Som arbetsgivare får du i personalakten endast spara de uppgifter du behöver för anställningsförhållandet och för dina lagstadgade skyldigheter. Hälsouppgifter är det viktigaste undantaget att vara uppmärksam på: du får registrera att en anställd är frånvarande och vad han eller hon fortfarande kan göra, men aldrig diagnosen eller sjukdomens art. Dessa två regler, tillsammans med fastställda bevarandetider, avgör vad som ska läggas i akten, vad som får lämnas kvar och hur länge det får finnas kvar.
Innehållsförteckning
Vad får man spara i personalmappen?
Du får lagra uppgifter som är nödvändiga för att fullgöra anställningsavtalet och för att uppfylla dina rättsliga skyldigheter. GDPR (på nederländska: AVG) kräver att personuppgifter inte lagras längre eller i större mängd än vad som krävs för det ändamålet.
I praktiken omfattar det:
- namn- och adressuppgifter samt födelsedatum;
- medborgarservicenumret (burgerservicenummer, BSN);
- en kopia av den identitetshandling som du verifierade vid anställningens början;
- anställningsavtalet och eventuella ändringar;
- löne- och löneuppgifter;
- utvärderingar och korrespondens om prestationer;
- utbildningsregister och frånvarodatum;
- register över varningar eller disciplinära åtgärder.
Medborgartjänstnumret och kopian av identitetshandlingen finns i akten eftersom skatte- och socialförsäkringslagstiftningen kräver dem. Det är samma rättsliga skyldighet som gör det lagligt att förvara dem. Du får inte begära en kopia av en identitetshandling för något annat ändamål.
Vilka uppgifter får du inte spara?
Du får inte dokumentera sjukdomens art eller orsak, diagnos, behandling eller medicinering. Detta gäller även när den anställde berättar om det frivilligt, och även med den anställdes samtycke.
Den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens, AP) listar i sina policyregler för sjuka anställda vad du får registrera när en anställd sjukanmäler sig. Det vill säga, kortfattat: ett telefonnummer och adressen där den anställde vistas, den förväntade frånvaron, nuvarande möten och arbete, om en skyddsnätsbestämmelse (vangnetregeling) gäller, om frånvaron är kopplad till en arbetsplatsolycka och om en trafikolycka med en ansvarig tredje part är inblandad.
Från företagsläkaren (bedrijfsarts) eller företagshälsovården kan du också få och registrera vilket arbete den anställde kan och inte kan utföra, den förväntade frånvaron, graden av arbetsoförmåga och eventuella rekommenderade anpassningar. Själva journalen förvaras hos företagsläkaren. Du har inte tillgång till den.
Andra data som inte hör hemma i filen:
- särskilda kategorier av personuppgifter enligt artikel 9 GDPR, såsom religion, politisk åsikt, fackföreningsmedlemskap, etniskt ursprung och sexuell läggning, såvida inte ett specifikt lagstadgat undantag gäller;
- anteckningar om den anställdes privatliv som inte har någon betydelse för arbetet;
- ostrukturerade personliga intryck nedskrivna av chefer. Anställda kan uppfatta dessa, och de tolkar ofta en tvist på ett helt annat sätt än när den var nedskriven.
Hur länge får ni spara personaluppgifter?
GDPR anger inga fasta perioder: uppgifter får inte sparas längre än nödvändigt (artikel 5(1)(e) i GDPR). AP använder följande perioder, räknat från anställningens slut.
| Data | Kvarhållningstid efter anställningens slut |
|---|---|
| Mest personaldata (kontrakt, utvärderingar, korrespondens) | i allmänhet 2 år |
| Löneskattebesked (loonbelastingverklaring) och kopia av identitetshandlingen | 5 år efter utgången av det kalenderår då anställningen upphörde |
| Vissa löneuppgifter som krävs för skatteändamål | 7 år |
Uppgifter om sökande som du inte anställer förstörs normalt inom fyra veckor efter ansökningsförfarandet. Med sökandens samtycke får du spara dem i upp till ett år.
Ett lagringsschema som anger dessa perioder per kategori, och som du faktiskt tillämpar, omvandlar efterlevnad från en avsikt till bevis.
Vilka rättigheter har den anställde?
Anställda kan se sin fil, få felaktiga uppgifter korrigerade och, under vissa omständigheter, få uppgifter raderade. Du måste svara utan onödigt dröjsmål och senast inom en månad (artikel 12(3) i GDPR).
Begäran om åtkomst kommer ofta in i början av en arbetsrättslig tvist. Den anställde ser sedan allt i akten inom den enmånadersperioden, inklusive anteckningar från chefer.
Vad bör man som arbetsgivare kontrollera?
Arbeta med en fast struktur och registrera dina val i det register som krävs enligt artikel 30 i GDPR.
- Ha en fil per anställd med en definierad struktur, så att det är tydligt vad som finns i den.
- Begränsa åtkomsten till de personer som behöver den och registrera vem som har åtkomst.
- Lämna sjukinformationen hos företagsläkaren och för den ut ur personalmappen.
- Tillämpa lagringsperioderna på ett fast datum varje år, snarare än från fall till fall.
- Registrera allt detta i ditt register över behandlingsaktiviteter (artikel 30 i GDPR). Undantaget för organisationer med färre än 250 anställda hjälper sällan här, eftersom personaluppgifter behandlas regelbundet. Registret är ofta det första dokumentet som en tillsynsmyndighet begär.
Vad bör man kontrollera som anställd?
- Har du begärt tillgång till din fil (artikel 15 i GDPR) och fick du den inom en månad?
- Innehåller filen en diagnos eller andra medicinska uppgifter som hör till företagsläkaren?
- Finns det felaktiga värderingar eller anteckningar som du kan begära att få korrigerade enligt artikel 16 i GDPR?
- Sparar din tidigare arbetsgivare uppgifter längre än perioderna i tabellen ovan?
Vad kan vi göra för dig med personalakten?
Våra arbetsrättsjurister ger arbetsgivare och anställda råd om personalakter:
- Vi granskar era personalakter och sjukjournaler mot GDPR och AP-policyreglerna.
- Vi upprättar ett lagringsschema och uppgifterna för ert artikel 30-register.
- Vi förbereder svaret på en begäran om åtkomst inom tidsfristen på en månad.
- Vi begär åtkomst, rättelse eller radering för en anställds räkning.
- Vi ger råd om användning av personalakten vid uppsägning eller annan arbetsrättslig tvist.
Sammanfattning
- Spara endast uppgifter som du behöver för anställningsavtalet och dina rättsliga skyldigheter.
- Registrera aldrig en diagnos eller sjukdomens art, inte ens med den anställdes samtycke; funktionella begränsningar från företagsläkaren kan registreras.
- De flesta personaluppgifter sparas två år efter att anställningen upphört; lönebeskedet och kopian av identitetshandlingen fem år efter kalenderåret då anställningen upphörde; vissa löneuppgifter efter sju år.
- Svara på en åtkomstförfrågan inom en månad.
- Ange lagringsperioder per kategori i ett schema och tillämpa dem varje år.
Vanliga frågor och svar
Får jag behålla en kopia av en anställds pass?
Ja, för den identifiering som krävs enligt skatte- och socialförsäkringslagstiftningen. Spara den i 5 år efter utgången av det kalenderår då anställningen upphörde och använd den inte för något annat ändamål.
Får jag ange varför en anställd är sjuk om den anställde berättar för mig?
Nej. Du får inte registrera sjukdomens art eller orsak, även om den anställde frivilligt anmäler det eller samtycker. Du får registrera den förväntade tiden och vilket arbete den anställde fortfarande kan utföra.
