Bij het digitaliseren van personeelsdossiers moet er rekening worden gehouden met de wet- en regelgeving. Dat gebeurt nog niet genoeg. Daardoor kunnen er verkeerde keuzes worden gemaakt, of kan zelfs in strijd met de wet worden gehandeld. Sayed Nasibdar, accountmanager van Karmac, zet een paar aandachtspunten en tips op een rij.

1 Screen de medewerkers van externe scanbedrijven

"De fout begint in de meeste gevallen al bij de aanbesteding. Het digitaliseren van personeelsdossiers (en bijvoorbeeld ook patiënten- of cliëntendossiers) wordt uitbesteed aan een externe partij, waarbij wordt gekozen voor de goedkoopste aanbieder - die vaak onrealistisch lage prijzen rekent. Wat daarbij wordt vergeten, is dat de dossiers vertrouwelijke informatie bevatten. En dat de werknemers van de externe scanbedrijven die informatie onder ogen krijgen. Zij moeten de papieren dossiers immers gereed maken voor scanning: de nietjes, paperclips en plastic binders moeten worden verwijderd.
Maar zijn de medewerkers die de vertrouwelijke informatie te zien krijgen, wel gescreend? Beschikken zij eventueel over een Verklaring Omtrent het Gedrag? En staat het bedrijf zelf wel geregistreerd bij de Autoriteit Persoonsgegevens?
Het is in de praktijk voorgekomen dat dossiers, zonder medeweten van de klant, scanklaar werden gemaakt door gevangenen of in sociale werkplaatsen die er niet op ingericht zijn. Het komt ook voor dat dit werk wordt uitbesteed aan medewerkers uit lagelonenlanden, waarbij er totaal geen zicht meer is op wie inzage heeft in de dossiers."

2 Maak waterdichte leveranciers- en bewerkersovereenkomsten

"Mocht er vertrouwelijke informatie op straat komen te liggen, dan valt dat onder de Wet op datalekken. En volgens die wet is de werkgever als opdrachtgever eindverantwoordelijk voor deze fout. HR moet dus kunnen aantonen dat er alles aan is gedaan om datalekken te voorkomen. En u moet dus aan kunnen tonen dat daarover hele goede afspraken zijn gemaakt met de externe partij die het scannen gaat verzorgen. Zorg dus voor een waterdichte leveranciersovereenkomst en een bewerkersovereenkomst. En zorg dat u heeft gecontroleerd of de leverancier zijn beloften kan waarmaken."

Lees ook: Privacy in het personeelsdossier: wat mag en wat niet?

3 Sla niet alles in één bestand op: denk aan de bewaartermijnen

"Een volgend belangrijk punt is, dat een dossier beslist niet in één bestand moet worden opgeslagen. Volgens de Wet bescherming persoonsgegevens moeten immers bewaartermijnen in acht nemen genomen worden. En die termijnen lopen uiteen voor de verschillende onderdelen van het personeelsdossier.
Vuistregel is dat je alleen die informatie moet en mag bewaren die van belang is voor het huidige functioneren van de werknemer. Het is bijvoorbeeld niet toegestaan om de originele sollicitatiebrief van een medewerker onbeperkt te bewaren, of bijvoorbeeld de stukken van eventuele loonbeslagen. Zorg er dus voor dat al deze documenten in aparte bestanden terechtkomen, zodat je makkelijk afzonderlijk kunt weggooien. En over die bestanden gesproken: een regulier pdf-bestand volstaat niet. Want een werkgever moet ook rekening houden met de wettelijke status van een document. Een arbeidsovereenkomst op papier is bijvoorbeeld een ‘onderhandse akte’, die in rechtszaken als dwingend bewijs geldt: de rechter is verplicht om dit bewijs te accepteren. Als deze overeenkomst is opgeslagen als een gewone pdf, geldt deze echter als ‘vrije digitale bewijslast’: de rechter mag zelf weten hoeveel belang hij er aan hecht.

Als een werkgever wil dat gescande documenten ook als ‘dwingend bewijs’ gelden, moet het scannen aan de zogenoemde substitutienorm voldoen. Daarbij wordt er een aantal zeer specifieke eisen aan het scannen gesteld. Zo moet er in kleur worden gescand, met een bepaalde minimale resolutie, en moet het bestand worden opgeslagen als pdf/A. Dit bestandsformaat garandeert dat de informatie altijd op dezelfde manier zal worden weergegeven, nu en in de toekomst; onafhankelijk van de software waarmee de pdf/A wordt vertoond."

4 Zorg voor een beveiligde internetverbinding

"Tot slot is het de vraag hoe de gescande informatie bij de werkgever terugkomt. Hopelijk niet via een onbeveiligde internetverbinding. Werk bij voorkeur samen met scanbedrijven die een veilige, rechtstreekse verbinding bieden met het eigen e-HRM-pakket. Wie al deze regels in acht neemt, kan zonder zorgen genieten van gedigitaliseerde personeelsdossiers."

Gerelateerde content:
HR doet te ingewikkeld over data
Zonder digitalisering ben je als HR niet geloofwaardig
Zo leidt HR digitalisering in goede banen

Dit artikel is tot stand gekomen in samenwerking metKarmac