Gebruik het elektronisch uitlezen van de eID niet als automatische standaardstap bij de indiensttreding. Met een kaartlezer kunnen meer gegevens beschikbaar worden dan je voor de personeelsadministratie nodig hebt, waaronder het adres, de foto, het nationaal identificatienummer (in België het rijksregisternummer) en de elektronische certificaten op de kaart.
Je hebt een rechtsgrond nodig
Elektronisch uitlezen vereist een passende wettelijke basis. Als toestemming wordt overwogen, moet die werkelijk vrij, specifiek en geïnformeerd zijn en moet een gelijkwaardig alternatief bestaan.
Door de machtsverhouding tussen werkgever en werknemer is toestemming in de arbeidsrelatie doorgaans geen geschikte standaardgrond. Het Europees Comité voor gegevensbescherming (EDPB) merkt op dat werknemers alleen in uitzonderlijke omstandigheden vrij toestemming kunnen geven.
De Belgische Gegevensbeschermingsautoriteit stelt bovendien dat het uitlezen beperkt moet blijven tot de gegevens die strikt noodzakelijk zijn voor het doel, en dat voor bepaalde kaartgegevens specifieke voorwaarden gelden.
Als je toch een kaartlezer gebruikt
Beperk de software technisch tot de noodzakelijke gegevens. Sla niet automatisch alle beschikbare kaartgegevens op.
Informeer de werknemer vooraf over welke gegevens worden uitgelezen, waarom dit gebeurt, waar ze worden opgeslagen en hoelang ze worden bewaard.
Een visuele controle en afzonderlijke registratie zijn doorgaans minder ingrijpend. Welke gegevens je dan overneemt, lees je in Welke gegevens van de identiteitskaart van een werknemer mag ik registreren?
Rechtsgrond
Elektronisch uitlezen moet voldoen aan de beginselen van rechtmatigheid, doelbinding en minimale gegevensverwerking (artikel 5, lid 1, a tot c GDPR) en vereist een rechtsgrond volgens artikel 6 GDPR; steun je op toestemming, dan gelden de voorwaarden van artikel 7 GDPR. Je moet de werknemer vooraf informeren (artikel 13 GDPR), de software ontwerpen volgens gegevensbescherming door ontwerp en standaardinstellingen (artikel 25 GDPR) en de uitgelezen gegevens passend beveiligen (artikel 32 GDPR). Artikel 87 GDPR laat lidstaten toe bijzondere voorwaarden te stellen aan het nationaal identificatienummer op de kaart, en de nationale wetgeving over identiteitskaarten en bevolkingsregisters bepaalt de verdere spelregels.
GDPRWise brengt je HR-processen in kaart, van onboarding tot uitdiensttreding, zodat je per gegeven weet waarom je het bijhoudt.