn, de verwerkingsdoelen per proces verschillen en waarvoor ook andere bewaartermijnen kunnen gelden. Denk aan salarisafspraken, facturen en verzuimbeheer. Hieronder hebben we enkele processen in een tabel gezet die meestal voorkomen in organisaties, met daarbij opgenomen wat de bewaartermijnen zijn en op welke wetgeving dit gebaseerd is. De bewaartermijn gaat lopen na bijvoorbeeld het einde van een dienstverband, het einde van een boekjaar of het doen van een registratie. Overigens kan het soms voorkomen dat de genoemde termijn wordt overruled door een andere wettelijke bewaarplicht (meestal is dit dan fiscale wetgeving).
Tip: Bepaal als organisatie zelf beargumenteerd bewaartermijnen voor de processen waarin dit niet wettelijk is bepaald.
VERNIETIGING PERSOONSGEGEVENS
Is de bewaartermijn van persoonsgegevens verstreken of zijn de gegevens niet meer noodzakelijk voor het doel? Dan moeten de gegevens vernietigd worden. Denk bijvoorbeeld aan gegevens over loonbeslag als het loonbeslag is opgeheven. Vernietiging moet gebeuren onder controle van uw bedrijf. Vernietigen houdt in dat de gegevens niet langer meer bestaan of niet langer meer bestaan in een bruikbare vorm. De AVG stelt geen extra vereisten aan het vernietigen van persoonsgegevens.
Verwerkt uw accountants- en advieskantoor gegevens voor u, bijvoorbeeld de salarisadministratie? Dan is het van belang dat uw accountant en u goede afspraken maken over de bewaartermijnen van persoonsgegevens.
Werknemers hebben op grond van de AVG het recht om hun persoonsgegevens in te zien. Hoe moet u hieraan meewerken? Welke gegevens moet u verplicht laten zien?
Voldoe in 5 stappen aan de AVG
Bedrijven en organisaties die werken met persoonsgegevens moeten rekening houden met de AVG (ook kleine mkb’ers en zzp’ers). In 5 stappen bent u AVG-proof.
Hoe beveilig ik mijn persoonsgegevens?
U moet volgens de strengere privacywet AVG uw persoonsgegevens op een juiste en doeltreffende manier beveiligen. Op welke wijze geeft u daar invulling aan?
Wat is een persoonsgegeven?
Wat is een persoonsgegeven en wat niet? En welke categorieën van persoonsgegevens zijn te onderscheiden? Dit is belangrijk om te kunnen weten of de privacywet AVG wel of niet van toepassing is.
Register van verwerkingen
De belangrijkste eis in de AVG is de verantwoordingsplicht. Dit houdt in dat u bepaalde zaken moet hebben ingericht om de naleving van de AVG aan te kunnen tonen.
Kleine ondernemer niet meteen beboet
Kleine ondernemers en organisaties hoeven niet bang te zijn dat ze direct beboet worden als ze nog niet volledig voldoen aan de AVG.
Vraag toestemming voor gebruik foto's!
Gebruikt u foto’s van werknemers of klanten voor uw website of voor nieuwsbrieven? Dan moet u expliciet toestemming krijgen. Aan welke voorwaarden moet die toestemming voldoen?
Omgaan met incidenten en datalekken
De AVG schrijft voor dat uw organisatie inbreuken in verband met de verwerking van persoonsgegevens (datalekken) moet melden. Waaraan moet u precies voldoen?
AVG-regels als uw werknemer vertrekt
Gaat uw werknemer (die beschikt over belangrijke persoons- en privacygevoelige gegevens) het bedrijf verlaten? Neem dan maatregelen en maak goede afspraken met uw (ex-)werknemer.
Verwerkersovereenkomst
U mag voor de verwerking van persoonsgegevens uitsluitend een beroep doen op leveranciers die voldoen aan de vereiste technische en organisatorische (beveiligings)maatregelen.
Datalekken, wat leren we ervan?
In 2018 zijn er 20.881 datalekken aan de Autoriteit Persoonsgegevens gemeld. Wat kunnen we hiervan leren?
