AVG-recht op vergetelheid voor personeelsdossiers: werknemersdata wissen en het aantonen

Een wisverzoek van een oud-medewerker en een wettelijke bewaarplicht wijzen meestal de tegenovergestelde kant op. Dat conflict los je per onderdeel op, en je moet je afweging later kunnen laten zien.

De AVG geeft mensen het recht om hun persoonsgegevens te laten wissen. HR beheert enkele van de meest gevoelige persoonsgegevens binnen een organisatie, en tegelijk enkele van de zwaarst gereguleerde. Als een oud-medewerker een wisverzoek stuurt, is het antwoord zelden een simpel ja of nee. Een deel van het dossier moet weg. Een deel moet blijven. En je moet kunnen vastleggen wat onder welke categorie viel.

Het korte antwoord

Je moet werknemersdata wissen zodra de reden waarom je die bewaarde niet meer geldt, tenzij een specifieke wettelijke grond je verplicht om ze te bewaren. Loon-, belasting- en socialezekerheidsgegevens vallen vrijwel altijd onder een bewaarplicht die zwaarder weegt dan het wisverzoek. Een sollicitatiedossier van een afgewezen kandidaat meestal niet. Het werk zit in de afweging, per categorie, welke regel wint, en in het bewaren van bewijs van die beslissing.

Wat het recht op vergetelheid precies inhoudt

Het recht op vergetelheid staat in artikel 17 van de AVG. Het geeft een betrokkene het recht om zijn persoonsgegevens zonder onredelijke vertraging te laten wissen wanneer aan een van een aantal voorwaarden is voldaan. De twee die voor HR het zwaarst wegen:

• De gegevens zijn niet langer nodig voor het doel waarvoor ze zijn verzameld.
• De gegevens zijn verwerkt op basis van toestemming, en die toestemming is ingetrokken.

Een arbeidsrelatie berust doorgaans niet op toestemming. Ze draait op de arbeidsovereenkomst en op wettelijke verplichtingen. Dat onderscheid is belangrijk, want het bepaalt welke wisgronden gelden en op welke uitzonderingen je je kunt beroepen.

Wanneer je het verzoek moet weigeren

Artikel 17(3) somt de uitzonderingen op. De uitzondering die HR domineert, is die voor het voldoen aan een wettelijke verplichting. Verplicht een nationale wet je om een gegeven te bewaren, dan dwingt het recht op vergetelheid je niet om het eerder te wissen.

De categorieen met een bewaarplicht zijn de bekende: loon- en loonbelastinggegevens, arbeidsovereenkomsten en wijzigingen daarop, en documenten rond arbeidsomstandigheden en veiligheid. Loon- en belastinggegevens zijn het duidelijkste geval, jarenlang bewaard onder de nationale belastingwet, dus die kun je niet op verzoek wissen. De precieze termijn per categorie staat in HR-bewaartermijnen in de EU.

Geldt er een uitzondering, dan wis je niet. Maar je negeert het verzoek ook niet zomaar. Je reageert, je legt de wettelijke grond uit om de gegevens te bewaren, en je legt vast dat je dat hebt gedaan. Een weigering die je later niet kunt onderbouwen, is een weigering die eruitziet als non-compliance.

Wanneer je wel moet wissen

Waar geen bewaarplicht en geen andere uitzondering geldt, gaan de gegevens weg. Veelvoorkomende HR-categorieen die meestal gewist moeten worden zodra hun doel is vervallen:

• Wervingsgegevens van afgewezen kandidaten. Zodra de vacature is vervuld en een korte bewaartermijn voor mogelijke discriminatieclaims is verstreken, is er geen doel meer. Zonder toestemming is die termijn kort, ongeveer vier weken volgens de Nederlandse richtlijn. Met toestemming van de kandidaat is tot een jaar gebruikelijk, zodat je hem later voor een andere functie kunt benaderen.
• Sollicitatiegegevens die je met toestemming mocht bewaren, nadat de kandidaat die toestemming heeft ingetrokken.
• Beoordelingsnotities en interne HR-correspondentie die hun doel voorbij zijn en geen onderdeel zijn van een dossier dat je verplicht moet bewaren.
• Toegangsgegevens, badge-logs en IT-accountgegevens zodra de offboarding is afgerond en een eventueel veiligheidsonderzoek is afgesloten.

Opslagbeperking is niet alleen reactief. Artikel 5(1)(e) verplicht je om persoonsgegevens sowieso niet langer te bewaren dan nodig. Dat is een ander beginsel dan dataminimalisatie onder artikel 5(1)(c), dat begrenst hoeveel je verzamelt. Een wisverzoek is vaak niet meer dan het moment waarop je ontdekt dat je gegevens bewaarde die je allang had moeten verwijderen.

Het onderdeel dat de meeste teams verkeerd doen: bewijs

De gegevens wissen is de helft van de verplichting. Kunnen aantonen dat je ze hebt gewist is de andere helft, en dat is de helft die het bij een audit laat afweten.

Artikel 5(2) legt het verantwoordingsbeginsel vast. Je moet compliance kunnen aantonen, niet alleen beweren. Voor wissing betekent dat: voor een concreet verzoek moet je kunnen laten zien:

1. Wat er is gevraagd en wanneer.
2. Welke categorieen je hebt gewist en welke je hebt bewaard.
3. De wettelijke grond voor alles wat je hebt bewaard.
4. Wanneer de wissing daadwerkelijk heeft plaatsgevonden.
5. Dat de gewiste gegevens echt weg zijn en niet in een back-up staan die ze stilletjes terugzet.

Een toezichthouder als de Nederlandse Autoriteit Persoonsgegevens of het Franse CNIL zal, naar aanleiding van een klacht van de oud-medewerker, precies hierom vragen. “We hebben het gewist” is geen antwoord. Een gedateerde, manipulatiebestendige vastlegging van de beslissing en de handeling wel.

Het back-upprobleem

Back-ups zijn de plek waar wisclaims stuklopen. Wis je een gegeven uit je live-systeem, maar zet een nachtelijke back-up het drie weken later terug, dan heb je niets gewist. Toezichthouders accepteren dat directe verwijdering uit elke back-up technisch niet altijd haalbaar is, maar ze verwachten een gedocumenteerde aanpak: de gegevens worden buiten gebruik gesteld, uitgesloten van herstelacties en opgeruimd bij de volgende back-uprotatie. Wat ze niet accepteren is stilte. Kun je je verwijderingsproces voor back-ups niet beschrijven, dan kun je wissing niet aantonen.

Licht de anderen in

Wissing stopt niet bij je eigen systemen. Artikel 19 verplicht je om de wissing te melden aan elke ontvanger aan wie de gegevens zijn verstrekt, tenzij dat onmogelijk blijkt of onevenredig veel moeite kost. Voor HR betekent dat meestal je salarisverwerker, je pensioenuitvoerder en elke verwerker die het gegeven heeft ontvangen. Je eigen kopie wissen terwijl een verwerker de zijne houdt, is geen wissing. Het is een gat, en dat moet je dichten en vastleggen.

Een verantwoorde wisworkflow voor HR

Een workflow die toetsing doorstaat, ziet er zo uit:

1. Leg het verzoek vast met een tijdstempel op het moment dat het binnenkomt.
2. Classificeer het dossier per categorie. Scheid de onderdelen met een bewaarplicht van de onderdelen die gewist moeten worden.
3. Leg de beslissing per categorie vast, inclusief de wettelijke grond voor alles wat je bewaart.
4. Voer de verwijdering uit op de categorieen die weg moeten, inclusief de afhandeling in back-ups.
5. Leg bewijs vast dat de verwijdering heeft plaatsgevonden: wat is verwijderd, wanneer en via welk proces.
6. Reageer naar de betrokkene binnen de termijn van een maand, met twee maanden te verlengen bij complexe verzoeken.

De uitkomst van een goede workflow is niet alleen gewiste data. Het is een verdedigbaar dossier dat maanden of jaren later laat zien dat je het juiste hebt gedaan om de juiste reden. Dat is het idee achter verantwoorde vernietiging: vernietiging die haar eigen bewijs meebrengt.

Hoe SealDoc HR-wissing ondersteunt

SealDoc behandelt elk beschermd bestand als een subject met een bewaarstatus, en legt de levensloop vast als manipulatiebestendig bewijs met tijdstempels. Wanneer je een bewaartermijn toekent, een legal hold plaatst of opheft, of vernietiging aanvraagt, wordt elke stap weggeschreven naar een append-only audittrail met een RFC 3161-tijdstempel en gekoppeld in een hashketen, zodat de volgorde achteraf niet meer te herschrijven is.

Wanneer een subject het punt van vernietiging bereikt, maakt SealDoc een certificaat-artefact en een evidence pack die de beslissing, de tijdlijn en de waarborg daarachter documenteren. SealDoc attesteert de vernietigingsbeslissing en de levensloop eromheen. De verwijdering van de data op byteniveau en het opruimen ervan uit back-ups worden uitgevoerd door je opslaglaag, en het certificaat legt de waarborg achter elke stap vast in plaats van die aan te nemen. Het benoemt duidelijk wat het wel en niet attesteert, zodat een auditor een eerlijke vastlegging ziet in plaats van een onverifieerbare claim. Het bewijs wordt vastgelegd op het moment van de beslissing, precies wanneer verantwoording onder artikel 5(2) het makkelijkst te leveren is en achteraf het moeilijkst te reconstrueren.

De data staat op infrastructuur binnen de EU, zonder Amerikaanse hyperscaler in de keten, zodat de wisvastlegging zelf geen nieuw doorgifteprobleem oplevert.