Personeelsdossier en de AVG: checklist voor werkgevers

Gepubliceerd op 13 maart 2023 · Laatst bijgewerkt op 29 oktober 2026

Een AVG-proof personeelsdossier bevat alleen gegevens die u nodig hebt om de arbeidsovereenkomst uit te voeren en de wet na te leven. Voor elk gegeven wijst u een grondslag uit artikel 6 AVG aan, en bijzondere gegevens zoals gezondheid houdt u buiten het dossier. De Uitvoeringswet AVG vult deze regels voor Nederland verder in. Deze checklist loopt de eisen na.

Waarom valt een personeelsdossier onder de AVG?

Een personeelsdossier bevat alle gegevens die u als werkgever over een werknemer bijhoudt: het arbeidscontract, de loonadministratie, functionerings- en beoordelingsverslagen, verlof- en verzuimregistratie, waarschuwingen en gespreksverslagen. Vrijwel al die gegevens zijn persoonsgegevens. Zodra u ze ordent en bewaart, is sprake van verwerking in de zin van de Algemene verordening gegevensbescherming.

U bent bovendien verplicht een personeelsadministratie te voeren. Fiscale regels en socialezekerheidsregels verplichten u de identiteit van uw werknemers vast te stellen en gegevens over loon en arbeidsduur te bewaren. Die verplichting rechtvaardigt de verwerking: u verwerkt niet omdat het handig is, maar omdat de wet of de arbeidsovereenkomst dat vergt.

Artikel 5 AVG stelt de beginselen waaraan elke verwerking moet voldoen: doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid, en verantwoordingsplicht. Dat laatste beginsel is in de praktijk het lastigst: u moet niet alleen rechtmatig handelen, u moet dat ook kunnen aantonen.

Wat hoort wel en niet in het dossier?

Een overzicht per soort gegeven, met de grondslag die meestal past:

Gegevens die u nodig hebt

De hoofdregel is noodzakelijkheid. In het dossier horen de gegevens die u nodig hebt om de arbeidsovereenkomst uit te voeren en uw wettelijke plichten na te komen: naam, adres, geboortedatum, burgerservicenummer, een kopie van het identiteitsbewijs, de arbeidsovereenkomst en wijzigingen daarop, gegevens over functie, salaris en arbeidsduur, en verlofregistratie.

Daarnaast mag u gegevens vastleggen over het functioneren en de ontwikkeling van de werknemer: beoordelingsverslagen, verslagen van functioneringsgesprekken, opleidingen, waarschuwingen en klachten. Juist die stukken zijn later doorslaggevend. Vraagt u bij de kantonrechter ontbinding wegens disfunctioneren (artikel 7:669 lid 3 onder d BW), dan moet u kunnen aantonen dat de werknemer tijdig is gewezen op zijn functioneren en kans heeft gehad om te verbeteren.

Het burgerservicenummer neemt een bijzondere positie in. U verwerkt het uitsluitend omdat een wet dat voorschrijft, en niet voor eigen administratieve doeleinden zoals een personeelsnummer (artikel 46 Uitvoeringswet AVG). Dat geldt ook voor de kopie van het identiteitsbewijs: die bewaart u omdat de fiscale wetgeving dat eist, niet als algemene identificatie.

Persoonlijke aantekeningen van een leidinggevende die uitsluitend voor eigen gebruik zijn en niet in het dossier terechtkomen, vallen buiten het inzagerecht. Zodra u ze deelt of opneemt in de administratie, worden het gewone dossierstukken en gelden alle AVG-regels.

Op welke grondslag verwerkt u gewone persoonsgegevens?

Elke verwerking heeft een grondslag nodig. Artikel 6 AVG kent er zes, en die opsomming is limitatief:

• de betrokkene heeft toestemming gegeven voor de verwerking;
• de verwerking is noodzakelijk voor de uitvoering van een overeenkomst, waaronder de arbeidsovereenkomst;
• de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting;
• de verwerking is noodzakelijk om de vitale belangen van de betrokkene of een ander te beschermen;
• de verwerking is noodzakelijk voor een taak van algemeen belang of openbaar gezag;
• de verwerking is noodzakelijk voor de behartiging van een gerechtvaardigd belang, tenzij de belangen of grondrechten van de betrokkene zwaarder wegen.

In een personeelsdossier draaien vrijwel alle verwerkingen om de tweede en de derde grondslag. Loonstroken, arbeidsvoorwaarden en verlofsaldi verwerkt u omdat de arbeidsovereenkomst dat vergt; loonbelastinggegevens en de identiteitscontrole omdat de wet dat eist. Voor camerabeelden, toegangscontrole of software die het werk registreert, gebruikt u het gerechtvaardigd belang, met een toets aan noodzakelijkheid, proportionaliteit en subsidiariteit. Wat daarbij wel en niet mag, leest u in ons artikel over privacy op het werk.

Waarom toestemming van een werknemer zelden werkt

Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn (artikel 4 onder 11 AVG). Tussen werkgever en werknemer bestaat een gezagsverhouding, en daardoor is toestemming in beginsel niet vrij gegeven. Bedenk ook dat een werknemer toestemming altijd kan intrekken: doet hij dat, dan moet u de verwerking staken, terwijl u de gegevens misschien wettelijk juist moet bewaren.

Bouw uw dossier daarom op de uitvoering van de arbeidsovereenkomst, de wettelijke verplichting of het gerechtvaardigd belang. Alleen voor duidelijk vrijwillige zaken, zoals de publicatie van een foto op de bedrijfswebsite, is toestemming de juiste route.

Bijzondere en strafrechtelijke gegevens

Artikel 9 AVG verbiedt in beginsel de verwerking van bijzondere categorieën persoonsgegevens. Voor het personeelsdossier gaat het vooral om gegevens over gezondheid, waaronder de aard en de oorzaak van een ziekte, om ras of etnische afkomst, om religieuze of levensbeschouwelijke overtuiging, om politieke opvattingen en vakbondslidmaatschap, om seksuele geaardheid en om biometrische en genetische gegevens. Ook een vingerafdrukscan voor de tijdregistratie valt daaronder, en die is daarom vrijwel nooit toegestaan.

Het verbod kent uitzonderingen, waarvan er in de arbeidsrelatie maar een paar bruikbaar zijn: uitdrukkelijke toestemming, gegevens die de betrokkene zelf kennelijk openbaar heeft gemaakt, verwerking die noodzakelijk is voor de uitvoering van arbeidsrechtelijke verplichtingen, en verwerking ter bescherming van vitale belangen. Vertelt een werknemer u vrijwillig iets over zijn gezondheid, dan is dat op zichzelf geen grondslag om het op te schrijven.

Strafrechtelijke gegevens vormen een aparte categorie (artikel 10 AVG). Een verklaring omtrent het gedrag mag u vragen, en het feit dat die is overgelegd, mag u vastleggen. Het uitvragen van strafrechtelijk verleden of het aanleggen van een eigen registratie daarvan mag alleen binnen de nauwe kaders van de AVG en de Uitvoeringswet AVG.

Wat mag u vastleggen bij ziekte?

Bij een ziekmelding mag u slechts beperkt gegevens vragen en verwerken. U legt vast dat de werknemer ziek is, sinds wanneer, hoe hij bereikbaar is, wat de verwachte duur is en welke lopende werkafspraken moeten worden overgenomen. Ook registreert u of het verzuim verband houdt met een ongeval waarvoor een derde aansprakelijk is, omdat u het loon dan kunt verhalen.

Wat u niet vastlegt: de aard van de klachten, de diagnose, de behandeling of medicijngebruik, ook niet als de werknemer dit uit zichzelf vertelt. Die informatie hoort bij de bedrijfsarts. Deze valt onder het medisch beroepsgeheim en mag u alleen laten weten wat iemand nog wel kan en welke beperkingen er zijn. Het Arboportaal van het ministerie van SZW verwijst hiervoor naar de beleidsregels De zieke werknemer van de Autoriteit Persoonsgegevens.

Voor de re-integratie legt u een apart dossier aan met de stukken die de Wet verbetering poortwachter voorschrijft: probleemanalyse, plan van aanpak en evaluaties. Dit re-integratiedossier houdt u gescheiden van het gewone personeelsdossier. Waar de grens ligt tussen ziekte en onvoldoende inzet, bespreken wij in ons artikel over de zieke werknemer en de quiet quitter.

Toegang, inzage en correctie

U beperkt de toegang tot het personeelsdossier tot wie het echt nodig heeft: de leidinggevende, de personeelsafdeling en de salarisadministratie, ieder voor het deel dat bij hun taak hoort. Autorisaties per rol zijn een uitvloeisel van het beginsel van minimale gegevensverwerking.

De werknemer heeft op grond van artikel 15 AVG recht op inzage in zijn dossier en op een kopie daarvan. U reageert binnen een maand (artikel 12 lid 3 AVG). Zijn gegevens onjuist of onvolledig, dan kan hij rectificatie verlangen (artikel 16 AVG). Een negatieve beoordeling hoeft u niet te verwijderen alleen omdat de werknemer het er niet mee eens is: een oordeel is geen feit. Wel kunt u zijn schriftelijke reactie aan het dossier toevoegen, en dat is meestal de verstandigste route.

Verder informeert u werknemers actief over wat u verwerkt, waarom, hoe lang en met wie u gegevens deelt (artikel 13 AVG). Een privacyverklaring voor personeel of een passage in het personeelshandboek volstaat, mits die actueel is. Een werknemer die het oneens is met de verwerking, kan een klacht indienen bij de Autoriteit Persoonsgegevens.

Beveiliging, verwerkers en datalekken

Artikel 32 AVG verplicht u tot passende technische en organisatorische maatregelen. Voor een digitaal dossier betekent dat ten minste toegangsbeheer met persoonlijke accounts, versleuteling of beveiligde opslag, logging van wie wanneer iets heeft ingezien, en een back-up. Papieren dossiers bewaart u in een afsluitbare kast in een ruimte waar niet iedereen komt.

Schakelt u een salarisverwerker of een HR-systeem in, dan is dat een verwerker en sluit u een verwerkersovereenkomst (artikel 28 AVG). Staat de server buiten de Europese Economische Ruimte, dan hebt u bovendien een geldig doorgiftemechanisme nodig. Deze afwegingen maakt u het beste vóór de aanschaf; dat is de kern van privacy by design.

Gaat het toch mis, dan meldt u een datalek zonder onredelijke vertraging en waar mogelijk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens (artikel 33 AVG), tenzij het niet waarschijnlijk is dat het lek een risico oplevert. Elk lek legt u vast in een intern register, ook de gevallen die u niet meldt.

Verwerkingsregister, DPIA en instemming van de OR

Personeelsgegevens horen in uw verwerkingsregister (artikel 30 AVG). Daarin staat per verwerking het doel, de categorieën gegevens en betrokkenen, de ontvangers, de bewaartermijnen en de beveiligingsmaatregelen. De AVG-verplichtingen die het mkb het vaakst vergeet zetten wij apart op een rij.

Bij verwerkingen met een hoog risico, bijvoorbeeld stelselmatige monitoring of grootschalige verwerking van gezondheidsgegevens, is vooraf een gegevensbeschermingseffectbeoordeling verplicht (artikel 35 AVG). Voor een gewoon personeelsdossier is dat doorgaans niet nodig, voor een systeem dat werkgedrag registreert wel.

Een regeling over de verwerking van persoonsgegevens van werknemers en over voorzieningen gericht op waarneming of controle van aanwezigheid, gedrag of prestaties valt onder het instemmingsrecht van de ondernemingsraad (artikel 27 lid 1 onder k en l Wet op de ondernemingsraden). Zonder instemming is het besluit nietig als de OR daar binnen een maand een beroep op doet (artikel 27 lid 5 WOR). De OR krijgt daarmee geen toegang tot individuele dossiers.

Hoe lang mag u het personeelsdossier bewaren?

De AVG noemt geen concrete termijnen, maar verplicht u op grond van het beginsel van opslagbeperking zelf termijnen vast te stellen en gegevens daarna te wissen. Voor sommige stukken volgt de termijn uit andere wetgeving, zoals de fiscale bewaarplicht voor de loonadministratie. Voor de rest geldt: bewaar niet langer dan nodig voor het doel waarvoor u de gegevens verzamelde.

Leg deze termijnen schriftelijk vast, per categorie, en zorg dat ze ook daadwerkelijk worden uitgevoerd. Wij hebben de termijnen per soort gegeven uitgewerkt in ons artikel over het bewaren van personeelsdossiers.

Onze hulp bij het personeelsdossier en de AVG

Onze arbeidsrechtadvocaten helpen werkgevers hun personeelsadministratie in te richten volgens de AVG:

• Wij toetsen uw personeelsdossiers op noodzakelijkheid en grondslag (artikel 5 en 6 AVG).
• Wij stellen een privacyverklaring voor personeel op (artikel 13 AVG).
• Wij beoordelen verwerkersovereenkomsten met salarisverwerkers en HR-leveranciers (artikel 28 AVG).
• Wij begeleiden het instemmingstraject met de ondernemingsraad (artikel 27 WOR).

In het kort

• Leg alleen gegevens vast die u nodig hebt voor de arbeidsovereenkomst of een wettelijke plicht, en wijs per gegeven een grondslag uit artikel 6 AVG aan.
• Bij ziekte legt u alleen datum, bereikbaarheid en verwachte duur vast; de diagnose blijft bij de bedrijfsarts.
• Bouw het dossier niet op toestemming van de werknemer: die is door de gezagsverhouding zelden vrij gegeven.
• Een regeling over personeelsgegevens vraagt instemming van de ondernemingsraad (artikel 27 WOR).

Veelgestelde vragen over het personeelsdossier en de AVG

Mag ik als werkgever een kopie van het paspoort in het dossier bewaren?

Ja, voor werknemers in loondienst. De fiscale wetgeving verplicht u de identiteit vast te stellen aan de hand van een geldig identiteitsbewijs en een kopie in de loonadministratie te bewaren. Voor sollicitanten en zzp’ers geldt die verplichting niet; daar is een kopie dus in beginsel niet nodig.

Wat gebeurt er als ik gegevens te lang bewaar?

Dan handelt u in strijd met het beginsel van opslagbeperking (artikel 5 lid 1 onder e AVG). De Autoriteit Persoonsgegevens kan handhaven, en een werknemer kan wissing vorderen (artikel 17 AVG).

De verordening zelf staat op EUR-Lex.