Oppbevaring av personaldata: hvor lenge kan en arbeidsgiver oppbevare dem?

Det finnes ingen fast oppbevaringsperiode for personelldata. I henhold til GDPR kan du bare oppbevare data så lenge du trenger dem til formålet du samlet dem inn for. Nederlandsk skattelovgivning setter deretter faste minimumsperioder for lønnsregistreringer, lønnsskatteoppgave og kopi av den ansattes identitetsdokument.

I praksis gir dette nederlandske arbeidsgivere tre ankerpunkter: to år etter at arbeidsforholdet er avsluttet for mesteparten av personalmappen, fem år etter utløpet av kalenderåret arbeidstakeren sluttet for lønnsoppgaven og ID-kopi, og syv år for lønnsadministrasjonen. Artikkelen vår om hva som kan oppbevares i en personalmappe omhandler innholdet; denne omhandler hvor lenge.

Hva er den grunnleggende regelen i henhold til GDPR?

Ikke oppbevar personopplysninger lenger enn nødvendig. Artikkel 5(1)(e) i GDPR (lagringsbegrensning) krever at du, per datakategori, bestemmer hvor lenge du faktisk trenger dem, og at du kan forklare dette valget.

Selve GDPR inneholder ingen tabell over perioder. Periodene nedenfor er hentet fra nederlandsk skattelovgivning og fra veiledningen fra den nederlandske databeskyttelsesmyndigheten (Autoriteit Persoonsgegevens, AP).

Hvilke data oppbevarer dere i to år?

Mesteparten av personalmappen. APs veiledning er at data uten lovpålagt oppbevaringsperiode vanligvis oppbevares i to år etter at den ansatte har sluttet.

Dette dekker for eksempel arbeidsavtalen og dens endringer, evalueringer og medarbeiderrapporter, korrespondanse om ansettelse, forfremmelse, degradering og oppsigelse, opplæringsjournaler, advarsler, referanser og fraværsjournaler.

Hvis det er eller har vært en arbeidsrettslig tvist med den ansatte, eller en rettssak er under behandling, kan du oppbevare relevante data lenger, inntil saken er løst. Det rettferdiggjør å oppbevare det relevante materialet, ikke hele filen, på ubestemt tid.

Hvilke data oppbevarer dere i fem eller sju år?

Regnskapsdokumentene. Her har du ingen skjønnsmessig kontroll: skatteplikten fastsetter perioden og overstyrer det generelle prinsippet om å lagre data så kort som mulig.

• Lønnsbelastingverklaring og kopi av identitetsdokumentet du bekreftet da arbeidstakeren startet: fem år etter utløpet av kalenderåret arbeidsforholdet opphørte.
• Lønnsadministrasjonen (loonadministratie): syv år, den generelle skattemessige oppbevaringsperioden for grunnleggende registre fastsatt av den nederlandske skatte- og tollvesenet (Belastingdienst).

Bare de postene som skatteplikten dekker faller inn under disse lengre periodene. Resten av filen følger fortsatt toårsregelen.

Hvor lenge kan dere oppbevare søkernes data?

Normalt opptil fire uker etter at søknadsprosedyren er avsluttet. Med kandidatens samtykke kan du oppbevare dataene i opptil ett år, for eksempel for en talentpool.

Samtykke må være et reelt valg, som må forespurt separat og registreres. En linje i personvernerklæringen er ikke nok.

Hva med sykdom og medisinske data?

Helseopplysninger hører hjemme hos bedriftslegen (bedrijfsarts) eller bedriftshelsetjenesten, ikke hos deg som arbeidsgiver. De er underlagt medisinsk taushetsplikt og egne oppbevaringsregler.

Som arbeidsgiver beholder du kun fraværsdatoer og informasjonen du trenger for reintegrering og lønnsutbetaling under sykdom. Disse dataene følger de ordinære periodene for personalmappen.

Hva bør du sjekke som arbeidsgiver?

• Har din oversikt over behandlingsaktiviteter (artikkel 30 i GDPR) en oppbevaringsperiode per kategori av personelldata?
• Sletter dere søkerdata innen fire uker etter prosedyren, med mindre dere har registrert samtykke i opptil ett år?
• Oppbevares helsedata kun av bedriftslegen, mens dere kun oppbevarer fraværsdatoer?
• Oppbevarer du ID-kopi og lønnsskatteoppgave i fem år etter kalenderåret for fratreden, og lønnsoversikten i sju år?
• Slettes også kopier i postbokser, delte disker og sikkerhetskopier, og bruker dere tidsplanen på et fast tidspunkt hvert år?

Hva bør du sjekke som ansatt?

• Har du benyttet deg av innsynsretten din (artikkel 15 i GDPR) for å se hvilke data arbeidsgiveren din fortsatt har?
• Oppbevarer din tidligere arbeidsgiver data i mer enn to år etter at du sluttet uten tvist eller lovfestet grunn?
• Inneholder filen medisinsk informasjon som tilhører bedriftslegen?
• Har du bedt om sletting i henhold til artikkel 17 i GDPR, og svarte arbeidsgiveren innen én måned?

Hva kan vi gjøre for deg angående oppbevaring av personaldata?

Våre arbeidsrettsadvokater gir råd til arbeidsgivere og ansatte om personelldata:

• Vi utarbeider en oppbevaringsplan per kategori av personaldata.
• Vi gjennomgår personalmappene dine og identifiserer data som må slettes.
• Vi utarbeider prosedyren for innsyns- og slettingsforespørsler fra (tidligere) ansatte.
• Vi vurderer hvilke data du kan lagre lenger på grunn av en ventende eller forutsigbar tvist.
• Vi sender inn en forespørsel om tilgang eller sletting på vegne av en ansatt.

Sammendrag

• GDPR setter ingen faste perioder: oppbevar kun data så lenge det er nødvendig for formålet.
• Mesteparten av personalmappen: to år etter at ansettelsesforholdet er avsluttet, lenger bare for data som er relevante for en tvist.
• Lønnsoppgave og kopi av ID: fem år etter utløpet av kalenderåret arbeidsforholdet opphørte; lønnsadministrasjon: syv år.
• Søkere: inntil fire uker etter inngrepet, eller inntil ett år med registrert samtykke.
• Helsedata forblir hos bedriftslegen; du beholder kun fraværsdatoer og det du trenger for reintegrering og lønnsutbetaling.

Ofte stilte spørsmål