Zo min mogelijk bewaren, en niet langer dan nodig
Een roostertool zit vol persoonsgegevens: wie werkt wanneer, wie is ziek, wie verdient wat. De AVG vraagt dan drie dingen. Verzamel niet meer dan nodig, bewaar niet langer dan nodig, en kunnen laten zien wat je hebt. Die drie zijn in OurTimetable ingebouwd in plaats van erbij geschreven.
Wat er bewust níet in zit
Bij een ziekmelding leg je vast dat iemand ziek is en van wanneer tot wanneer, plus de zakelijke kant die je voor de planning nodig hebt: de verwachte duur, of iemand bereikbaar is, of er (aangepast) werk mogelijk is en wanneer je contact hebt afgesproken. Dat zijn vaste keuzelijsten. Er is geen vrij tekstveld en geen veld voor een diagnose, een klacht of een medische aantekening, want een werkgever mag die niet vastleggen. Wat je wel invult, staat versleuteld opgeslagen en valt onder de kortste bewaartermijn van allemaal.
Meldingen op een telefoon bevatten alleen een tijd en een korte locatienaam. Een agenda-abonnement bevat alleen de eigen diensten, zonder namen van collega’s en zonder notities. De verliesuren- en verzuimanalyses tonen alleen cellen met minstens vijf waarnemingen, zodat er nooit één persoon uit af te lezen valt.
En de signalen die de tool je geeft zijn feiten, geen profielen. "Deze persoon staat ingeroosterd terwijl hij ziek gemeld is" is een feit. "Deze persoon meldt zich vaak ziek op maandag" is een profiel, en dat bestaat hier niet.
- Geen medische gegevens bij een ziekmelding
- Vrije notities versleuteld en met de kortste bewaartermijn
- Meldingen en agenda-feed zonder namen of notities
- Analyses pas vanaf vijf waarnemingen per cel
- Signalen zijn feiten, geen gedragsprofielen
Bewaartermijnen per soort gegeven
Niet alles hoeft even lang te blijven. Daarom is de bewaartermijn per soort gegeven ingesteld, elk met een grondslag en een startmoment erbij. De begeleidingsgegevens bij een ziekmelding gaan het snelst weg, standaard na twee jaar vanaf het einde van de ziekmelding. Beschikbaarheid en meldingen na een jaar. Dienstnotities en notities bij een ruilverzoek na twee jaar. Verlofgegevens na vijf jaar. Klokgegevens en het logboek volgen de algemene termijn, standaard zeven jaar.
Elke categorie heeft een ondergrens die je niet kunt onderschrijden, hoe je hem ook instelt. Zet je een termijn korter dan die ondergrens, dan wordt hij naar de ondergrens teruggezet in plaats van geaccepteerd.
Het belangrijkste: het opruimen staat standaard uit. Zo lang je het niet bewust aanzet, schrijft de tool alleen op wat hij zou opruimen, in aantallen, zonder persoonsgegevens. Er verdwijnt dus nooit iets zonder dat je die knop zelf hebt omgezet. Ruimt hij wel op, dan gaan het gegeven en de bijbehorende logboekregels in één ondeelbare stap; er blijft geen halve situatie achter.
- Termijn per categorie, elk met grondslag en startmoment
- Verzuimnotities de kortste, klok en logboek de langste
- Een ondergrens per categorie die je niet kunt onderschrijden
- Opruimen staat standaard uit: eerst alleen een voorstel
- Opruimen gebeurt in één ondeelbare stap, nooit half
Ex-medewerkers anonimiseren
Van iemand die jaren geleden uit dienst is, heb je de naam niet meer nodig. Zijn uren wel, want die zitten in je historie en in je capaciteitsanalyses. Anonimiseren lost dat op: de persoonsgegevens verdwijnen, de roosterhistorie blijft, onder een vast pseudoniem.
De transformatie werkt omgekeerd van wat je zou verwachten, en dat is precies de bedoeling. Er is een korte lijst met velden die bewust bewaard blijven, zoals contracturen, rol en contractdata. Alles wat níet op die lijst staat wordt gewist. Wordt er later een nieuw veld aan de tool toegevoegd, dan valt dat dus automatisch onder de anonimisering. Een nieuw persoonsgegeven kan nooit stilletjes blijven staan.
Er zitten sloten op. Alleen een medewerker die op inactief staat komt in aanmerking. Wie het uitvoert moet de achternaam letterlijk overtypen en zich opnieuw legitimeren. Het is onomkeerbaar, en dat staat er ook bij. Er is ook een geautomatiseerde variant voor medewerkers die langer dan een door jou gekozen aantal jaren inactief zijn; die staat standaard uit.
- Persoonsgegevens weg, roosterhistorie blijft onder een pseudoniem
- Alleen expliciet bewaarde velden overleven, de rest gaat
- Een later toegevoegd veld valt automatisch onder de anonimisering
- Alleen bij een inactieve medewerker
- Achternaam overtypen en opnieuw legitimeren
- Automatische variant na een zelfgekozen aantal jaren, standaard uit
De rechten van de medewerker
Vraagt een medewerker om inzage, dan maak je met één handeling een volledige bundel van alles wat de tool over hem bijhoudt: zijn gegevens, zijn diensten, zijn klokregistraties, zijn verlof, zijn ziekmeldingen, zijn beschikbaarheid, zijn bekwaamheden, zijn meldingen en zijn ruilverzoeken. Compleet, in één bestand.
Die export is voorbehouden aan HR en beheer en vraagt om een tweede bevestiging van wie je bent. Van de export zelf wordt vastgelegd wie hem heeft gemaakt en voor wie, zonder dat de inhoud in het logboek belandt.
Voor het recht op vergetelheid is er naast anonimiseren een zwaardere weg op platformniveau: de sleutel waarmee de gegevens van een organisatie versleuteld zijn kan onherroepelijk worden vernietigd. Wat daarmee versleuteld was, is daarna niet meer te ontsleutelen.
- Volledige inzage-bundel in één handeling
- Alleen voor HR en beheer, met een tweede bevestiging
- Wie exporteerde wie wordt vastgelegd, de inhoud niet
- Anonimiseren voor het recht op vergetelheid
- Op platformniveau een onherroepelijke sleutelvernietiging
Wie mag wat zien
Gevoelige velden zoals geboortedatum, IBAN, adres en telefoonnummer zitten achter een apart recht. Een planner heeft dat recht niet en ziet ze dus niet, ook niet in een lijst, een rapport of een export. Een leidinggevende die aan vestigingen gekoppeld is, ziet alleen de medewerkers van die vestigingen.
De afscherming werkt op basis van wat is toegestaan, niet op basis van wat verboden is. Een veld dat later wordt toegevoegd is standaard onzichtbaar. En de identiteit van wie iets opvraagt komt altijd uit de geverifieerde sessie op de server, nooit uit iets wat de browser meestuurt.
Er is één ding dat er expres niet is: een medewerker heeft standaard geen inzage in het systeem buiten zijn eigen rooster, uren en verlof. Wil je dat anders, dan zet je dat bewust aan.
- Gevoelige velden achter een apart recht
- Leidinggevenden te beperken tot hun eigen vestigingen
- Toestaan-lijst in plaats van verbieden-lijst
- Identiteit altijd uit de sessie op de server
- Ruimere medewerkerinzage staat standaard uit
Waar je het aan merkt
Een verhaal dat je kunt vertellen
Bij elke categorie staat waarom je hem bewaart en vanaf wanneer de termijn loopt.
Geen stille verwijdering
Opruimen staat uit tot je het aanzet; tot die tijd zie je alleen een voorstel.
Historie zonder namen
Anonimiseren houdt je capaciteitscijfers overeind zonder de persoon te bewaren.
Een inzageverzoek in vijf minuten
Eén handeling levert de complete bundel op.
Geen gedragsprofielen
De tool signaleert feiten, geen patronen over individuen.
Toekomstbestendig afgeschermd
Een nieuw veld is standaard onzichtbaar en valt automatisch onder de anonimisering.
Wat men hierover vraagt
Wie is verwerkingsverantwoordelijke?
Jouw organisatie. OurTimetable is verwerker en handelt in jouw opdracht. De afspraken daarover staan in de verwerkersovereenkomst, die je vooraf kunt lezen.
Waar staan de gegevens?
Op servers in Nederland. Gevoelige velden zijn versleuteld opgeslagen en het logboek is cryptografisch verzegeld, zodat een wijziging achteraf aantoonbaar wordt.
Mag ik zelf de bewaartermijnen bepalen?
Ja, per categorie, binnen de ondergrens die per categorie geldt. Korter dan die ondergrens wordt niet geaccepteerd; dan valt de termijn terug op de ondergrens.
Kan ik zien wat er verwijderd zou worden voordat ik het aanzet?
Ja, en dat is de standaardstand. Zolang het opruimen uitstaat, schrijft de tool alleen op hoeveel er per categorie in aanmerking komt, in aantallen en zonder persoonsgegevens.
Lees eerst de verwerkersovereenkomst
Die staat gewoon online, zonder dat je iets hoeft aan te vragen. Wat erin staat vertelt meer over een leverancier dan welke functielijst dan ook.