GDPR – de General Data Protection Regulation – zal op 25 mei 2018 in werking treden. Dit werd reeds 2 jaar geleden aangekondigd. Maar op slechts 3 maanden van het ingaan van de nieuwe privacywetgeving zegt amper 2% van de hr-departementen klaar te zijn om de privacy-regels die hierin voorzien zijn correct op hun personeel te zullen kunnen toepassen.

Slechts de helft is vandaag bezig met de implementatie van de nodige maatregelen om in overeenstemming te zijn met de strengere regels. Dat blijkt uit een bevraging van hr-dienstverlener ACERTA bij ruim 155 HR-verantwoordelijken.

Hr-departementen zijn koele minnaars van GDPR. De beoordeling gaat van ‘het is schieten met een kanon op een mug’ (10 %), en ‘dit is niet realistisch voor kleine bedrijven’ (11 %), tot ‘ik begrijp dat ook binnen hr de privacy gerespecteerd moet worden, maar GDPR is daarvoor niet de beste manier’ (47 %). Sarah Peeters: “Uit de privacywetgeving van 1992 werden personeelsadministratie en -beheer nog uitgesloten wat de aangifteplicht betreft. Met GDPR wordt de relatie werkgever-werknemer volledig over dezelfde kam geschoren als de grote internetspelers die, misschien zonder dat we het beseffen of onze goedkeuring hieraan hebben gegeven, ons doen en laten op het net volgen en ons met gerichte reclame overspoelen. Dat de nieuwe wet geen onderscheid maakt tussen hr en marketing is jammer.”

Die houding van HR ten opzichte van GDPR vertaalt zich in de antwoorden van de hr-verantwoordelijken. Slechts 2 % van de ondervraagden is klaar voor de nieuwe wetgeving die straks in voege treedt. 48% bevestigt heel hard bezig te zijn om de nodige acties te ondernemen om processen en procedures in overeenstemming te brengen met de GDPR-verordening. Als alles goed gaat, haalt dus de helft de deadline. Verder weet 18 % wel wat te doen, maar nog niet hoe eraan te beginnen. Terwijl 25 % niet weet wat er van ze wordt verwacht en 7 % nog in totale onwetendheid verkeert. Op 3 maand van de deadline hebben heel wat hr-departementen dus nog wel wat werk willen ze tijdig GDPR-compliant geraken.

Helft hr-departementen weet niet wat de nieuwe privacywet inhoudt

Dat hr-departementen voor zichzelf nog niet helemaal helder hebben waar het voor hen met de GDPR naartoe moet, blijkt uit de antwoorden van CEO’s en HR-managers op de vraag hoe lang zij, na het einde van de arbeidsovereenkomst, gegevens van hun vroegere werknemers zullen blijven bijhouden. Zowel waar het gaat over de vroegere arbeidsovereenkomst als over evaluatiegegevens, loongegevens of foto’s van hun vroegere werknemer stelt meer dan 50% dat zij na de inwerkingtreding van de verstrengde privacyregels niet weet hoe lang ze die verder zullen bewaren; bovendien stelt telkens ruim 10% dat ze deze gegevens onbeperkt in de tijd zullen blijven bewaren.

Op vragen over de inhoud van de nieuwe privacywet blijkt de helft van de respondenten bv. ook niet te weten wat het betekent dat werknemers het recht hebben ‘om vergeten te worden’ (55 %) en het recht ‘om te verbeteren’ (50 %). Waaruit we mogen besluiten dat de helft van de bedrijven nog in het duister tast wat betreft de van hen verwachte acties n.a.v. GDPR.

“Hoelang gegevens nog bewaard mogen worden door het HR-departement is niet expliciet geregeld. Zoals voor andere gegevens geldt ook hier dat deze gegevens verder mogen bewaard worden gedurende de periode dat ze nog relevant zijn voor het doeleinde waarvoor ze werden ingezameld. Wat dit concreet betekent is natuurlijk voer voor discussie. En bijgevolg ook aanleiding voor onzekerheid in HR-departementen. Het lijkt ons een goed idee om voor deze data een praktische norm te hanteren van bv. 10 jaar. Dan weten de HR-departementen dat ze in principe alle data die betrekking hebben op hun gewezen werknemers na 10 jaar moeten vernietigen, tenzij ze hierover andere afspraken hebben gemaakt met deze ex-collega’s.”

Voortdoen zoals vóór GDPR zal niet voldoende zijn

Hr-departementen zijn zich er van bewust dat ze persoonlijke gegevens over hun personeel inzamelen, bewerken en bewaren. En ze zijn zich er ook van bewust dat de privacy-regels ook voor hun relatie met hun werknemers geldt. Maar liefst 56% van de respondenten stelt expliciet dat de dwingende en strenge GDPR-regels niet de beste oplossing vormen om deze privacy te respecteren. Een ruime 10% stelt bovendien dat deze normen niet realistisch zijn voor kleinere bedrijven. Slechts een kwart van de respondenten – verdeeld over alle segmenten – stelt volledig achter de nieuwe privacy-regels te staan. Sarah Peeters, Director ACERTA Consult: “GDPR treedt binnenkort in voege. En HR-departementen kunnen er niet op rekenen dat deze regelgeving in de komende periode vereenvoudigd zal worden of in soepeler regels zal gaan voorzien voor de verwerking van gegevens over werknemers. Werkgevers zullen dus best maatregelen nemen in de komende maanden en jaren om kritisch om te gaan met de gegevens die ze bewaren over hun werknemers; welke informatie hebben ze nodig en welke is misschien overbodig; hebben ze een goede reden om deze in te zamelen en te bewaren; hoe zorgen ze er voor dat de info up to date blijft; hoe lang behouden ze de data nadat de arbeidsovereenkomst een einde heeft genomen,… Alles begint daarbij met een inventarisatie en een kritische evaluatie van de informatie die vandaag bewaard wordt.”

Over de cijfers – Het panel van ACERTA bestaat uit 406 panelleden die zorgvuldig geselecteerd werden uit kleine, middelgrote en grote bedrijven. De bevraging werd afgenomen in februari 2018, 159 panelleden heb hierop geantwoord. De deelnemers bekleden een van de volgende functies: CEO, HR Directeur, HR business partner, HR manager of payroll verantwoordelijke.