In dit reglement wordt verstaan onder:
2.1 Dit reglement is van toepassing op alle persoonsgegevens betreffende het personeel die door of namens het bevoegd gezag worden verwerkt.
2.2 Dit reglement heeft tot doel:
3.1 Slechts die persoonsgegevens worden verwerkt, die rechtmatig verkregen zijn.
3.2 Verwerking van de gegevens mag alleen geschieden voor de in lid 5 van deze bepaling genoemde categorieën van verwerking.
3.3 De verwerking van de gegevens moet in overeenstemming zijn met het doel, waarvoor de verwerking is aangelegd. De doeleinden verschillen per categorie en zijn omschreven in de bij dit reglement behorende bijlagen.
3.4 Geen andere gegevens mogen worden verwerkt dan de gegevens genoemd in de bij dit reglement behorende bijlagen.
3.5 De categorieën van verwerking zijn:
Persoonsgegevens worden door de werkgever op naam van het personeelslid verzameld. De verzameling van persoonsgegevens van het personeelslid vormt het dossier.
Persoonsgegevens worden slechts verstrekt aan degenen die worden genoemd in de bij dit reglement behorende bijlagen.
6.1 Behoudens daartoe strekkende wettelijke voorschriften in wet- en regelgeving hebben slechts toegang tot de persoonsgegevens: degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan de activiteiten die in verband staan met de verwerking van de gegevens of die daarbij noodzakelijk zijn betrokken.
6.2 Degenen genoemd in artikel 6.1 dienen zich te registreren in het bestand dat als bijlage 6 bij dit reglement wordt gevoegd.
7.1 De werkgever draagt zorg voor passende technische en organisatorische maatregelen ter voorkoming van verlies of onrechtmatige verwerking van persoonsgegevens. Deze maatregelen garanderen, rekening houdend met de stand der techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau, gelet op de risico’s die de verwerking en de aard van de te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.
7.2 Indien sprake is van elektronische verwerking van persoonsgegevens zal de beheerder via een coderingsbeveiliging de verschillende personen, als bedoeld in artikel 6, toegang geven tot bepaalde gedeelten van de persoonsgegevens of tot alle persoonsgegevens al naar gelang hun werkzaamheden dit vereisen.
7.3 Een ieder die betrokken is bij de uitvoering van dit reglement en daarbij de beschikking krijgt over persoonsgegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs kan vermoeden en voor wie niet reeds uit hoofde van beroep, functie of wettelijk voorschrift ter zake van de persoonsgegevens een geheimhoudingsplicht geldt, is verplicht tot geheimhouding daarvan. Dit geldt niet indien enig wettelijk voorschrift hem tot bekendmaking verplicht of uit zijn taak bij de uitvoering van dit reglement de noodzaak tot bekendmaking voortvloeit.
7.4 De werkgever zal conform de AVG de autoriteit bescherming persoonsgegevens onverwijld in kennis stellen van een inbreuk op de beveiliging die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens.
7.5 De werkgever zal conform de AVG de betrokkene onverwijld in kennis stellen van de inbreuk, als de inbreuk waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer.
7.6 Een ieder die betrokken is bij de uitvoering van dit reglement en op de hoogte raakt van een (mogelijk) inbreuk op de beveiliging zoals bedoeld in art. 7.4 is verplicht hiervan onverwijld melding te maken bij de werkgever.
8.1 De werkgever informeert betrokkene over het verwerken van diens persoonsgegevens, voorafgaand aan de verzameling van de persoonsgegevens of, indien de gegevens van derden afkomstig zijn, voorafgaand aan het moment van vastlegging.
8.2 De werkgever informeert betrokkene over de persoonsgegevens die worden verwerkt, met welk doel dat gebeurt en aan wie de gegevens worden verstrekt.
9.1 Elke betrokkene heeft het recht op inzage.
9.2 Indien de werkgever twijfelt aan de identiteit van de verzoeker, vraagt hij zo spoedig mogelijk aan de verzoeker schriftelijk nadere gegevens inzake zijn identiteit te verstrekken of een geldig identiteitsbewijs te overleggen. Door dit verzoek wordt de termijn opgeschort tot het tijdstip dat het gevraagde bewijs is geleverd.
9.3 Een verzoek om inzage dient te worden gedaan aan de werkgever, die binnen vier weken na ontvangst van dit verzoek hierop schriftelijk reageert.
9.4 Indien de betrokkene de werkgever verzoekt tot correctie omdat bepaalde opgenomen gegevens onjuist c.q. onvolledig zouden zijn, dan wel gezien de doelstelling van het systeem niet ter zake doen, dan wel strijdig zijn met dit reglement, neemt de werkgever binnen vier weken nadat betrokkene dit verzoek heeft ingediend, hierover een beslissing binnen de kaders van de hiervoor opgestelde regels binnen de AVG.
9.5 De werkgever draagt zorg dat een beslissing tot verbetering, aanvulling, verwijdering of afscherming zo spoedig mogelijk wordt uitgevoerd.
9.6 Wanneer de verwerking van persoonsgegevens plaatsvindt op de grondslag dat die verwerking
Hierbij onderscheiden we:
11.1 De werkgever kan besluiten over te gaan tot het instellen van een verwerking van persoonsgegevens betreffende oud-personeelsleden
11.2 De verwerking geschiedt slechts voor:
11.3 Geen andere persoonsgegevens worden verwerkt dan:
11.4 De persoonsgegevens worden slechts verstrekt aan:
11.5 De persoonsgegevens worden verwijderd op een daartoe strekkend verzoek van de betrokkene of bij diens overlijden.
12.1 Indien de betrokkene van mening is dat de bepalingen van de AVG zoals uitgewerkt in dit reglement niet door de instelling worden nageleefd dient hij zich te wenden tot de werkgever.
12.2 Indien de ingediende klacht voor de betrokkene niet leidt tot een voor hem/haar acceptabel resultaat, kan hij/zij zich wenden tot de autoriteit bescherming persoonsgegevens dan wel tot de rechter.
Dit reglement kan aangehaald worden als privacyreglement verwerking gegevens personeel en treedt in werking op 01-06-2021. Het reglement is vastgesteld door het bevoegd gezag en vervangt eventuele vorige versies.
Overzicht van diegenen die toegang hebben tot de personeelsregistratie van Stichting kringloop Dinkelland Tubbergen zoals bedoeld in artikel 6 lid 2 van dit reglement:
|
Functie en motivering gebruik |
Toegang tot welke persoonsgegevens |
|
Directeur |
Sollicitanten, Personeelsadministratie, Salarisadministratie, uitkering bij ontslag en Pensioen en vervroegde uittreding |
|
Medewerkers Boekhouding |
Sollicitanten, Personeelsadministratie, Salarisadministratie, uitkering bij ontslag en Pensioen en vervroegde uittreding |
|
Medewerkers Administratie |
Sollicitanten, Personeelsadministratie, Salarisadministratie, uitkering bij ontslag en Pensioen en vervroegde uittreding |
Deze bijlage is voor het laatst gewijzigd op 18-06-2021
Begripsbepalingen
De meeste begripsbepalingen vloeien direct voort uit de Algemene Verordening Gegevensbescherming.
Personeel
Personen in dienst van of werkzaam (geweest) voor St. kringloop Dinkelland Tubbergen: zij die ten behoeve van de organisatie werkzaamheden verrichten of hebben verricht. Hieronder vallen niet alleen de personen die een akte van benoeming/aanstelling hebben, maar ook uitzendkrachten, stagiaires, vrijwilligers, personen die bij de organisatie zijn gedetacheerd, oud-personeelsleden, etc. In de tekst wordt geregeld het woord personeelslid gebruikt maar hier worden dus alle personen bedoeld die in dienst van of werkzaamheden ten behoeve van St. kringloop Dinkelland Tubbergen verrichten. Valt samen met betrokkene.
Persoonsgegeven
Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon zijn persoonsgegevens in de zin van de AVG. De AVG noemt de persoon wiens persoonsgegevens worden verwerkt de betrokkene.
Gegevens zijn persoonsgegevens als:
De aard van sommige persoonsgegevens brengt mee dat de verwerking ervan een grote inbreuk kan vormen op de persoonlijke levenssfeer van de betrokkene, omdat die gegevens gevoelige informatie over iemand verschaffen. De AVG noemt deze gegevens bijzondere persoonsgegevens. Voor de verwerking van bijzondere persoonsgegevens geldt een strenger regime dan voor gewone persoonsgegevens.
Bijzondere persoonsgegevens zijn alle persoonsgegevens die informatie verschaffen over iemands:
Verder zijn bijzondere persoonsgegevens:
Verwerking van persoonsgegevens
Het gaat er om of iemand enige feitelijke macht of invloed, al dan niet via een computersysteem, over de gegevens kan uitoefenen: iemand moet een handeling met de gegevens kunnen verrichten. Als iemand geen macht of invloed kan uitoefenen op de persoonsgegevens, valt deze verwerking niet onder de Wbp.
Burgerservicenummer/administratienummer
Eind 2007 is het burgerservicenummer (BSN) ingevoerd. Het BSN wordt door (overheids)organisaties gebruikt voor de communicatie met de burger en, daar waar dat wettelijk is toegestaan, voor de uitwisseling van persoonsgegevens tussen (overheids)organisaties onderling. Het BSN is een uniek identificerend persoonsnummer dat iedereen heeft, die ingeschreven staat in de Gemeentelijke Basisadministratie Persoonsgegevens (GBA) of de nog te vormen registratie niet-ingezetenen. St kringloop Dinkelland Tubbergen kan het BSN nodig hebben bij correspondentie met het overheid gerelateerde instellingen, waaonder het UWV. Voor meer informatie over het burgerservicenummer verwijzen we naar de website www.burgerservicenummer.nl.
Bewerker
Hiermee wordt bijvoorbeeld een externe organisatie als een accountant of arbodienstverlener bedoeld.
Als besloten wordt om feitelijke handelingen met betrekking tot gegevensverwerking door een bewerker te laten verrichten, zal met die bewerker een relatie worden aangaan. De AVG stelt eisen aan de keuze van een bewerker en aan de manier waarop de relatie met die bewerker vastlegt:
Betrokkene
De persoon wiens gegevens worden verwerkt, wordt in de AVG ‘de betrokkene’ genoemd. Hij of zij heeft krachtens de AVG een aantal bijzondere rechten, zoals het recht op vergetelheid en dataportibiliteit. Een toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken.
De Autoriteit persoonsgegevens
De Autoriteit persoonsgegevens ziet er, op grond van de AVG, als onafhankelijke instantie op toe, dat persoonsgegevens zorgvuldig worden gebruikt en beveiligd en dat de privacy van burgers ook in de toekomst gewaarborgd blijft.
Wanneer een organisatie zich niet houdt aan de wet, kan de Autoriteit persoonsgegevens maatregelen nemen. De belangrijkste daarvan is uitoefening van bestuursdwang en het opleggen van een bestuurlijke boete. Dat betekent dat de Autoriteit persoonsgegevens van de overtreder kan eisen dat hij de overtreding van de wettelijke regels binnen een bepaalde termijn ongedaan maakt. De Autoriteit persoonsgegevens kan daarbij een dwangsom opleggen. De Autoriteit persoonsgegevens kan ook een boete opleggen, bijvoorbeeld wanneer de verwerking van persoonsgegevens niet, onjuist of te laat is aangemeld of de meldplicht niet wordt nageleefd.
Doel en verwerking van persoonsgegevens
Organisaties mogen persoonsgegevens alleen verzamelen en verder gebruiken voor een duidelijk omschreven doel. Dat doel moeten zij vooraf bepalen, dus voordat zij met het verzamelen van de gegevens beginnen. Ze mogen ook niet meer gegevens verzamelen dan strikt noodzakelijk is voor dat doel. Maar ook niet minder als dat tot onvolledige informatie leidt. Wel mogen organisaties persoonsgegevens verwerken voor meerdere doelen tegelijkertijd. Die doelen moeten ze vooraf dan wel goed beschrijven. Ze mogen de gegevens alleen gebruiken wanneer dat in overstemming is met het oorspronkelijke doel.
In dit artikel wordt nader omschreven welke gegevens binnen het kader van het doel van de registratie kunnen worden geregistreerd.
Wet bescherming persoonsgegevens artikel 8 en 9:
Artikel 8
Persoonsgegevens mogen slechts worden verwerkt indien:
Artikel 9
1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.
2. Bij de beoordeling of een verwerking onverenigbaar is als bedoeld in het eerste lid, houdt de werkgever in elk geval rekening met:
3. Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de werkgever de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden.
4. De verwerking van persoonsgegevens blijft achterwege voor zover een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift daaraan in de weg staat.
Het beheer (de verwerking van) persoonsgegevens
Alle gegevens over personeel die vallen onder dit reglement vormen tezamen het dossier van de betreffende personeelslid. De gegevens kunnen dus over meerdere (afzonderlijke) registraties zijn verspreid.
Verstrekking van gegevens
Verstrekken van persoonsgegevens omvat elke vorm van bekendmaken of ter beschikking stellen van persoonsgegevens, ongeacht de wijze waarop dit gebeurt. Het kan mondeling, schriftelijk of langs elektronische weg gebeuren. Ook het raadplegen van gegevens, bijvoorbeeld op USB-stick, valt onder verstrekken. Van verstrekken is ook sprake als een persoon over de schouder van een ander meekijkt.
In het algemeen geldt dat het verstrekken van persoonsgegevens verenigbaar moet zijn met het doel van het verzamelen daarvan. Of dit het geval is, hangt af van de concrete omstandigheden.
U verstrekt personeelsgegevens aan diverse andere organisaties, de zogenaamde derden. Denk hierbij bijvoorbeeld aan de fiscus of uw juridisch adviseur. Maar die gegevens heeft u in vertrouwen gekregen. Daarom mag u die gegevens niet zomaar verstrekken aan derden en moet u aan een aantal voorwaarden voldoen. Deze voorwaarden staan beschreven in de AVG.
Voorwaarden voor het verstrekken
Een gegevensverwerking dient in overeenstemming met de wet, behoorlijk en zorgvuldig te geschieden. De persoonsgegevens moeten verzameld zijn voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. De verwerking moet een rechtmatige grondslag hebben en mag niet onverenigbaar zijn met het doel waarvoor uw werkgever de gegevens heeft verzameld. Artikel 8 Wbp bevat een opsomming van de enige gronden voor een toelaatbare gegevensverwerking. Met verwerken worden bedoeld alle handelingen met persoonsgegevens vanaf het verzamelen tot aan het vernietigen. Verstrekken is een vorm van verwerken.
Belangrijkste grondslagen voor het verstrekken van personeelsgegevens
U mag personeelsgegevens verstrekken aan derden met name als het noodzakelijk is voor de uitvoering van een overeenkomst die u met het personeelslid hebt of gaat afsluiten, als u gegevens moet verstrekken op grond van een wettelijk voorschrift of als een personeelslid zijn ondubbelzinnige toestemming heeft gegeven.
Uitvoeren van een overeenkomst
Gegevens kunnen worden verstrekt aan derden indien dit noodzakelijk is voor de uitvoering van een overeenkomst (het arbeidscontract) die u met uw personeelslid hebt of gaat sluiten. In dit geval wordt ervan uitgegaan dat het personeelslid bij het sluiten van de overeenkomst zich ervan bewust is dat er bepaalde gegevens moeten worden verstrekt.
Wettelijke verplichting
U kunt verplicht zijn om bepaalde persoonsgegevens te verstrekken die noodzakelijk zijn voor de uitvoering van een wettelijke plicht. U bent bijvoorbeeld op grond van artikel 47 van de Algemene wet inzake rijksbelastingen verplicht om de fiscus te voorzien van alle gegevens die van belang kunnen zijn voor de belastingheffing. Ook bent u op grond van een bevel van de rechter-commissaris in strafzaken verplicht bepaalde persoonsgegevens van een verdacht personeelslid te verstrekken.
Toestemming
Toestemming van het personeelslid is ook een grondslag waarop u personeelsgegevens mag verstrekken aan derden. Deze toestemming kan echter op elk moment worden ingetrokken. Daarmee vervalt de grondslag van de verstrekking en is de verstrekking onrechtmatig. Instemming van de (G)MR voor een bepaalde verstrekking vervangt de individuele toestemming niet. Als u toestemming vraagt, moet u duidelijk uitleggen waar de toestemming voor nodig is en wat de gevolgen zijn van het geven van toestemming.
Een voorbeeld van een geval waarin u toestemming moet vragen is het publiceren van een smoelenboek met de foto’s van de personeelsleden.
Praktijkvoorbeelden
U kunt verplicht worden om op grond van artikel 475g, derde lid, van het Wetboek van Burgerlijke Rechtsvordering bepaalde informatie aan een gerechtsdeurwaarder te verstrekken. Als een gerechtsdeurwaarder om informatie verzoekt, kunt u naar het rolnummer en de datum van het vonnis vragen voordat u overgaat tot het verstrekken van de gevraagde informatie.
Sommige multinationals hebben intranet met daarop persoonsgegevens van hun personeel of hebben een centrale database met personeelsgegevens. Dat kan als u daar toestemming van de werknemers voor hebt gekregen. Deze toestemming dient betrekking te hebben op incidentele verstrekkingen.
U mag personeelsgegevens niet gebruiken voor een ander doel dan waarvoor ze zijn verkregen. Zo kunt u als leidinggevende het telefoonnummer van een medewerker niet zo maar verstrekken aan andere medewerkers omdat de medewerker weinig contacturen met de betreffende medewerker heeft. Dit mag alleen als dat verenigbaar is met het oorspronkelijke doel. Of dat het geval is, hangt af van de concrete omstandigheden. Als de betreffende medewerker zijn toestemming heeft gegeven, zal verstrekking vrijwel steeds verenigbaar zijn met het doel van verkrijging.
Op verzoek van een vakbond kunt u voor het samenstellen van een kandidatenlijst de voor communicatie benodigde gegevens, zoals naam, geboortedatum en adres, van uw personeel verstrekken. Het gaat hierbij om het verstrekken van gegevens aan een werknemersorganisatie in het kader van MR-verkiezingen. U weet niet wie er lid is van een vakbond en u zult dus, als u besluit tot verstrekking over te gaan, van alle personeelsleden gegevens verstrekken. Dit mag overigens alleen als het personeel gedurende een redelijke termijn in de gelegenheid is gesteld om ondubbelzinnige toestemming te verlenen.
Toegang tot persoonsgegevens
Transparantie waarborgt de privacy. Vereist is dat duidelijk wordt aangegeven wie toegang hebben tot de persoonsgegevens. In de regel zijn dit de personeelsleden van de. In dit artikel is dit nog eens aangegeven. Toegang hebben tot persoonsgegevens is het inzage hebben tot persoonsgegevens zonder dat u enige feitelijke macht of invloed kunt uitoefenen op de persoonsgegevens.
Beveiliging en geheimhouding
Gegevensverwerkers moeten ook veel aandacht besteden aan de beveiliging van privacygevoelige informatie. Zij zijn verplicht die gegevens geheim te houden voor onbevoegden en personen die niets met de verwerking van doen hebben. De Wbp is over beveiliging kort en helder: in twee artikelen wordt de werkgever de zorg opgelegd voor ‘een passend beveiligingsniveau’ tegen verlies of tegen enige vorm van onrechtmatige verwerking van persoonsgegevens.
De term ‘een passend beveiligingsniveau’ geeft in dit verband aan, dat een afweging wordt gemaakt tussen de te leveren beveiligingsinspanning (ook de kosten!) en de gevoeligheid van de persoonsgegevens. Ook als de werkgever een bewerker inschakelt voor de verwerking van persoonsgegevens moet hij zorgdragen voor, en toezien op een afdoende beveiliging van de persoonsgegevens door de bewerker. Dat betreft dan zowel de beveiliging van de apparatuur en programmatuur van de bewerker als de bescherming van de gegevens die door de verschillende communicatienetwerken reizen. Over de beveiliging van persoonsgegevens is meer informatie te vinden op de site van de Autoriteit persoonsgegevens.
Als u derden inschakelt bij de verwerking van persoonsgegevens (bijvoorbeeld voor uw salarisadministratie of voor de hosting van uw systemen) bent u er voor verantwoordelijk dat die derden ook geschikte beveiligingsmaatregelen treffen. Zo'n derde wordt in de Wbp aangeduid als "bewerker". U bent verplicht op grond van de Wbp (artikel 14) om met iedere bewerker een zogenaamde bewerkersovereenkomst te sluiten, waarin de beveiligingsverplichtingen van de bewerker zijn opgenomen Zie ook de toelichting bij de definitie van ‘bewerker’.
Informatieplicht
Alle organisaties die persoonsgegevens gebruiken hebben een informatieplicht. Dit betekent dat zij de personen op wie de gegevens betrekking hebben, moeten laten weten wat zij met hun gegevens gaan doen. De werkgever dient op eigen initiatief aan de betrokkenen kenbaar te maken welke verwerkingen van persoonsgegevens ze heeft en waarom. Dit is een belangrijk instrument in de AVG om het gegevensverkeer transparant te maken.
De informatieverstrekking aan de betrokkene moet in ieder geval omvatten:
Daarmee kunt u echter niet altijd volstaan. U moet nadere informatie verschaffen als dat tegenover de betrokkene nodig is om een behoorlijke en zorgvuldige verwerking te waarborgen. U zult zich dus moeten afvragen of u uit oogpunt van zorgvuldigheid meer of minder gedetailleerde informatie over de verwerking aan de betrokkene moet verstrekken. U moet daarbij rekening houden met (i) de aard van de gegevens, (ii) de omstandigheden waaronder u deze hebt verkregen en (iii) het gebruik dat u ervan gaat maken. Hoe gevoeliger de gegevens die u verwerkt voor de betrokkene liggen, hoe meer reden er is om de betrokkene gedetailleerd te informeren over uw gegevensverwerking.
Rechten betrokkene(n): inzage, correctie, verzet
Iedereen mag met redelijke tussenpozen vragen of, en zo ja welke persoonsgegevens het bevoegd gezag, de werkgever, ten aanzien van hem verwerkt. Als de betrokkene het bevoegd gezag, de werkgever, buitensporig vaak met een dergelijk verzoek benadert, hoeft daaraan geen gehoor te worden geven.
Bewaartermijnen
De AVG regelt dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is voor de doeleinden waarvoor zij zijn verzameld of worden gebruikt. De werkgever bepaalt aan de hand van het doel hoe lang het noodzakelijk is de desbetreffende gegevens te bewaren. In artikel 10 is aangegeven hoe lang gegevens van sollicitanten, personeelsleden en salarisgegevens ten hoogste bewaard mogen worden.
De gegevens van oud-personeelsleden zoals bedoeld in artikel 11 van dit reglement, worden slechts verwijderd op verzoek van de betrokkene of bij het bekend worden van diens overlijden (artikel 41 Vrijstellingsbesluit).
Documentbeheer. De gegevens die verzameld zijn met het oog op de registratie van de ontvangst, de behandeling en de afdoening van documenten door de werkgever worden verwijderd uiterlijk vijf jaren nadat de betrokken gegevens werden opgenomen (artikel 31 Vrijstellingsbesluit).
Videocameratoezicht. Toezicht ter beveiliging van personen, gebouwen, terreinen, zaken en productieprocessen, die zijn toevertrouwd aan de zorg van de werkgever, met duidelijk zichtbare videocamera's is ook aan de Wet bescherming persoonsgegevens onderhevig. De persoonsgegevens die in dit kader worden verwerkt worden verwijderd uiterlijk 4 weken nadat de opnamen zijn gemaakt, dan wel na afhandeling van de geconstateerde incidenten (artikel 38 Vrijstellingsbesluit). Overige communicatiebestanden worden verwijderd op verzoek van betrokkene of uiterlijk een jaar nadat de relatie tussen betrokkene en de organisatie van de werkgever is verbroken (artikel 42 Vrijstellingsbesluit).
Genoemde termijnen gelden tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Zo dienen fiscaal relevante gegevens gedurende zeven jaar bewaard te worden (Alg, wet inzake Rijksbelastingen). Besturen hebben een regeling functioneringsgesprekken vastgesteld. Hierin zijn ook bewaartermijnen opgenomen. Voor het bestuur is het van belang dat bij een arbeidsconflict gegevens ook langer bewaard moeten blijven. Zo hoeft niet steeds opnieuw begonnen te worden met het opbouwen van een dossier. Indien bij de rechter moet worden aangetoond dat de werknemers disfunctioneert en er zijn maar twee functioneringsverslagen dan is er weinig kans van slagen in een juridische procedure.
Klachten
Veel onnodige bezwaar- en beroepsprocedures kunnen worden voorkomen door een klachtenprocedure te volgen. In lid 2 is melding gemaakt van de mogelijkheid om De Autoriteit persoonsgegevens te verzoeken om bemiddeling, zoals opgenomen in de AVG.