Welke persoonsgegevens van uitzendkrachten mag je gebruiken?

Intercedenten weten het wel: je werkt dagelijks met persoonsgegevens van uitzendkrachten. Maar welke gegevens je in welke fase mag vastleggen, bewaren of doorgeven aan een inlener: dat blijft voor veel uitzendprofessionals onduidelijk.

De Autoriteit Persoonsgegevens (AP) kan boetes opleggen tot 4% van de wereldwijde jaaromzet bij serieuze overtredingen. Dat maakt het de moeite waard om dit goed te regelen.

De AVG maakt onderscheid per fase van de uitzendrelatie. Wat je mag vastleggen bij inschrijving, verschilt van wat je mag verwerken als iemand werkzaam is. En wat de inlener mag bewaren, valt onder andere regels.

Dit artikel zet de persoonsgegevens van uitzendkrachten per fase op een rij: van inschrijving tot uitschrijving, en van uitzendbureau tot inlener.

Wat zijn persoonsgegevens van uitzendkrachten?

Elke handeling met persoonsgegevens valt onder het begrip “verwerken”: verzamelen, opslaan, raadplegen, doorsturen, wijzigen, wissen. Voor elke verwerking heb je een geldige grondslag nodig. In de uitzendpraktijk zijn de meest gebruikte grondslagen de uitvoering van een overeenkomst, een wettelijke verplichting en het gerechtvaardigd belang. Toestemming als grondslag is in de uitzendrelatie beperkt bruikbaar: door de afhankelijkheidsrelatie tussen uitzendkracht en uitzendbureau wordt toestemming niet altijd als vrij gegeven beschouwd, aldus de Autoriteit Persoonsgegevens.

Wil je meer lezen over de algemene AVG-regels binnen recruitment? Zie ook AVG en recruitment: wat iedere recruiter moet weten en het artikel over arbeidsrecht voor recruiters.

Ingeschreven kandidaat: wat mag je vastleggen?

Bij inschrijving geldt het principe van dataminimalisatie: je mag alleen gegevens noteren die nodig zijn voor de arbeidsbemiddeling. In de praktijk zijn dat naam, adresgegevens, contactgegevens, relevante werkervaring en opleiding. Je vraagt de kandidaat toestemming voor opslag in je CRM-systeem. Met dat akkoord mag je de gegevens maximaal twee jaar bewaren. Heeft de kandidaat geen toestemming gegeven, of wil die niet meer bemiddeld worden, dan geldt een bewaartermijn van vier weken.

Een kopie van het identiteitsbewijs mag je eveneens maximaal vier weken bewaren, tenzij de kandidaat aan het werk gaat. In dat geval mag de kopie in de loonadministratie blijven. Gaat de plaatsing niet door, dan moet je de kopie na vier weken vernietigen. Tijdens het intakegesprek controleer je het identiteitsbewijs op echtheid: dat is verplicht, maar je bewaart de kopie niet standaard. Bijzondere persoonsgegevens, zoals religieuze overtuiging of gezondheidsgegevens, mag je niet vastleggen bij inschrijving. Zie ook privacyverklaring sollicitanten voor aanpalende regels bij het sollicitatieproces.

Werkzame uitzendkracht: gegevens voor de salarisadministratie

Zodra een uitzendkracht aan het werk gaat, mag je alle gegevens verwerken die nodig zijn voor een correcte salarisadministratie. Dat is een bredere categorie dan bij inschrijving. Je mag vastleggen: NAW-gegevens, BSN, geboortedatum, bankrekeningnummer, nationaliteit, loonheffingskorting en de kopie van het identiteitsbewijs. Voor buitenlandse uitzendkrachten gelden aanvullende eisen vanuit de Wet arbeid vreemdelingen: je controleert en bewaart een kopie van de verblijfsvergunning of tewerkstellingsvergunning.

Het BSN is een bijzonder geval. Je mag het BSN van de uitzendkracht alleen doorgeven aan de inlener als dat vereist is voor de vaststelling van de ketenaansprakelijkheid. Geef het BSN niet routinematig door zonder die specifieke reden. De kosten van een uitzendkracht hangen mede samen met de verloning en bijbehorende administratie, waarvoor deze gegevens nodig zijn. Voor de loonadministratie verwijs je ook naar de ABU CAO 2026 voor de geldende arbeidsvoorwaarden.

Zieke uitzendkracht: smalle grenzen bij verzuim

Ziekteverzuim roept altijd vragen op over wat je mag registreren. De hoofdregel is helder: je mag de ziekmelding zelf noteren, maar niet de aard of oorzaak van de ziekte. De uitzendkracht heeft het recht om de diagnose of klachten niet te melden, en jij mag daar niet naar vragen.

Wat je wel mag registreren bij ziekte:

• De eerste verzuimdag
• Of de uitzendkracht valt onder een vangnetbepaling van de Ziektewet: alleen ja of nee, niet welke regeling
• Of de ziekte verband houdt met een arbeidsongeval: alleen ja of nee
• Geplande re-integratieafspraken en verwachte hersteldatum

Wat je niet mag registreren: de diagnose of aard van de aandoening, medicijngebruik, behandelingen en alle informatie die afkomstig is van de bedrijfsarts over de medische situatie van de uitzendkracht.

Niet meer werkzaam: wanneer verwijder je de gegevens?

Na de laatste werkdag geldt een harde grens. Persoonsgegevens van uitzendkrachten die niet meer werkzaam zijn, verwijder je uiterlijk twee jaar na de laatste werkdag. Er zijn drie uitzonderingen voor wettelijke bewaarplichten, waarbij langere termijnen gelden:

• Loonadministratie en belastingdocumenten: 7 jaar (fiscale bewaarplicht Belastingdienst)
• Kopie identiteitsbewijs en loonheffingskortingen: minimaal 5 jaar na einde van het kalenderjaar van uitdiensttreding
• Bij een concrete klacht of juridische claim: de betrokken gegevens mogen bewaard worden totdat de zaak definitief is afgehandeld of verjaard

Wil je weten hoe deze regels zich verhouden tot sollicitatiegegevens in het bredere selectieproces? Lees dan sollicitatiegegevens bewaren: de AVG-regels.

Wat mag de inlener vastleggen van een uitzendkracht?

Dit was lange tijd een grijs gebied. De Autoriteit Persoonsgegevens heeft inmiddels duidelijkheid gegeven: inleners mogen persoonsgegevens van uitzendkrachten in hun administratie opnemen om een beroep te kunnen doen op matiging van de keten- en inlenersaansprakelijkheid. De grondslag is “gerechtvaardigd belang”.

De inlener mag de volgende gegevens ontvangen en vastleggen:

• Naam, adres, woonplaats
• Geslacht en geboortedatum
• Telefoonnummer en e-mailadres
• Relevante werkervaring en opleiding
• Nationaliteit
• BSN, maar alleen voor de vaststelling van ketenaansprakelijkheid
• Indien van toepassing: A1-verklaring, verblijfsvergunning of tewerkstellingsvergunning

De inlener mag de volgende gegevens niet ontvangen:

• Kopie van het identiteitsbewijs, tenzij het gaat om een buitenlandse uitzendkracht van buiten de EER of Zwitserland
• Bankrekeningnummer
• Strafrechtelijke gegevens
• Gezondheidsgegevens

Tussen het uitzendbureau en elke derde partij waarmee je persoonsgegevens van uitzendkrachten deelt, moet een verwerkersovereenkomst zijn afgesloten. Dit geldt voor verloners, accountants en softwareleveranciers. Voor inleners geldt dat niet: zij zijn zelf verwerkingsverantwoordelijke, niet een verwerker in opdracht van het uitzendbureau.

Bijzondere persoonsgegevens: altijd verboden, tenzij

Bijzondere persoonsgegevens zijn wettelijk extra beschermd en mogen in principe nooit verwerkt worden. De AVG noemt in dit kader gezondheidsgegevens, ras of etniciteit, religie, seksuele geaardheid en strafrechtelijke gegevens. In de uitzendpraktijk is dit relevant bij vragen over lichamelijke beperkingen, gebruik van hulpmiddelen of achtergrond van een kandidaat.

Er zijn smalle uitzonderingen. Als een uitzendkracht ernstige epilepsie heeft en collega’s dit bij een noodsituatie moeten weten, kan verwerking op grond van vitaal belang gerechtvaardigd zijn. Maar dergelijke uitzonderingen zijn strikt: je moet kunnen aantonen dat de verwerking onvermijdelijk is en dat er geen andere weg mogelijk was. Voor aanstellingskeuringen gelden aanvullende regels: lees aanstellingskeuring: wat mag wel en niet? voor een volledig overzicht.

Een punt dat in de praktijk regelmatig fout gaat: het gebruik van geautomatiseerde selectietools die beslissingen nemen op basis van persoonsgegevens. Artikel 22 AVG verbiedt volledig geautomatiseerde besluitvorming met rechtsgevolgen zonder menselijke tussenkomst. Lees meer in jouw digitale assessment? Mogelijk illegaal. Zie ook de geldende regels bij schijnzelfstandigheid voor aanverwante vragen over de positie van flexwerkers.

Rechten van de uitzendkracht als betrokkene

De AVG geeft uitzendkrachten concrete rechten over hun eigen gegevens. Als uitzendbureau of inlener moet je die rechten actief faciliteren. De belangrijkste zijn:

• Recht op inzage: de uitzendkracht mag te allen tijde opvragen welke persoonsgegevens je van hen hebt vastgelegd en met wie je die hebt gedeeld.
• Recht op vergetelheid: de uitzendkracht kan de gegeven toestemming voor gegevensverwerking intrekken. Je verwijdert dan de betrokken gegevens, ook bij derde partijen waarmee je ze had gedeeld.
• Recht op dataportabiliteit: onder bepaalde voorwaarden kan de uitzendkracht een gestandaardiseerd overzicht opvragen van alle gegevens die je van hen bewaart.
• Recht op rectificatie: onjuiste gegevens mogen worden gecorrigeerd op verzoek.

Het intrekken van toestemming moet even eenvoudig zijn als het geven ervan. Zorg dat je CRM of ATS dit technisch ondersteunt en dat intercedenten weten hoe ze met zulke verzoeken omgaan. Zie ook sollicitatiegegevens bewaren: de AVG-regels voor hoe deze rechten doorwerken in de bewaartermijnen.

Veelgestelde vragen over persoonsgegevens van uitzendkrachten

Welke persoonsgegevens mag je vastleggen bij de inschrijving van een uitzendkracht?

Bij inschrijving mag je alleen gegevens vastleggen die nodig zijn voor de arbeidsbemiddeling. Dat zijn naam, adresgegevens, contactgegevens, relevante werkervaring en opleiding. Een kopie van het identiteitsbewijs mag je maximaal vier weken bewaren als de kandidaat niet aan het werk gaat. Bijzondere persoonsgegevens, zoals gezondheidsgegevens of religie, zijn verboden tenzij er een strikte wettelijke uitzondering geldt.

Hoe lang mag je persoonsgegevens van een uitzendkracht bewaren?

Voor een ingeschreven kandidaat geldt een bewaarperiode van maximaal twee jaar met toestemming, of vier weken zonder toestemming. Gegevens van een werkzame uitzendkracht bewaar je in de loonadministratie tot zeven jaar na uitdiensttreding (fiscale bewaarplicht). Het kopie identiteitsbewijs en loonheffingsdocumenten bewaar je minimaal vijf jaar na het einde van het dienstjaar. Overige persoonsgegevens verwijder je uiterlijk twee jaar na de laatste werkdag.

Mag je het BSN van een uitzendkracht doorgeven aan de inlener?

Ja, maar alleen als dit vereist is voor de vaststelling van de ketenaansprakelijkheid van de inlener. Je geeft het BSN niet routinematig door. Het doorgeven van het BSN voor dit doel is geregeld in de Uitvoeringsregeling verplicht gebruik BSN, die per 1 januari 2017 in werking trad.

Wat mag een inlener vastleggen van een uitzendkracht?

De Autoriteit Persoonsgegevens heeft bepaald dat inleners persoonsgegevens van uitzendkrachten mogen vastleggen op grond van gerechtvaardigd belang, om matiging van keten- en inlenersaansprakelijkheid te kunnen inroepen. De inlener mag ontvangen: NAW-gegevens, geboortedatum, geslacht, contactgegevens, werkervaring, opleiding, nationaliteit, BSN voor ketenaansprakelijkheid en relevante verblijfsdocumenten. De inlener mag geen kopie van het identiteitsbewijs, bankrekeningnummer, strafrechtelijke gegevens of gezondheidsgegevens ontvangen.

Welke gegevens mag je registreren als een uitzendkracht ziek is?

Je mag de eerste verzuimdag noteren, of de uitzendkracht valt onder een vangnetbepaling van de Ziektewet (ja of nee, niet welke), en of de ziekte verband houdt met een arbeidsongeval (ja of nee). Je mag de diagnose, aard van de aandoening, medicijngebruik of behandelingen nooit registreren. De uitzendkracht heeft het recht om de reden van verzuim niet te melden, en de bedrijfsarts mag medische informatie niet aan het uitzendbureau doorgeven.