Interne communicatie voor medewerkers rondom GDPR
Het grote aftellen is ten einde: de Europese privacy wetgeving is sinds eind mei actief. Als werkgever ben je verplicht om naast de buitenwereld ook de medewerkers te informeren over het aangescherpte privacybeleid, bijvoorbeeld in de vorm van een privacy verklaring. Het is belangrijk dat zij hun rechten én plichten met betrekking tot de GDPR kennen en inzicht krijgen in de wijze waarop HR met hun persoonlijke gegevens omgaat.
Privacy verklaring & HR
Zó voldoe je aan je informatieverplichting
Veel organisaties hebben hun klanten inmiddels geïnformeerd over hun aangescherpte privacybeleid. Naar buiten toe lijkt het huis op orde, maar de werkelijkheid is vaak anders. Want wie zich écht GDPR-proof mag noemen, heeft ook zijn medewerkers proactief geïnformeerd.
Dat kan (net als bij klanten) via een privacy verklaring. Hierin wordt uitgelegd op welke manier er met persoonsgegevens wordt omgegaan. Vanaf 25 mei 2018 is hierop de Europese wetgeving (GDPR) van toepassing.
Wat zet je in je privacyverklaring?
- Wie (welke rechtspersoon) gegevens verzamelt;
- Welke gegevens je verzamelt; bijvoorbeeld welke persoonsgegevens en welke cookies
- Hoe je ze gebruikt; bijvoorbeeld voor welke doeleinden verzamel je persoonsgegevens? Wie hebben toegang tot deze gegevens? Hoelang worden deze gegevens bewaard? Hoe zit het met het gebruik van gegevens door derden?
- Hoe je ze beveiligt; bijvoorbeeld waar worden deze gegevens opgeslagen? Welke maatregelen heb je genomen om de gegevens te beveiligen?
- En tot slot welke rechten medewerkers hebben met betrekking tot het gebruik van persoonsgegevens.
Uit de praktijk
Voorbeeld zien van een privacy verklaring?
ICT leveranciers & privacy
Maakt de HR afdeling gebruik van software van derden en sla je de gegevens van de medewerkers op bij bijvoorbeeld de partij die HR Software host of de leverancier van het document management systeem in de cloud? Dan wordt de leverancier gezien als “verwerker” en ben je verplicht afspraken te maken over o.a. beveiliging, datalekken en de rechten van betrokkenen. Deze leg je vast in een verwerkingsovereenkomst1. Tenzij de leveranciers niet bij de feitelijke persoonsgegevens kunnen, omdat het bijvoorbeeld versleuteld is. Dit geldt voor alle verwerkers, dus ook als de HR afdeling samenwerkt met een externe arbodienst of loonadministrateur.
Wist je dat je de privacy van de medewerkers voor een groot deel kunt automatiseren? Zo zorg je er automatisch voor dat je altijd voldoet aan de wet- en regelgeving.
GDPR & HR
Grip op personeelsgegevens
Met de komst van GDPR worden burgers beter beschermd. Voor organisaties vergt het echter de nodige maatregelen om het verwerken van persoonsgegevens in goede banen te leiden. Wat zijn de rechten van medewerkers?
Iedereen die persoonsgegevens verstrekt heeft het recht om:
- zijn personeelsdossier in te zien
- zijn persoonsgegevens te wijzigen
- publicatie van zijn gegevens te weigeren
Tot slot: Wat betekent GDPR voor HR professionals?
De GDPR heeft de afgelopen maanden het nodige stof doen opwaaien, maar biedt ook kansen. Wie binnen de organisatie duidelijk informeert over de nieuwe privacywet- en regelgeving laat blijken het welzijn van medewerkers belangrijk te vinden. Bij goed werkgeverschap hoort een zorgvuldige verwerking van persoonsgegevens.
Daarnaast verhoog je hiermee het privacy bewustzijn in de organisatie. Je kunt je gegevens technisch nog zo goed beveiligen, maar als medewerkers vervolgens een USB stick in de trein vergeten ben je alsnog de klos. En daar komt HR om de hoek kijken, want dit kan alleen gerealiseerd worden door een kraakhelder beleid en gedragsverandering. Medewerkers moeten weten:
- dat data thuishoort in de daarvoor bedoelde systemen (geen Excel, maar in een goed beveiligd CRM of Document Management Systeem)
- dat de verwerking van persoonsgegevens (deels) geautomatiseerd kan worden, zodat het ten alle tijden voldoet aan de wet- en regelgeving
- dat er een meldingsplicht voor datalekken geldt bij de privacy officer
Laat de kracht van herhaling zijn werk doen, zodat medewerkers de privacy van klanten net zo goed beschermen als hun eigen privacy.
