Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
Hoe werknemerspersoonsgegevens rechtmatig te verwerken onder de GDPR — rechtsgronden, bewaartermijnen, rechten, beveiliging en internationale doorgiften.
HR-gegevens zijn gegevens met een hoog risico
HR-functies verwerken enkele van de meest gevoelige persoonsgegevens in elke organisatie: contactgegevens, salaris, bankgegevens, prestatiegegevens, gezondheidsinformatie en soms controles op strafrechtelijke antecedenten. Onder de General Data Protection Regulation (GDPR) en de nationale implementaties daarvan — de Irish Data Protection Act 2018 en de UK GDPR / Data Protection Act 2018 — moeten deze gegevens rechtmatig, eerlijk en transparant worden verwerkt.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
Een rechtmatige grondslag kiezen
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
Gegevens van bijzondere categorie — waaronder gezondheidsinformatie die wordt gebruikt voor ziekteverlof of arbeidsgezondheidsdoeleinden — hebben onder Article 9 een aanvullende voorwaarde nodig, vaak met betrekking tot arbeids-, sociale zekerheids- en socialebeschermingsrecht. Koppel elk type HR-verwerking aan de grondslag en voorwaarde ervan en leg de redenering vast.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
Bewaring, minimalisering en beveiliging
Bewaar gegevens niet langer dan nodig. Bouw een bewaarschema op dat zowel juridische vereisten (salarisadministratie- en belastinggegevens, arbeidstijdregistraties, documentatie over gezondheid en veiligheid) als echte zakelijke noodzaak weerspiegelt, en verwijder of anonimiseer alles daarbuiten. Verzamel alleen wat u daadwerkelijk gebruikt — gegevensminimalisering is een principe, geen detail.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
Internationale doorgiften en leveranciers
Als uw HR-software of salarisadministratieprovider gegevens buiten de Europese Economische Ruimte opslaat, moet u zorgen voor een passend doorgiftemechanisme — een adequaatheidsbesluit, standaardcontractbepalingen of equivalente waarborgen. Sinds Brexit vallen doorgiften tussen de EU en het VK onder de adequaatheidsstatus van het VK, maar dit moet worden gemonitord omdat het aan herziening onderhevig is.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
