Big data in HR: wat mag een werkgever met personeelsgegevens?

Gepubliceerd op 26 oktober 2025 · Laatst bijgewerkt op 29 oktober 2026

Een werkgever mag big data over zijn personeel alleen gebruiken met een grondslag uit artikel 6 van de AVG, meestal het gerechtvaardigd belang, en alleen voor zover dat noodzakelijk en proportioneel is. Toestemming van werknemers is door hun afhankelijke positie zelden geldig, en voor een regeling over personeelsgegevens of een systeem dat gedrag of prestaties volgt, heeft de ondernemingsraad instemmingsrecht (artikel 27 lid 1 sub k en l Wet op de ondernemingsraden).

HR-systemen leggen steeds meer vast: prestaties, aanwezigheid, communicatie en gedrag. Al die gegevens zijn persoonsgegevens en vallen onder de AVG, aangevuld met de Uitvoeringswet AVG. Daarnaast bepalen het arbeidsrecht en de medezeggenschap wat een werkgever met die data mag doen. Hieronder leest u welke regels gelden, waar het in de praktijk misgaat en wat werknemersprivacy concreet betekent.

Welke personeelsgegevens verwerkt HR-analytics?

Big data in HR gaat verder dan het klassieke personeelsdossier. Systemen combineren gegevens uit e-mail, planningssoftware, prestatiesystemen en toegangspassen. Zo zoeken werkgevers patronen in verzuim, verloop of productiviteit. Juridisch maakt het uit welk soort gegevens het betreft.

Gezondheidsgegevens zijn het grootste risico in HR. Bij ziekte mag een werkgever in beginsel alleen vastleggen wat nodig is voor loondoorbetaling en re-integratie. Een diagnose hoort niet in het systeem van de werkgever, maar bij de bedrijfsarts. Wie verzuimdata koppelt aan andere gegevens om voorspellingen te doen, komt snel in strijd met artikel 9 AVG.

Op welke grondslag mag de werkgever personeelsdata verwerken?

De AVG kent zes grondslagen (artikel 6 lid 1 AVG). In HR spelen er vier. Voor elke verwerking moet de werkgever vooraf vastleggen welke grondslag hij gebruikt.

Bij het gerechtvaardigd belang weegt de werkgever drie vragen af. Is het belang concreet? Is de verwerking noodzakelijk, of kan het met minder gegevens? En weegt de inbreuk op de privacy van werknemers niet zwaarder? Factoren daarbij zijn de aard van de gegevens, de impact op werknemers, beschikbare alternatieven en de beveiliging.

Toestemming lijkt de eenvoudigste route, maar werkt in een arbeidsrelatie zelden. Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn (artikel 4 onder 11 AVG). Een werknemer die van zijn werkgever afhankelijk is, kan moeilijk vrij weigeren. Een werkgever die verplichte HR-processen op toestemming baseert, staat daardoor zwak.

Wanneer mag een algoritme over werknemers beslissen?

Een besluit dat uitsluitend op geautomatiseerde verwerking berust en iemand in aanmerkelijke mate treft, is in beginsel niet toegestaan (artikel 22 AVG). Denk aan een systeem dat zelfstandig sollicitanten afwijst of een contract beëindigt. Er moet dan echte menselijke tussenkomst zijn. Een medewerker die alleen op een knop drukt, telt niet mee.

Hoe streng dat wordt getoetst, laat een uitspraak van het Gerechtshof Amsterdam van 4 april 2023 zien (ECLI:NL:GHAMS:2023:793). Uber had de accounts van chauffeurs gedeactiveerd. Bij drie van hen had Uber volgens het hof niet aannemelijk gemaakt dat er werkelijk een mens naar het besluit had gekeken. Het hof beval Uber om uit te leggen op basis van welke factoren en met welke weging het besluit was genomen. Een beroep op bedrijfsgeheimen ging niet op. Bij een vierde chauffeur was vooraf een persoonlijk gesprek gevoerd; daar was wel menselijke tussenkomst.

Die chauffeurs waren geen werknemers, maar de regels van de AVG gelden net zo goed in een arbeidsrelatie. Voor HR betekent dit: wie algoritmes inzet bij werving, beoordeling of ontslag, moet kunnen uitleggen hoe een besluit tot stand komt en moet een mens laten beslissen. Daarnaast speelt het risico van privacyrisico’s en discriminatie. Een model dat is getraind op oude data kan ongemerkt onderscheid maken naar geslacht, leeftijd of afkomst. Dat is in strijd met de Algemene wet gelijke behandeling.

Actualiteit (oktober 2026): de Europese AI-verordening (Verordening (EU) 2024/1689) merkt AI-systemen voor werving en personeelsbeheer aan als systemen met een hoog risico (bijlage III). Voor die systemen gelden extra eisen, zoals menselijk toezicht en documentatie. Volg de actuele stand van de invoering, want de termijnen zijn in Europa nog onderwerp van wetgeving.

Welke rechten heeft de ondernemingsraad bij HR-analytics?

De ondernemingsraad heeft instemmingsrecht bij een regeling over de verwerking van en de bescherming van personeelsgegevens (artikel 27 lid 1 sub k WOR). Hetzelfde geldt voor voorzieningen die geschikt zijn om aanwezigheid, gedrag of prestaties van werknemers waar te nemen of te controleren (sub l). Een dashboard dat productiviteit per medewerker toont, valt daar al snel onder. Het gaat om de geschiktheid van het systeem, niet om de bedoeling van de werkgever.

Neemt de werkgever zo’n besluit zonder instemming, dan is het besluit nietig als de ondernemingsraad daar binnen een maand een beroep op doet (artikel 27 lid 5 WOR). Daarnaast kan de raad adviesrecht hebben, bijvoorbeeld bij de invoering van een groot nieuw informatiesysteem (artikel 25 WOR). Bij een ingewikkeld privacyvraagstuk kan de raad een deskundige inschakelen; de redelijke kosten daarvan komen na kennisgeving voor rekening van de ondernemer (artikel 22 WOR).

Betrek de raad daarom vroeg, voordat een systeem is gekocht. De raad bewaakt de belangen van werknemers en kan waarborgen eisen, zoals kortere bewaartermijnen, analyses op groepsniveau of beperkte toegang. Hoe de raad zijn eigen werkwijze regelt, leest u in ons stuk over de belangenafweging in het OR-reglement.

Wanneer is een DPIA verplicht en wat betekent privacy by design?

Een gegevensbeschermingseffectbeoordeling (DPIA) is verplicht als een verwerking waarschijnlijk een hoog risico oplevert (artikel 35 AVG). In HR is dat het geval bij systematische monitoring van werknemers, bij geautomatiseerde beoordeling met gevolgen voor de werknemer en bij grootschalige verwerking van bijzondere persoonsgegevens. Ook nieuwe technologie, zoals AI, is een signaal.

Een DPIA beschrijft de verwerking en het doel, toetst noodzaak en proportionaliteit, brengt de risico’s voor werknemers in kaart en legt maatregelen vast. Start de DPIA in de ontwerpfase, ook als nog niet alles bekend is. Betrek de functionaris gegevensbescherming als uw organisatie die heeft.

Privacy by design en privacy by default (artikel 25 AVG) vragen dat u bescherming inbouwt bij het ontwerp. Verzamel alleen wat nodig is. Pseudonimiseer waar dat kan, zodat analyses niet tot individuele werknemers te herleiden zijn. Wees extra voorzichtig met het koppelen van databases en met gegevens uit sociale media: werknemers verwachten niet dat die zomaar worden gecombineerd.

Wat moet de werkgever werknemers vertellen?

De werkgever moet werknemers vooraf informeren over elke gegevensverwerking (artikelen 13 en 14 AVG). Dat gebeurt meestal in een interne privacyverklaring. Daarin staat minimaal welke gegevens worden verzameld en waarvoor, op welke grondslag, hoe lang ze worden bewaard, wie ze ontvangt en of er geautomatiseerde besluitvorming plaatsvindt. Bij personeelsmonitoring hoort de werknemer ook te weten wanneer en hoe wordt gecontroleerd.

Werknemers hebben daarnaast eigen rechten. Ze kunnen hun gegevens inzien (artikel 15 AVG), laten verbeteren (artikel 16), in bepaalde gevallen laten wissen (artikel 17) en bezwaar maken tegen verwerking op grond van gerechtvaardigd belang (artikel 21). De werkgever moet binnen een maand op zo’n verzoek reageren; bij een ingewikkeld verzoek kan die termijn met twee maanden worden verlengd (artikel 12 lid 3 AVG). Deze rechten gelden ook bij arbeidsrelaties op afstand, waar monitoringsoftware vaker wordt gebruikt.

Ook het arbeidsrecht stelt grenzen. Een goed werkgever (artikel 7:611 BW) houdt rekening met de privacy van werknemers. Controle van e-mail, internet- en telefoongebruik moet proportioneel zijn, er moet geen minder ingrijpend middel beschikbaar zijn en werknemers moeten het vooraf weten. Een cao kan aanvullende afspraken bevatten.

Wat doet u bij een datalek met personeelsgegevens?

Een datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens, tenzij het lek waarschijnlijk geen risico oplevert (artikel 33 AVG). Is het risico voor werknemers hoog, dan moet u hen ook zonder onnodige vertraging informeren (artikel 34 AVG). Elk lek, ook een dat u niet meldt, legt u intern vast.

In HR ontstaan lekken vaak door een e-mail aan de verkeerde ontvanger, onbeveiligde opslag van dossiers, toegang die na uitdiensttreding niet is ingetrokken of gestolen laptops. Een vaste datalekprocedure helpt om binnen de termijn te blijven:

1. Stop het lek, bijvoorbeeld door toegang te blokkeren of een e-mail terug te halen.
2. Stel vast welke gegevens van welke werknemers zijn gelekt.
3. Beoordeel het risico en meld binnen 72 uur bij de AP als dat nodig is.
4. Informeer de getroffen werknemers bij een hoog risico.
5. Leg het lek, de gevolgen en de genomen maatregelen vast (artikel 33 lid 5 AVG).

Hoe lang mag u personeelsgegevens bewaren?

De AVG noemt geen vaste termijn. Gegevens mogen niet langer worden bewaard dan nodig is voor het doel (artikel 5 lid 1 sub e AVG). Voor sommige stukken schrijft een andere wet een minimumtermijn voor. Zo geldt voor de loonadministratie de fiscale bewaarplicht van zeven jaar (artikel 52 Algemene wet inzake rijksbelastingen). Voor het gewone personeelsdossier wordt in de praktijk vaak twee jaar na uitdiensttreding aangehouden. Sollicitatiegegevens van afgewezen kandidaten verwijdert u kort na afloop van de procedure, tenzij de kandidaat toestemming geeft om ze langer te bewaren.

Een overzicht per soort stuk vindt u in ons artikel over bewaartermijnen. Te lang bewaren is een inbreuk op de privacy. Te vroeg vernietigen kan bij een arbeidsconflict of juridische problemen met personeel uw bewijspositie verzwakken. Regel daarom automatische verwijdering en houd bij wie toegang heeft gehad. Bij buitenlandse werknemers gelden soms eigen regels voor gegevensbeheer, zoals de bewaarplicht van identiteitsbewijzen.

Wat kan de Autoriteit Persoonsgegevens doen?

De AP houdt toezicht op de AVG in Nederland. Zij kan informatie opvragen, systemen inzien en bedrijfsruimten betreden. Bij overtredingen kan zij een last onder dwangsom, een verwerkingsverbod of een bestuurlijke boete opleggen. De zwaarste boetes lopen op tot 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, als dat hoger is (artikel 83 lid 5 AVG). Werknemers kunnen bij de AP een klacht indienen, en hebben bij schade een eigen recht op schadevergoeding (artikel 82 AVG).

Wat regelt een werkgever voordat hij HR-analytics invoert?

• Leg per verwerking de grondslag, het doel en de bewaartermijn vast in het verwerkingsregister (artikel 30 AVG).
• Voer een DPIA uit vóór systematische monitoring of geautomatiseerde beoordeling (artikel 35 AVG).
• Vraag instemming van de ondernemingsraad (artikel 27 lid 1 sub k en l WOR).
• Sluit een verwerkersovereenkomst met externe partijen die de data analyseren (artikel 28 AVG).
• Zorg voor menselijke tussenkomst bij besluiten met gevolgen voor werknemers (artikel 22 AVG).
• Pas de interne privacyverklaring aan; de privacy-eisen voor een externe verklaring gelden in grote lijnen ook intern.

Een breder overzicht van de verplichtingen en de AVG-compliance in Nederland vindt u in ons artikel over privacywetgeving.

Wat kunt u als werknemer doen als u twijfelt over de verwerking van uw gegevens?

• Vraag de interne privacyverklaring op: welke gegevens, waarvoor en hoe lang.
• Dien een inzageverzoek in (artikel 15 AVG); de werkgever moet in de regel binnen een maand reageren.
• Maak bezwaar tegen analyses die op gerechtvaardigd belang steunen (artikel 21 AVG).
• Vraag om menselijke beoordeling als een besluit volledig geautomatiseerd is genomen (artikel 22 AVG).
• Vraag de ondernemingsraad of hij met het systeem heeft ingestemd.

Hoe wij helpen bij personeelsdata en privacy

• Wij toetsen uw HR-analytics aan de AVG: grondslag, doelbinding en bewaartermijnen.
• Wij beoordelen of een DPIA nodig is en lopen die met u door.
• Wij begeleiden het instemmingsverzoek aan de ondernemingsraad.
• Wij stellen de privacyverklaring, verwerkersovereenkomsten en het interne beleid op.
• Wij staan werknemers bij die inzage, verwijdering of schadevergoeding vragen.

Meer over onze werkwijze leest u op de pagina over arbeidsrecht.

Big data in HR in vijf punten

• Toestemming van werknemers is zelden een geldige grondslag; meestal gaat het om uitvoering van de arbeidsovereenkomst, een wettelijke plicht of gerechtvaardigd belang.
• Gezondheidsgegevens zijn bijzondere persoonsgegevens (artikel 9 AVG); een diagnose hoort niet bij de werkgever.
• Een systeem dat prestaties of gedrag kan volgen, vraagt instemming van de ondernemingsraad; zonder instemming kan het besluit nietig zijn.
• Een algoritme mag niet zonder echte menselijke tussenkomst over werknemers beslissen; het Gerechtshof Amsterdam toetste dat in 2023 streng.
• Een datalek meldt u binnen 72 uur bij de AP.