Aan welke eisen moeten een interne privacyverklaring voldoen?

Werkgevers zijn volgens de Algemene Verordening Gegevensbescherming (AVG) verplicht om hun werknemers te informeren over de omgang met hun persoonsgegevens. De werkgever kan aan deze verplichting voldoen via een interne privacyverklaring. De informatie dient beknopt, transparant en in duidelijk en eenvoudige taal verstrekt te worden. De interne privacyverklaring ziet er in grote lijnen hetzelfde uit als de privacyverklaring op de website. De wettelijke vereisten zijn hetzelfde. Verder dient de interne privacyverklaring in ieder geval de volgende informatie te bevatten:

• De identiteit en contactgegevens van de werkgever;
• De soorten persoonsgegevens die worden verwerkt (bijvoorbeeld NAW-gegevens en salarisgegevens);
• De doelen van de verwerking van persoonsgegevens (bijvoorbeeld uitbetaling van salaris);
• De grondslag van de verwerking (bijvoorbeeld om de arbeidsovereenkomst uit te voeren, te voldoen aan een wettelijke plicht of wegens een gerechtvaardigd belang);
• In voorkomend geval een motivering van het gerechtvaardigd belang van de werkgever (bijvoorbeeld voor het monitoren van medewerkers bij een vermoeden van misbruik van bedrijfsgegevens).
• Wie de (categorieën) ontvangers zijn van de persoonsgegevens (bijvoorbeeld een salarisadministratiekantoor of IT-dienstverlener);
• Of er gegevens worden doorgegeven naar landen buiten de Europese Economische Ruimte (bijvoorbeeld als er gebruik wordt gemaakt van een hostingprovider gevestigd in Amerika) en welke passende waarborgen zijn getroffen (zoals een Privacy Shield certificatie);
• Hoe lang de werkgever de persoonsgegevens bewaard (bijvoorbeeld het personeelsdossier maximaal 2 jaar na uitdiensttreding en de salarisadministratie 7 jaar na uitdiensttreding wegens de fiscale bewaarplicht);
• De getroffen beveiligingsmaatregelen (bijvoorbeeld encryptie en tweefactorauthenticatie);
• De rechten van de werknemers (zoals het recht op inzage, -rectificatie en -verwijdering).