Deze week was ik, naast het bijhouden van mijn arbeidsrechtpraktijk, druk bezig met allerlei aspecten van het privacyrecht. Deze twee rechtsgebieden hebben veel raakvlakken, en schuren soms ook. Behalve de advocaten van AWVN krijgt ook de AWVN-werkgeverslijn veel vragen binnen over privacy en de bescherming van persoonsgegevens. Onze leden stellen veel vragen over de (voorbereiding op de) Algemene Verordening Gegevensbescherming (AVG). Niet zo gek, want nog deze maand treedt deze wet definitief in werking. De overgangsperiode die bedrijven sinds 2016 is gegund, is dan voorbij. De Autoriteit Persoonsgegevens gaat vanaf 25 mei 2018 toezien op de naleving van de AVG. Extra leuk vind ik het daarom dat ik tijdens de populaire cursus Privacy & werk die ik op 23 mei 2018 weer geef, een voormalig werknemer van de AP aan het woord kan laten. Sjoera Nas zal vertellen over de manier waarop de AP toezichthoudt.
In dit blog besteed ik aandacht aan een vraag die deze week meerdere keren voorbij is gekomen. De vraag hoe het nu zit met de plicht van de werkgever om een kopie paspoort te bewaren. Nu de AVG eraan komt, zie je dat werkgevers actief met dit onderwerp bezig zijn en ook hun werknemers. Zij bevragen hun werkgevers steeds vaker over privacyaspecten. Werkgevers moeten werknemers actief gaan wijzen op hun rechten en hen voorlichten over de manier waarop zij met hun persoonsgegevens omgaan. Ik ben aan het schrijven gegaan en deze week heeft AWVN daardoor voor haar leden een gratis model privacyverklaring voor werkgevers beschikbaar kunnen stellen. Op die manier helpen we werkgevers op een praktische manier ook bij hun voorbereiding.
Identificeer
Op de werkgever rust een identificatieplicht. Hij is verplicht bij indiensttreding van een werknemer de identiteit en eventuele verblijfsstatus van die werknemer te controleren. Hij moet dat doen aan de hand van een op dat moment geldig legitimatiebewijs waaruit ook de nationaliteit van de werknemer blijkt. Dit kan een paspoort of ID-bewijs zijn. Ook een vreemdelingendocument kan worden gebruikt. Een rijbewijs volstaat niet omdat daarop de nationaliteit niet staat vermeld.
Controleer
De werkgever mag niet op een kopie van het legitimatiebewijs afgaan, maar moet het identiteitsbewijs echt in handen hebben. Hij moet het document ook controleren op echtheidskenmerken en hij moet nagaan of het document nog geldig is. Dat laatste is niet lastig. Het eerste vraagt meer aandacht: bekijk of de foto overeenkomt met de persoon voor u. Kloppen de genoemde fysieke kenmerken zoals de lengte en leeftijd? De nationaliteit moet vermeld zijn op het document. Verder dient u de werknemer een handtekening te laten zetten en deze vergelijken met die op het legitimatiebewijs.
Kopieer
Vervolgens moet u een goed leesbare kopie maken. Het documentnummer, de pasfoto en het BSN-nummer moeten goed zichtbaar zijn en mogen dus niet zijn doorgehaald. U hoeft dit niet opnieuw te doen wanneer de geldigheid van het document is verlopen. Let op: de AP geeft aan dat ook pagina’s met informatie, zoals persoonlijkheidskenmerken, handtekening, stempels en informatie over de eventuele kinderen moeten worden gekopieerd.
Bewaar
Als u een kopie (of scan) van het legitimatiebewijs maakt en dit in een papieren of digitale versie opslaat, verwerkt u persoonsgegevens. Dit mag. Sterker nog, u moet dit doen op grond van een wettelijke verplichting in het kader van de loonadministratie (art. 29 Wet op de Loonbelasting). Deze verwerkingsgrondslag kunt u dan ook in het verwerkingsregister vermelden. U dient het document te bewaren tot minstens vijf jaar na het kalenderjaar waarin de werknemer uit dienst is gegaan. Als er controle komt, bijvoorbeeld door de Inspectie SZW, moet u de kopie kunnen tonen. Omdat het document een bijzonder persoonsgegeven bevat, namelijk het BSN-nummer en persoonskenmerken, moet u extra zorgvuldig met deze informatie omgaan. Goed beveiligen is een must. Ga goed na wie er toegang heeft tot dit soort documenten en pas dit zo nodig aan.
Aanvullende informatie
Op de website van de AP treft u de CPB-richtsnoeren aan over identificatie en verificatie van persoonsgegevens. Dit document gaat over het gebruik van het ‘kopietje paspoort’ in de private sector en bevat nuttige informatie die u in aanvulling op dit blog kunt nalezen.
Bent u inlener? Dan geen kopie of scan maken. Wat wel?
Als u personeel inleent als uitzendkracht of payrollwerknemer of er is sprake van detachering en u wilt het risico van inleners- of ketenaansprakelijkeid beperken, werkt het net even anders. In dit geval is het belangrijk dat u bij de Belastingdienst kunt aantonen wat de identiteit is van die ingeleende arbeidskracht en wat de omvang van de eventuele aansprakelijkheid is (manurenadministratie). Als inlener (materiële werkgever) mag u geen kopie of scan maken van het legitimatiebewijs van de ingeleende arbeidskracht. De formele werkgever mag dat wel. Wat u wel moet doen, is het originele identiteitsbewijs controleren. Vervolgens dient u in uw administratie de NAW-gegevens van de ingeleende arbeidskracht op te nemen, de geboortedatum en het BSN-nummer, de nationaliteit, het soort identiteitsbewijs en de geldigheidsduur. Voor de beperking van de aansprakelijkheid moet u meer gegevens vastleggen. Informatie daarover op de site van de AP en de op deze pagina genoemde brochures van de Belastingdienst.
Let op: als u een vreemdeling in de zin van de Vreemdelingenwet te werk stelt, kan een kopie of scan van het identiteitsbewijs wel verplicht zijn. Mijn collega’s van onze fiscaal-internationale afdeling kunnen u daar desgewenst meer over vertellen.
