Zo min mogelijk bewaren, en niet langer dan nodig
Een roostertool zit vol persoonsgegevens: wie werkt wanneer, wie is ziek, wie verdient wat. De AVG vraagt dan drie dingen. Verzamel niet meer dan nodig, bewaar niet langer dan nodig, en kunnen laten zien wat je hebt. Die drie zijn in OurTimetable ingebouwd in plaats van erbij geschreven.
Wat er bewust níet in zit
Bij een ziekmelding leg je vast dat iemand ziek is en van wanneer tot wanneer, plus de zakelijke kant die je voor de planning nodig hebt: de verwachte duur, of iemand bereikbaar is, of er (aangepast) werk mogelijk is en wanneer je contact hebt afgesproken. Dat zijn vaste keuzelijsten. Er is geen vrij tekstveld en geen veld voor een diagnose, een klacht of een medische aantekening, want een werkgever mag die niet vastleggen. Wat je wel invult, staat versleuteld opgeslagen en heeft standaard een bewaartermijn van twee jaar na het einde van de ziekmelding.
Meldingen op een telefoon bevatten alleen een tijd en een korte locatienaam. Een agenda-abonnement bevat alleen de eigen diensten, zonder namen van collega’s en zonder notities. De verliesuren- en verzuimanalyses tonen alleen cellen met minstens vijf waarnemingen, zodat er nooit één persoon uit af te lezen valt.
En de signalen die de tool je geeft zijn feiten, geen profielen. "Deze persoon staat ingeroosterd terwijl hij ziek gemeld is" is een feit. "Deze persoon meldt zich vaak ziek op maandag" is een profiel, en dat bestaat hier niet.
- Geen medische gegevens bij een ziekmelding
- Begeleidingsgegevens bij verzuim versleuteld, standaard twee jaar bewaard
- Meldingen en agenda-feed zonder namen of notities
- Analyses pas vanaf vijf waarnemingen per cel
- Signalen zijn feiten, geen gedragsprofielen
Bewaartermijnen per soort gegeven
Niet alles hoeft even lang te blijven. Daarom hebben deze gegevens elk een eigen bewaartermijn, met een grondslag en een startmoment erbij. Standaard gaan beschikbaarheid en meldingen na een jaar weg. Vrije notities na twee jaar: bij een dienst, een ruilverzoek of een klokregistratie. De begeleidingsgegevens bij een ziekmelding ook na twee jaar, gerekend vanaf het einde van de ziekmelding. Verlofaanvragen na vijf jaar. Kloktijden en hun logboekregels na zeven jaar. De diensten, het dossier en de ziekmelding zelf hebben geen termijn.
Elke termijn stel je als beheerder zelf in, per soort gegeven, bij Instellingen › Periode & bewaren. Je kiest hele jaren, tot 50 jaar. Korter dan de ondergrens kan niet: voor kloktijden en verlofaanvragen is dat twee jaar, voor de rest een jaar. Elke wijziging staat in het Logboek.
Het belangrijkste: het opruimen staat standaard uit. Zo lang je het niet bewust aanzet, wist de tool niets. Wel zet hij per soort een voorstel in het Logboek, in aantallen, zonder persoonsgegevens. Voor de kloktijden is er geen voorstel. Van deze gegevens verdwijnt dus niets zonder dat je die knop zelf hebt omgezet. Ruimt hij wel op, dan gaan het gegeven en de bijbehorende logboekregels in één ondeelbare stap; er blijft geen halve situatie achter.
- Termijn per categorie, elk met grondslag en startmoment
- Standaard: beschikbaarheid en meldingen het kortst, kloktijden het langst
- Elke termijn stel je zelf in, nooit korter dan de ondergrens
- Opruimen staat standaard uit; tot dan wist de tool niets
- Opruimen gebeurt in één ondeelbare stap, nooit half
Ex-medewerkers anonimiseren
Van iemand die jaren geleden uit dienst is, heb je de naam niet meer nodig. Zijn uren wel, want die zitten in je historie en in je capaciteitsanalyses. Anonimiseren lost dat op: de persoonsgegevens verdwijnen, de roosterhistorie blijft, onder een vast pseudoniem.
De transformatie werkt omgekeerd van wat je zou verwachten, en dat is precies de bedoeling. Er is een korte lijst met velden die bewust bewaard blijven, zoals contracturen, rol en contractdata. Alles wat níet op die lijst staat wordt gewist. Wordt er later een nieuw veld aan de tool toegevoegd, dan valt dat dus automatisch onder de anonimisering. Een nieuw persoonsgegeven kan nooit stilletjes blijven staan.
Er zitten sloten op. Alleen een medewerker die op inactief staat komt in aanmerking. Met de hand kan alleen HR of de beheerder het, in het dossier van de medewerker. Wie het uitvoert moet de achternaam letterlijk overtypen en zich opnieuw legitimeren. Het is onomkeerbaar, en dat staat er ook bij.
Je kunt het ook automatisch laten gebeuren. Als beheerder kies je bij Instellingen › Periode & bewaren na hoeveel jaar uit dienst: van een tot tien jaar. De jaren tellen vanaf de dag dat iemand uit dienst ging. Dat staat standaard uit, en aanzetten vraagt opnieuw je wachtwoord of je code. De maandelijkse taak anonimiseert pas echt als ook het opruimen aanstaat. Tot dan zet hij alleen een voorstel met het aantal in het Logboek.
- Persoonsgegevens weg, roosterhistorie blijft onder een pseudoniem
- Alleen expliciet bewaarde velden overleven, de rest gaat
- Een later toegevoegd veld valt automatisch onder de anonimisering
- Alleen bij een inactieve medewerker
- Achternaam overtypen en opnieuw legitimeren
- Met de hand door HR of de beheerder, of automatisch na een tot tien jaar
De rechten van de medewerker
Vraagt een medewerker om inzage, dan maak je met één handeling een volledige bundel van alles wat de tool over hem bijhoudt: zijn gegevens, zijn diensten, zijn klokregistraties, zijn verlof, zijn ziekmeldingen, zijn beschikbaarheid, zijn bekwaamheden, zijn meldingen en zijn ruilverzoeken. Compleet, in één bestand.
Die export is voorbehouden aan HR en beheer en vraagt om een tweede bevestiging van wie je bent. Van de export zelf wordt vastgelegd wie hem heeft gemaakt en voor wie, zonder dat de inhoud in het logboek belandt.
Voor het recht op vergetelheid is er naast anonimiseren een zwaardere weg op platformniveau: de sleutel waarmee de gegevens van een organisatie versleuteld zijn kan onherroepelijk worden vernietigd. Wat daarmee versleuteld was, is daarna niet meer te ontsleutelen.
- Volledige inzage-bundel in één handeling
- Alleen voor HR en beheer, met een tweede bevestiging
- Wie exporteerde wie wordt vastgelegd, de inhoud niet
- Anonimiseren voor het recht op vergetelheid
- Op platformniveau een onherroepelijke sleutelvernietiging
Wie mag wat zien
Gevoelige velden zoals geboortedatum, IBAN, adres en telefoonnummer zitten achter een apart recht. Een planner heeft dat recht niet en ziet ze dus niet, ook niet in een lijst, een rapport of een export. Een leidinggevende die aan vestigingen gekoppeld is, ziet alleen de medewerkers van die vestigingen.
De afscherming werkt op basis van wat is toegestaan, niet op basis van wat verboden is. Een veld dat later wordt toegevoegd is standaard onzichtbaar. En de identiteit van wie iets opvraagt komt altijd uit de geverifieerde sessie op de server, nooit uit iets wat de browser meestuurt.
Er is één ding dat er expres niet is: een medewerker heeft standaard geen inzage in het systeem buiten zijn eigen rooster, uren en verlof. Wil je dat anders, dan zet je dat bewust aan.
- Gevoelige velden achter een apart recht
- Leidinggevenden te beperken tot hun eigen vestigingen
- Toestaan-lijst in plaats van verbieden-lijst
- Identiteit altijd uit de sessie op de server
- Ruimere medewerkerinzage staat standaard uit
Waar je het aan merkt
Een verhaal dat je kunt vertellen
Bij elke categorie staat waarom je hem bewaart en vanaf wanneer de termijn loopt.
Geen stille verwijdering
Opruimen staat uit tot je het aanzet; tot die tijd wist de tool niets.
Historie zonder namen
Anonimiseren houdt je capaciteitscijfers overeind zonder de persoon te bewaren.
Een inzageverzoek in vijf minuten
Eén handeling levert de complete bundel op.
Geen gedragsprofielen
De tool signaleert feiten, geen patronen over individuen.
Toekomstbestendig afgeschermd
Een nieuw veld is standaard onzichtbaar en valt automatisch onder de anonimisering.
Wat men hierover vraagt
Wie is verwerkingsverantwoordelijke?
Jouw organisatie. OurTimetable is verwerker en handelt in jouw opdracht. De afspraken daarover staan in de verwerkersovereenkomst, die je vooraf kunt lezen.
Waar staan de gegevens?
Op servers in Nederland. Gevoelige velden zijn versleuteld opgeslagen en het logboek is cryptografisch verzegeld, zodat een wijziging achteraf aantoonbaar wordt.
Mag ik zelf de bewaartermijnen bepalen?
Ja, per soort gegeven, als beheerder bij Instellingen › Periode & bewaren. Je kiest hele jaren, tot 50 jaar, en nooit korter dan de ondergrens. Kloktijden bewaar je standaard zeven jaar, minstens twee. Voor de andere gegevens geldt standaard: verlofaanvragen vijf jaar, beschikbaarheid en meldingen een jaar, vrije notities twee jaar.
Kan ik zien wat er verwijderd zou worden voordat ik het aanzet?
Voor de meeste gegevens wel, en dat is de standaardstand. Zolang het opruimen uitstaat, zet de tool per soort gegeven een voorstel in het Logboek: hoeveel er in aanmerking komt, zonder persoonsgegevens. Voor de kloktijden niet. Ook automatisch anonimiseren geeft dan alleen een voorstel met het aantal.
Lees eerst de verwerkersovereenkomst
Die staat gewoon online, zonder dat je iets hoeft aan te vragen. Wat erin staat vertelt meer over een leverancier dan welke functielijst dan ook.