Normaal mag je geen volledige kopie van de identiteitskaart van een werknemer bewaren. Dat je de identiteit moet controleren of bepaalde gegevens nodig hebt voor de personeelsadministratie, betekent niet dat je daarom de volledige kaart mag kopiëren.
Visueel controleren, selectief noteren
Controleer de kaart visueel en neem alleen de gegevens over die je werkelijk nodig hebt. Een kopie kan alleen aangewezen zijn wanneer een specifieke wettelijke regel ze vereist, bijvoorbeeld voor bepaalde procedures in verband met de tewerkstelling of het verblijf van een buitenlandse werknemer. In Vlaanderen vragen sommige arbeidsvergunningsprocedures bijvoorbeeld een kopie van het paspoort of het verblijfsdocument.
Een volledige kopie bevat een beschermd nationaal identificatienummer en verschillende elementen die identiteitsfraude in de hand werken, zoals de foto, de handtekening en het kaartnummer. De Belgische Gegevensbeschermingsautoriteit stelt dan ook dat kopieën niet gemaakt worden tenzij de wet erin voorziet, en dat een visuele controle kan volstaan.
Je leverancier vraagt een kopie
Een verzoek van je sociaal secretariaat of HR-leverancier is op zichzelf geen wettelijke grond. Vraag waarom de leverancier de kopie nodig heeft en of de noodzakelijke gegevens afzonderlijk kunnen worden doorgegeven.
Wat met kopieën die je al hebt?
Heb je zonder geldige reden al kopieën verzameld, beoordeel deze dan opnieuw en verwijder de kopieën waarvoor geen aantoonbare noodzaak of rechtsgrond bestaat.
Bewaar je wel een kopie op wettelijke basis, documenteer dan vooraf het doel, de wettelijke vereiste, de noodzaak, wie toegang heeft en hoelang je ze bewaart. Welke gegevens je wél mag overnemen, lees je in Welke gegevens van de identiteitskaart van een werknemer mag ik registreren?
Rechtsgrond
Een kopie bewaren botst al snel met de beginselen van doelbinding, minimale gegevensverwerking en opslagbeperking (artikel 5, lid 1, b, c en e GDPR) en vereist een rechtsgrond volgens artikel 6 GDPR, in de praktijk een wettelijke verplichting. Bewaar je toch een kopie, dan gelden de beveiligingsverplichtingen van artikel 32 GDPR, en artikel 87 GDPR laat lidstaten toe bijzondere voorwaarden te stellen aan het nationaal identificatienummer dat op de kaart staat. Daarbovenop komen de nationale wetgeving over identiteitskaarten en bevolkingsregisters en, waar van toepassing, de regionale regels voor de tewerkstelling van buitenlandse werknemers.
GDPRWise brengt je HR-processen in kaart, van onboarding tot uitdiensttreding, zodat je per gegeven weet waarom je het bijhoudt.