De AVG en gegevens personeel van derden

Als gebruik wordt gemaakt van personeel van derden (bijvoorbeeld een uitzendbureau, een schoonmaakbedrijf of een aanneembedrijf) kan de opdrachtgever aansprakelijk worden gesteld voor niet afgedragen loonheffing en sociale premies voor de werknemers van die derde. Dit is geregeld in de Wet Inleenaansprakelijkheid en de Wet Ketenaansprakelijkheid (artikel 34 en 35 Invorderingswet 1990). Het is mogelijk (en sterk aan te raden) om deze aansprakelijkheidsrisico’s te beperken door onder meer het vastleggen van de persoonsgegevens van de werknemers van de derde.

In het kader van de inwerkingtreding van de AVG per 25 mei 2018 rijst de vraag of het vastleggen van persoonsgegevens van personeel van derden wel is toegestaan. 

AVG

Elke organisatie heeft op grond van de AVG de verplichting om te registreren welke gegevens worden verwerkt en waarom. Tevens moet worden vastgelegd hoelang die gegevens worden bewaard. Ook moet worden beschreven hoe de procedures met betrekking tot het verkrijgen en verwerken van de gegevens luiden en op welke wijze wordt bereikt dat deze gegevens afdoende worden beveiligd. Er moet tot slot binnen de organisatie een persoon worden aangewezen die verantwoordelijk is voor de uitvoering van die procedures. 

Voorop staat dat het verwerken van persoonsgegevens steeds een redelijk doel moet dienen en moet zijn gebaseerd op een van de volgende drie gronden:

• Een verplichting die voortvloeit uit de wet (zoals het voor de belastingdienst houden van een kopie van het paspoort van werknemers in de loonadministratie);
• De uitvoering van een overeenkomst met degene wiens persoonsgegevens het betreft (zoals de adresgegevens van degene die een abonnement op een tijdschrift sluit);
• Toestemming die voor een specifieke verwerking is gegeven door degene wiens persoonsgegevens het zijn (zoals toestemming om in een smoelenboek te worden opgenomen)

Verwerken van persoonsgegevens in het kader van risicobeperking

Om aansprakelijkheid voor ingehuurd personeel te vermijden of te beperken moeten door de opdrachtgever persoonsgegevens worden geregistreerd. Om aan de regels van de AVG te voldoen moet de procedure met betrekking tot het verzamelen van de gegevens van werknemers van de derde aan de volgende eisen voldoen:

• Er moet een beschrijving worden gemaakt van de procedure voor het verkrijgen en registreren van gegevens van de werknemers van de derde.
• De naw-gegevens van die werknemer plus het BSN mogen rechtstreeks door de derde aan de opdrachtgever worden verstrekt als die verstrekking voldoende is beveiligd.
• Het vaststellen van de identiteit van de werknemer van een derde moet de opdrachtgever zelf doen.
   

Geen kopie paspoort bewaren, tenzij sprake is van een werkvergunningsplicht

Een kopie van het paspoort van de werknemer van de derde mag niet door de opdrachtgever worden gemaakt omdat dit bijzondere persoonsgegevens bevat, zoals een foto. Anders dan de werkgever zelf heeft de opdrachtgever geen wettelijke bevoegdheid om die gegevens te verwerken. De opdrachtgever moet daarom altijd zelf de identiteit van de werknemers van de derde aan de hand van hun paspoort vaststellen en hiervan de gegevens registreren, inclusief de nationaliteit van de werknemer. Een rijbewijs is niet voldoende omdat daarop niet de nationaliteit van de werknemer staat vermeld. Voor  buitenlandse werknemers die op grond van de Wet arbeid vreemdelingen over een tewerkstellingsvergunning moeten beschikken gelden andere regels. Van hen moet wèl een kopie van de werkvergunning en van het paspoort worden bewaard. Deze verplichting staat in de Wet arbeid vreemdelingen vermeld. 

De belastingdienst heeft een modelformulier voor de vastlegging van persoonsgegevens van personeel van derden dat van de website van de belastingdienst kan worden gedownload. Op dat formulier staan ook nog andere gegevens die geregistreerd kunnen worden om het aansprakelijkheidsrisico te verminderen.

Auteur: Gé Lieshout 

Meer artikelen over de AVG?

– Voorbereiden op de AVG

– In 10 stappen voorbereid op de Algemene verordening gegevensbescherming (AVG)