Privacy bij het registreren van SROI-resultaten

Een opdrachtgever vraagt een arbeidsovereenkomst en doelgroepbewijs voor je SROI-rapportage. In die documenten staan ook een BSN, bankrekeningnummer en gegevens over een uitkering. Moet je dan alles uploaden? Nee: de vraag welk bewijs de opdrachtgever nodig heeft, moet je verbinden aan de vraag welke persoonsgegevens je daarvoor rechtmatig mag verzamelen, gebruiken en delen.

Een verplicht uploadveld, beveiligd portaal of instructie van de SROI-coördinator geeft op zichzelf geen juridische toestemming voor iedere verwerking. Met de beslisroute hieronder beoordeel je de gegevensstroom per onderdeel: doel, grondslag, noodzakelijke gegevens, ontvanger, beveiliging en bewaartermijn. Dit artikel gaat over privacy bij contractuele social return. Inhoud gecontroleerd op 17 oktober 2026.

Bepaal eerst welke controle de gegevens moeten ondersteunen

‘Voor SROI’ is een te brede reden om een compleet personeelsdossier te delen. Benoem de concrete controle: behoort de kandidaat tot de toegestane doelgroep, was diegene in de opgegeven periode werkzaam of klopt het aantal toegerekende uren? Voor iedere vraag kan een andere, kleinere set gegevens voldoende zijn.

Maak daarbij onderscheid tussen vier handelingen: gegevens binnen je bedrijf verzamelen, ze in je eigen administratie bewaren, ze aan de opdrachtgever verstrekken en ze in een voortgangsrapport gebruiken. Dat je een document voor je loonadministratie moet bewaren, betekent niet dat je hetzelfde document volledig voor SROI mag doorsturen. Ook alleen laten inzien is een verwerking van persoonsgegevens.

Begin met deze korte beschrijving: ‘Wij willen [gegeven] gebruiken om [concrete controle] uit te voeren. [Organisatie of functie] krijgt toegang. De controle ziet op [periode].’ Kun je een veld niet aan een controle koppelen, vraag dan waarom het nodig is voordat je het invult.

Voor de opbouw van de voortgangsrapportage, bewijsverwijzingen en correcties kun je verder met een SROI-rapportage opstellen. Hier beoordeel je welke persoonsgegevens in die werkwijze thuishoren.

Een SROI-contract is niet automatisch de AVG-grondslag

Elke verwerking van persoonsgegevens heeft een geldige grondslag uit artikel 6 AVG nodig. Je moet kunnen uitleggen welke grondslag geldt voor jouw verwerking en waarom de gegevens daarvoor noodzakelijk zijn. De grondslag die de opdrachtgever voor zijn eigen controle gebruikt, neemt die beoordeling voor jouw verstrekking niet over.

Let vooral op deze drie redeneringen:

• ‘Het staat in de overeenkomst met de gemeente.’ De AVG-grondslag uitvoering van een overeenkomst ziet op een overeenkomst waarbij de betrokken persoon partij is. Een inkoopcontract tussen jouw bedrijf en de gemeente maakt de medewerker niet vanzelf partij bij dat contract. Ook een arbeidsovereenkomst is geen algemene machtiging: de verwerking moet noodzakelijk zijn voor de uitvoering daarvan.
• ‘Wij zijn verplicht SROI te verantwoorden.’ Een contractuele verplichting is niet hetzelfde als een wettelijke verplichting in de zin van de AVG. Wie die grondslag gebruikt, moet de toepasselijke wettelijke verplichting kunnen aanwijzen.
• ‘Het dient een gerechtvaardigd belang.’ Dat vraagt een concreet belang, een toets of de verwerking noodzakelijk is en een afweging tegenover de belangen en rechten van de medewerker. De wens om makkelijk een contract af te rekenen is geen afgeronde belangenafweging.

Bij een publieke opdrachtgever kan een taak van algemeen belang relevant zijn. Ook die grondslag moet op een passende wettelijke basis berusten. Artikel 6 AVG beperkt bovendien het gebruik van gerechtvaardigd belang door overheidsinstanties bij de uitvoering van hun taken. Kopieer daarom niet zonder beoordeling een grondslag uit de privacyverklaring van een andere organisatie.

Is toestemming van de werknemer dan de oplossing?

Niet automatisch. De Autoriteit Persoonsgegevens benadrukt dat toestemming vrij, specifiek, geïnformeerd en ondubbelzinnig moet zijn. In een arbeidsrelatie is die vrijheid een belangrijk aandachtspunt: een medewerker kan een verzoek van de werkgever moeilijk weigeren. Een ondertekend standaardformulier bewijst niet op zichzelf dat de keuze vrij was.

Kom je in een SROI-instructie een toestemmingsformulier tegen, laat dan toetsen of toestemming voor deze verwerking werkelijk bruikbaar is. Kan iemand weigeren of toestemming intrekken zonder nadeel? Is duidelijk welke gegevens naar welke ontvanger gaan en voor welk doel? Hoe wordt intrekking uitgevoerd? Zet geen druk op een medewerker omdat jouw rapportagedeadline nadert.

Staat de grondslag niet vast, leg de gegevensvraag voor aan je privacyverantwoordelijke of juridisch adviseur en de privacycontactpersoon van de opdrachtgever. Beschrijf de gewenste controle en vraag om een rechtmatige bewijsroute. ‘De coördinator vindt het goed’ is daarvoor niet genoeg.

Beoordeel gezondheidsgegevens en het BSN afzonderlijk

Een doelgroepcode kan al iets over gezondheid zeggen

Een medische diagnose is duidelijk gevoelig, maar ook een vermelding van arbeidsongeschiktheid of een bepaalde doelgroep kan informatie over iemands gezondheid onthullen. Alleen de diagnose weglakken is dus niet altijd voldoende om te voorkomen dat gezondheidsgegevens worden verwerkt. Beoordeel wat de overblijvende informatie in deze context vertelt.

Voor gezondheidsgegevens geldt naast een grondslag uit artikel 6 AVG ook het verbod en uitzonderingenstelsel van artikel 9 AVG. Er moet een toepasselijke uitzondering zijn en eventuele aanvullende nationale voorwaarden moeten worden nageleefd. ‘Nodig voor SROI’ of ‘wij hebben een gerechtvaardigd belang’ is op zichzelf geen uitzondering op dat verbod.

Vraag daarom of de benodigde toets kan worden uitgevoerd met een beperkte bevestiging door een bevoegde partij. Laat beoordelen of die bevestiging voldoende is én welke privacyregels erop van toepassing blijven. Ook een verklaring ‘voldoet aan categorie X’ kan gezondheidsinformatie prijsgeven als iedereen weet waar categorie X voor staat.

Verzamel voor de SROI-verantwoording geen medische rapporten of behandelgeschiedenis om zelf iemands doelgroep te bepalen. De kandidaat-toets gaat over de toepasselijke voorwaarden en het daarvoor geschikte bewijs; die werkwijze staat bij wie kan meetellen voor social return.

Een BSN in je salarisadministratie mag niet overal mee naartoe

Voor het BSN gelden afzonderlijke regels. De AP legt uit dat organisaties buiten de overheid het BSN alleen mogen gebruiken als dat wettelijk is bepaald. Dat je het BSN voor loonheffingen verwerkt, geeft dus geen algemene bevoegdheid om het ook in een SROI-overzicht of bijlage te delen. Toestemming vervangt een vereiste wettelijke bevoegdheid voor BSN-gebruik niet.

Vraagt een formulier om het BSN, vraag dan voor welke concrete verwerking het nodig is en op welke wettelijke basis de betrokken organisaties het gebruiken. Is het niet nodig of toegestaan, lever het niet aan. Spreek een andere manier van koppelen af, bijvoorbeeld een intern kandidaatkenmerk, mits dat de vereiste controle kan dragen.

Controleer ook verborgen plekken: het BSN kan in een documentkop, bestandsnaam, bijlage of scan staan. Pas een kopie voor de SROI-aanlevering aan; wijzig of vernietig niet het originele document dat je voor een andere geldige verplichting moet bewaren.

Voorbeeld: dezelfde controle met minder gegevens

Fictieve situatie. Een werkgever wil een leerwerkplek verantwoorden. De afgesproken controle gaat over de deelnemer, toegestane opleiding, inzetperiode en uren. Er ligt een map met de volledige overeenkomst, loonstroken, een identiteitskopie en een bankafschrift. Het bestaan van die map maakt al die stukken nog niet noodzakelijk voor de SROI-controle.

De uitkomst van dit voorbeeld is geen standaard uploadlijst. Je laat eerst de passende, rechtmatige bewijsroute vaststellen. Soms moet meer worden aangetoond dan in dit voorbeeld; soms volstaat minder. Leg vast welke controle met de gekozen set mogelijk blijft.

Weglakken moet onomkeerbaar zijn in de gedeelde kopie. Een zwart vlak over tekst zetten is niet voldoende als de ontvanger de tekst nog kan selecteren, kopiëren of terughalen. Controleer de export op verborgen tekst, opmerkingen en metadata. Open het bestand na de bewerking opnieuw en laat bij gevoelige documenten een tweede persoon controleren wat werkelijk zichtbaar en uitleesbaar is.

Houd je voor de voortgang alleen een code bij, bewaar de koppeling met de persoon dan apart en met beperkte toegang. Dat heet pseudonimiseren als de informatie zonder die aanvullende gegevens niet aan de persoon kan worden gekoppeld. De AVG blijft dan van toepassing. Ook een rapport met aantallen kan herkenbare personen verraden als het om een heel klein team of een unieke situatie gaat. Een naam verwijderen maakt een rapport niet vanzelf anoniem.

Leg vast wie verantwoordelijk is en wie toegang krijgt

Bij SROI kunnen jouw bedrijf, een uitlener, opdrachtgever, uitvoerend steunpunt en softwareleverancier betrokken zijn. Hun rol volgt uit wat zij feitelijk bepalen en doen. Wie doel en middelen van een verwerking bepaalt, is daarvoor verwerkingsverantwoordelijke. Wie uitsluitend namens een verantwoordelijke verwerkt, kan verwerker zijn. Een opdrachtnemer is dus niet automatisch een AVG-verwerker omdat hij een overheidsopdracht uitvoert.

Beschrijf per gegevensstroom wie verzamelt, controleert, opslaat en verwijdert. Zijn partijen zelfstandig verantwoordelijk, dan moet ieder de eigen verwerking onderbouwen. Bepalen zij gezamenlijk doel en middelen, dan zijn afspraken nodig die bij gezamenlijke verantwoordelijkheid passen. Werkt een leverancier als verwerker, dan moeten de vereiste afspraken over die verwerking worden vastgelegd, doorgaans in een verwerkersovereenkomst.

Zo’n overeenkomst regelt onder meer instructies, beveiliging en ondersteuning. Zij maakt een verwerking zonder geldige grondslag niet alsnog rechtmatig. Controleer ook voor wie de softwareleverancier werkt; jouw bedrijf hoeft niet automatisch dezelfde rol of overeenkomst te hebben als de opdrachtgever die het portaal afneemt.

Vertaal de verdeling naar toegang. Een projectleider kan vaak sturen met inzet, periode en status. De medewerker die doelgroepbewijs controleert, kan andere gegevens nodig hebben. Geef niet iedereen het hele dossier omdat alle betrokkenen aan dezelfde opdracht werken.

• Gebruik persoonlijke accounts en passende toegangsrechten; voorkom een gedeeld teamwachtwoord.
• Gebruik de afgesproken beveiligde overdracht, controleer het contract en de ontvanger en beperk de geldigheid van toegangslinks waar mogelijk.
• Stel waar passend meervoudige verificatie in en controleer periodiek wie nog toegang nodig heeft.
• Leg vast hoe exports, tijdelijke downloads en lokale kopieën worden beheerd. Een veilig portaal beschermt een onbeveiligde export niet.
• Spreek af wie direct handelt bij een verkeerde upload, verkeerde ontvanger of onbevoegde toegang. Laat een mogelijk datalek meteen volgens de interne procedure beoordelen.

De AVG verlangt beveiliging die past bij het risico. Bij het opzetten of ingrijpend veranderen van een registratie moet je bovendien beoordelen of een gegevensbeschermingseffectbeoordeling, een DPIA, verplicht is. Dat is onder meer relevant als de verwerking waarschijnlijk een hoog risico oplevert. SROI heet niet automatisch ‘laag risico’ doordat het om een maatschappelijk doel gaat.

Informeer de kandidaat en kies een onderbouwde bewaartermijn

Leg in begrijpelijke taal uit welke gegevens voor welke SROI-controle worden gebruikt, op welke grondslag, met wie zij worden gedeeld en hoe lang ze worden bewaard. Vermeld de verantwoordelijke organisatie, contactroute en toepasselijke privacyrechten. De AVG schrijft bij verzamelen bij de persoon informatie op dat moment voor; bij gegevens van een andere bron gelden eigen termijnen en voorwaarden. Richt die informatievoorziening vooraf in.

Een verwijzing naar een algemene privacyverklaring is alleen nuttig als de kandidaat daar de relevante verwerking kan terugvinden. ‘Wij delen gegevens met partners’ geeft weinig houvast wanneer iemand wil weten waarom een uitkeringsgegeven bij een opdrachtgever terechtkomt. Controleer ook of de ontvangende partij aan haar eigen informatieplicht voldoet.

Stel vervolgens per gegevenssoort vast waarom je die nog bewaart en vanaf welk moment de bewaartermijn loopt. De benodigde termijn voor een SROI-bewijskopie kan verschillen van die voor een origineel document in de loonadministratie. Neem niet voor alles één standaardtermijn over.

Een concreet voorbeeld: Rijkswaterstaat vermeldt in zijn specifieke privacyverklaring voor social return een bewaartermijn van zeven jaar na het einde van het inkoopcontract. Dat is de beschreven verwerking van Rijkswaterstaat. Het bewijst niet dat iedere werkgever ieder SROI-document zeven jaar moet of mag bewaren.

Leg in je eigen bewaarschema de gegevenssoort, het doel, eventuele wettelijke bewaarplicht, onderbouwing van de termijn, startmoment en verwijderactie vast. Bepaal wie de actie uitvoert, ook voor exports en tijdelijke bestanden. Is een langer verblijf in het dossier nodig voor een concrete lopende zaak, laat dan vaststellen welke gegevens daarvoor nodig blijven. ‘Misschien ooit handig’ is geen bewaarbeleid.

Neem vóór het delen een besluit per gegeven

Gebruik onderstaande route bij een nieuwe aanlevering of een gewijzigd verzoek. Eén bestand kan velden bevatten die verschillende uitkomsten krijgen.

1. Is de concrete controle duidelijk? Zo niet, vraag wat met het gegeven moet worden aangetoond. Alleen ‘het systeem vraagt het’ is onvoldoende.
2. Is het gegeven daarvoor noodzakelijk? Onderzoek of een beperkte bevestiging, inzage of kleinere gegevensset hetzelfde doel kan bereiken. Ook die alternatieven moeten rechtmatig zijn.
3. Is de verwerking juridisch onderbouwd? Leg de grondslag vast. Toets gezondheidsgegevens en BSN afzonderlijk aan de aanvullende regels. Bij een open vraag laat je die eerst beoordelen.
4. Zijn ontvanger en uitvoering geregeld? Controleer rollen, informatie aan de kandidaat, toegangsrechten, beveiligde route en bewaartermijn.
5. Komt het uiteindelijke bestand overeen met het besluit? Controleer zowel zichtbare als verborgen gegevens, juiste kandidaat, opdracht en periode. Deel alleen de vastgestelde set.

Leg het resultaat compact vast: ‘Gegeven [X] gaat voor [controle] naar [ontvanger], op basis van [onderbouwing], via [route], met [bewaarafspraak]. Gegevens [Y] delen we niet omdat [reden]. Beoordeeld door [rol] op [datum].’ Deze notitie helpt een collega begrijpen waarom je een bepaalde bijlage wel of niet gebruikt.

Blijft een vraag onopgelost terwijl de rapportagedeadline nadert, meld dan concreet welke bewijscontrole openstaat en welke aangepaste route je voorstelt. Laat de contractcontactpersoon en privacyverantwoordelijke samen een werkbare oplossing beoordelen. Een tijdige melding vervangt de rapportageplicht niet, maar voorkomt dat je uit tijdsdruk onbeoordeelde personeelsgegevens doorstuurt.

Veelgestelde vragen