Je mag het nationaal identificatienummer van een werknemer (in België het rijksregisternummer, ook INSZ-nummer genoemd) gebruiken wanneer dit noodzakelijk en wettelijk toegestaan is voor de personeels- en loonadministratie. Maar niet als algemeen intern identificatienummer.
Waarvoor je het nodig hebt
Werkgevers hebben het nummer onder meer nodig voor aangiften aan de sociale zekerheid en voor bepaalde sociale en fiscale documenten. In België is dat bijvoorbeeld de Dimona-aangifte, die de werknemer identificeert en de band tussen werknemer en werkgever vastlegt. Voor bepaalde personen zonder rijksregisternummer kent de Belgische sociale zekerheid een BIS-nummer toe.
Gebruik het nummer uitsluitend voor de wettelijke of administratieve doeleinden waarvoor je het nodig hebt. Het bestaan van een arbeidsrelatie geeft je geen algemeen recht om het nummer in al je HR-systemen te gebruiken.
Het nummer is geen bijzondere categorie van gegevens in de zin van artikel 9 GDPR, maar wel een specifiek beschermd nationaal identificatienummer. De Belgische Gegevensbeschermingsautoriteit omschrijft het rijksregisternummer als een identificator waarvan het gebruik een wettelijke basis of machtiging vereist; andere lidstaten kennen vergelijkbare beperkingen voor hun nationaal nummer.
Wat je niet doet
Gebruik het nummer daarom niet als algemeen personeelsnummer, gebruikersnaam, wachtwoord, zichtbaar nummer op badges of algemene sleutel om bestanden te koppelen. Ken iedere werknemer een afzonderlijk intern personeelsnummer toe.
Deel het nummer alleen met partijen die het voor een toegelaten doel nodig hebben, zoals je sociaal secretariaat of een bevoegde overheidsinstantie.
Breng het in kaart
Koppel elke opslaglocatie en elke doorgifte van het nummer aan een wettelijk doel, en verwijder het uit systemen waar een intern personeelsnummer volstaat. Welke andere gegevens van de identiteitskaart je mag overnemen, lees je in Welke gegevens van de identiteitskaart van een werknemer mag ik registreren?
Rechtsgrond
Het gebruik van het nummer valt onder de beginselen van doelbinding en minimale gegevensverwerking (artikel 5, lid 1, b en c GDPR) en steunt op een wettelijke verplichting als rechtsgrond (artikel 6, lid 1, c en lid 3 GDPR). Artikel 87 GDPR laat lidstaten toe specifieke voorwaarden te stellen aan de verwerking van een nationaal identificatienummer, en artikel 32 GDPR verplicht je het passend te beveiligen. In België komen daar de wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen en de socialezekerheids- en fiscale wetgeving bij.
GDPRWise brengt je HR-processen en -systemen in kaart, zodat je gevoelige identificatoren kunt beperken tot de plaatsen waar ze thuishoren.