Je mag alleen gegevens registreren die je werkelijk nodig hebt voor een duidelijk bepaald en rechtmatig doel. Het feit dat informatie zichtbaar is op de identiteitskaart, betekent niet dat je alle gegevens ervan mag overnemen.
Wat doorgaans wel nodig is
Voor de gewone personeelsadministratie kunnen onder meer naam, voornamen, geboortedatum, noodzakelijke contact- of adresgegevens en, wanneer wettelijk toegestaan of vereist, het nationaal identificatienummer nodig zijn (in België het rijksregisternummer of INSZ-nummer). Nationaliteit of verblijfsstatus kan relevant zijn wanneer je moet controleren of iemand het recht heeft om in jouw land te werken.
Voor buitenlandse werknemers kunnen ook de aard en de geldigheidsduur van een verblijfs- of arbeidsvergunning relevant zijn.
Wat je niet standaard registreert
Registreer niet standaard de foto, handtekening, het kaartnummer, de plaats van afgifte of de vervaldatum. Het nationaal identificatienummer is specifiek beschermd, en foto, handtekening en kaartnummer verhogen het risico op identiteitsfraude.
De Belgische Gegevensbeschermingsautoriteit bevestigt dat alleen de gegevens die strikt noodzakelijk zijn voor het opgegeven doel mogen worden gelezen, en wijst op de bijzondere voorwaarden die gelden voor de foto en het rijksregisternummer. Over dat laatste lees je meer in Mag ik het rijksregisternummer (nationaal identificatienummer) van een werknemer gebruiken en bewaren?
Zo pak je het aan
Verzamel de gegevens bij voorkeur rechtstreeks bij de werknemer, bijvoorbeeld via een onboardingformulier, en gebruik de kaart alleen om de juistheid ervan visueel te controleren.
Houd een onboardinglijst bij die per gegeven het doel en de rechtsgrond vermeldt, en ken elke werknemer een afzonderlijk intern personeelsnummer toe. Een kopie van de kaart bewaren is een aparte vraag: Mag ik een kopie van de identiteitskaart van een werknemer bewaren?
Rechtsgrond
De selectie van gegevens volgt uit de beginselen van doelbinding en minimale gegevensverwerking (artikel 5, lid 1, b en c GDPR). Elke registratie vereist een rechtsgrond volgens artikel 6 GDPR en de werknemer moet volgens artikel 13 GDPR weten welke gegevens je bijhoudt en waarom. Artikel 87 GDPR laat lidstaten toe bijzondere voorwaarden te stellen aan het gebruik van het nationaal identificatienummer. Welke gegevens je effectief moet vastleggen, bepaalt de nationale wetgeving over sociale documenten, socialezekerheidsaangiften, identiteitskaarten en bevolkingsregisters.
GDPRWise brengt je HR-processen in kaart, van onboarding tot uitdiensttreding, zodat je per gegeven weet waarom je het bijhoudt.