Heeft u vragen?
Wij hebben alle antwoorden voor u op een rijtje gezet.
Opdrachtgevers verwerken veel persoonsgegevens van hun opdrachtnemers. Deze zijn vaak opgeslagen in een dossier van de projectadministratie.
Opdrachtgevers mogen alleen een dossier aanleggen als dat noodzakelijk is voor een project.
Een goede projectadministratie bevat alle actuele gegevens op basis waarvan de opdrachtgever zijn beslissingen over de opdrachtnemer kan onderbouwen. Naast persoonlijke gegevens gaat het om informatie over overeenkomsten en voorwaarden, functioneren en prestatie, stagnatie en bijzonderheden. Opdrachtgevers moeten daarbij rekening houden met de privacy van hun opdrachtnemers.
In de AVG staat niets over welke gegevens wel of niet bewaard mogen worden, maar de AVG geeft wél aan onder welke voorwaarden persoonsgegevens in de projectadministratie mogen worden bewaard. Je moet dus goed nadenken over welke gegevens je in het projectadministratie wilt bewaren. Zo mogen de overeenkomsten en gegevens die nodig zijn voor de financiële administratie, worden bewaard op grond van de grondslagen uitvoering van een overeenkomst en uitvoering van een wettelijke bepaling. Maar medische gegevens over bijvoorbeeld stagnatie mogen niet worden bewaard. Foto’s van opdrachtnemers mogen alleen met toestemming van de opdrachtnemer worden bewaard of gebruikt.
Ook hier is het belangrijk om in een privacy-reglement te hebben, waarin is vastgelegd:
Welke gegevens er bewaard of verwerkt worden en wat het doel hiervan is;
Hoe de beveiliging van de gegevens is geregeld en wat de bewaartermijnen zijn; Specifiek voor de projectadministratie: inzagerecht van de opdrachtnemer en het recht op correctie van de persoonadministratie.
De voorwaarden die de AVG geeft voor het aanleggen van persoonsadministraties, kun je lezen op de website van de Autoriteit Persoonsgegevens.
Je mag dit opnemen in de overeenkomst. Maar hier kleven een aantal haken en ogen aan. Belangrijk is dan dat, wanneer je dit opneemt in een overeenkomst, je de overeenkomst moet aanpassen of een nieuwe overeenkomst moet opstellen als de opdrachtnemer de toestemming intrekt. Het is praktischer om dit los van de overeenkomst te regelen in een apart toestemmingsformulier.
Het begint bij het register. Het overzicht van de verwerkingen van persoonsgegevens. Daarin kun je vermelden wat je doet met persoonsgegevens. Inzage in de persoonsadministratie kan een medewerker aanvragen bij de HR afdeling/verantwoordelijke.
Je legt eerst vast in een privacybeleid wat het doel van het verwerken van deze gegevens is en alle overige zaken die nodig zijn om een privacybeleid te formuleren op dit punt. Daarna informeer je de opdrachtnemer over het doel van het vastleggen, bewaartermijn etc.
Ja, een papieren persoonsadministratie valt ook onder de definitie van bestand, en valt daardoor dus ook onder de AVG. Je moet de persoonsadministratie in het privacy beleid opnemen.
De AVG gaat niet in op de rol van de ondernemingsraad (OR) of persoonsvertegenwoordiging. Op grond van de Wet op de ondernemingsraden (WOR) moet een opdrachtgever aan de OR instemming vragen voor een regeling voor voorzieningen die gericht zijn op, of geschikt zijn voor, de waarneming van of controle op de aanwezigheid van gedrag of prestaties van de in de onderneming werkzame personen.
Dit instemmingsrecht heeft met name betrekking op het aanleggen van een persoonsregistratie en op de door de opdrachtgever opgestelde regelingen over het verzamelen, bewaren, gebruiken en beveiligen van deze persoonsgegevens. Ook een regeling voor bijvoorbeeld cameratoezicht, persoonsvolgsystemen of tijdsregistratiesystemen valt onder het instemmingsrecht van de OR.
Ga je beleid over persoonsgegevens opstellen of aanpassen, dan moet je dat beleid ter instemming voorleggen aan de ondernemingsraad of je persoonsvertegenwoordiging. Het kan daarom handig zijn om een vertegenwoordiger uit het medezeggenschapsorgaan bij de voorbereiding te betrekken.
Veelgestelde vragen AVG en Wka
(Wet ketenaansprakelijkheid)
In het kader van de Wet ketenaansprakelijkheid heb je persoonsgegevens nodig van de opdrachtnemers van de onderaannemers die je inhuurt.
Waar je aan moet denken bij het opvragen, opslaan en verwerken van deze gegevens en andere relevante zaken,
kan je lezen in de onderstaande vragen en bijbehorende antwoorden.
Ja, dat mag. In de Wka wordt een (hoofd)aannemer gevrijwaard van de aansprakelijkheid voor loonheffingen als hij kan aantonen welke arbeidskrachten op een project werkzaam zijn geweest. Hij kan dit doen door aan zijn onderaannemers te vragen de NAW-gegevens en BSN van de opdrachtnemers van de onderaannemers op de mandagenstaten te noteren. Dit is ook vastgelegd in de Wet ketenaansprakelijkheid en daarom een wettelijke grondslag in het kader van de AVG.
Veel opdrachtgevers verlangen nog altijd mandagenregisters bij facturen voor onderaanneming.
Je mag mandagenregisters naar de opdrachtgevers versturen. En je mag op de mandagenstaten NAW-gegevens en BSN vermelden op grond van de Wka.
Nee, de Wka geeft een grondslag, een wettelijke verplichting, voor het verzamelen van persoonsgegevens.
Nee, dat mag niet tenzij de opdrachtnemer een toestemmingsformulier heeft ingevuld en ondertekend. Je mag wél aan de poort de identiteit van de opdrachtnemer controleren.
Nee, dit mag niet. Je mag wél BSN, NAW en evt. het documentnummer van een ID-bewijs verschaffen aan een hoofdaannemer. Je moet je opdrachtnemers hierover wel informeren door bijvoorbeeld het een en ander in een privacybeleid vast te leggen.
Nee, je mag vooraf (vooraanmelding) geen ID-bewijzen opvragen van opdrachtnemers van onderaannemers. Je mag wel om NAW-gegevens vragen om zo toegangspassen te maken, mits je een privacybeleid hebt opgesteld waarin het doel van het gebruik van de persoonsgegevens is opgenomen en je de opdrachtnemers van de onderaannemer hierover geïnformeerd hebt. Je mag de identiteit van de betreffende persoon wel controleren aan de poort van de bouwplaats.
Je mag wel de nummers van de ID-bewijzen opvragen, mits je in je privacy-beleid hebt vastgelegd voor welk doel (bijvoorbeeld het identificeren van mensen op de bouwplaats of de Wka) en de betreffende personen hierover hebt ingelicht.
Vingerafdrukken zijn biometrische gegevens en gelden als bijzondere persoonsgegevens. Maar voor het maken van een digitale vingerscan of digitale controle van het ID-bewijs, zijn er strenge regels. De vingerscan en de scan van het ID-bewijs mogen niet (digitaal) opgeslagen worden.
Het gebruik van een vingerafdrukscan of digitale controle van het ID-bewijs mag alleen als controle in het kader van de Wka of de Wet identificatie of in het kader van de beveiliging van de bouwplaats. Dit doel moet goed vastgelegd zijn in een privacybeleid. Dit privacybeleid moet ter inzage liggen op de bouwplaats.
Voor de Wka mag je géén (digitale) kopie maken van het ID-bewijs, je mag wél de gegevens die je nodig heeft overschrijven. Deze gegevens moeten goed beveiligd op de bouwplaats worden bewaard.
