Voor medewerker inzichtelijk maken wie toegang heeft tot zijn of haar personeelsdossier

[PaulvanAchteren]

Goedemiddag,

Voor een medewerker is het totaal niet inzichtelijk wie er allemaal rechten (inzage of toevoegen/ verwijdere documenten) hebben voor zijn of haar personeelsdossier.

Sterker nog: Voor mij als Professional (Beheerder) is het niet eens goed inzichtelijk. Ik heb wel eens een rapport opgevraagd, maar dat is totaal niet actueel, er staan allerlei medewerkers in welke al lang uit dienst zijn, dus daar kan ik niet heel veel mee, maar dat terzijde.

Vanuit oogpunt AVG vinden wij dat het voor de medewerker inzichtelijk dient te zijn wie er allemaal toegang heeft tot zijn of haar personeelsdossier.

Het zou fijn zijn wanneer jullie dit zouden kunnen realiseren.

[Marcel Bouman]

@PaulvanAchteren terechte vraag, met één kanttekening: ik zou niet willen aangeven welke personen er toegang hebben tot de dossiers, maar welke rollen dit zijn. Een rol is wat betreft autorisaties een vrij vast gegeven terwijl de medewerkerspopulatie veel vaker wisselt. En welke rechten die rollen binnen de dossiers hebben kun je toelichten, maar daar zou ik het bij laten (als dat volgens regelgeving niet hoeft). Het beheer van het dossier hoeft volgens mij niet tot achter de komma aan werknemer verantwoord te worden (wie een document kan toevoegen, verwijderen, bewerken en raadplegen)? Het personeelsdossier is eigendom van de werkgever en die bepaalt op een zorgvuldige en doordachte wijze de rollen en autorisaties. De medewerker moet/mag hierop vertrouwen.

Wat wij hebben gedaan is een kort bericht op ons intranet geplaatst waarin dit wordt beschreven (ik zie overigens nu dat deze tekst geactualiseerd moet worden als het gaat om "tegel"):

Ik zou je idee willen aanvullen met de wens om een logging op de raadpleging te zetten. Dat vind ik echt een gemis. Ik wordt als beheerder wel eens gevraagd om "even snel" iets te controleren in een dossier, en daar ga ik naar eer en geweten mee om, maar ik zou het zelf prettig vinden dat er een logging op zou zitten met de mogelijkheid voor mijzelf om toe te lichten waarom ik een bepaald document heb geraadpleegd, of kenmerken heb aangepast oid.

[PaulvanAchteren]

@Marcel Bouman 

Bedankt voor jouw reactie! Jouw laatste punt mbt de logging, daar kan ik me zeker ook helemaal in vinden.

Ik zou echter juist wel op persoonsniveau voor de medewerker inzichtelijk willen hebben wie er toegang hebben en ik wil dit zelf als Beheerder ook makkelijk kunnen inzien. De medewerker zegt Rollen altijd niet wat en als voorbeeld, wij hebben zo'n 15 HR Business Partners, die hoeven niet allemaal in het Personeelsdossier van een specifieke medewerker. Dat hoeft alleen de verantwoordelijke HR Business Partner te zijn. Personeelsdossier is inderdaad eigendom van de werkgever, maar betreft medewerker en deze heeft vanuit oogpunt AVG er m.i. 'recht op' om juist op persoonsniveau te zien wie toegang hebben. 

[Marcel Bouman]

@PaulvanAchteren ik denk dat we allebei hetzelfde denken en willen, maar ik schreef dit met de volgende gedachte:

een leidinggevende heeft geen 1 op 1 relatie met een medewerker, dit gaat altijd via een rol/autorisatie op een organisatorische eenheid, dus:

manager 'Baas' is MGR van de eenheid '1250 - ICT', en medewerker "Jansen' heeft een dienstverband bij '1250 - ICT'. Zij zijn dus niet als personen 1 op 1 aan elkaar gekoppeld, maar via het team '1250 - ICT'. Om die reden zou ik het handig vinden om te weten wat welke rol in PDOL iets mag zien en doen. En zowel de teamsamenstelling als de leidinggevenden (of HR-advies) wisselen nog wel eens, dus ik vraag me af wat ik met het raadplegen op persoonsniveau zou kunnen of willen (los ervan of het van de AVG moet natuurlijk).

Als er een enkele keer een medewerker zou zijn die heel gedetailleerd wil weten wie er allemaal gegevens kan raadplegen is dit natuurlijk wel handig om te hebben. Maar denk dan ook aan historische autorisaties, m.a.w. wie heeft er in het verleden allemaal toegang gehad tot de gegevens. 

Ben benieuwd wat hierbij mogelijk is!

[Christiaan Sluis]

Hoi @PaulvanAchteren ,

Ik heb je idee naar de juiste community verplaatst, namelijk die van Dossier. Zo kunnen de juiste collega's hier naar kijken.

[Peter van Miltenburg]

Als een gebruiker naar Personeelsdossier gaat dan wordt dynamisch bepaald welke medewerkers zichtbaar zijn voor de gebruiker. Bepalen welke gebruikers toegang hebben tot het dossier van een medewerker is echter een vele malen zwaarder proces, omdat er voor duizenden gebruikers moet worden gecontroleerd of ze wel of geen toegang hebben tot dat ene dossier. Om deze reden is het binnen Personeelsdossier niet praktisch mogelijk om voor de medewerker inzichtelijk te maken wie toegang heeft tot zijn/haar personeelsdossier.

Het is echter ook niet nodig om deze informatie te vertrekken aan de medewerker; het is inderdaad voldoende om aan te geven welke rollen toegang hebben tot Personeelsdossier, zoals bijvoorbeeld de Manager, de medewerkers van de HR-administratie met rechten op de afdeling van de medewerker, etcetera. Dit is informatie die in HR Core is opgeslagen.

Binnen Personeelsdossier zelf is alleen vast te stellen welke gebruikers toegang hebben tot een dossier van een medewerker als er sprake is van expliciete autorisatie. In dat geval heeft de gebruiker bijvoorbeeld volledige toegang tot alle dienstverbanden, of expliciete toegang tot een bepaalde afdeling of bepaalde dienstverbanden. Het rapport wat via de Servicedesk kan worden opgevraagd waar @PaulvanAchteren naar verwijst is actueel op het moment dat deze wordt aangevraagd. Het blijft echter een momentopname, omdat de rechten een moment later alweer aangepast kunnen zijn. Wat echter van belang is dat is dat in Personeelsdossier niet bekend is of een gebruiker nog actief is of niet. Pas als Personeelsdossier daadwerkelijk wordt gestart wordt gecontroleerd of de gebruiker is ingelogd en of de gebruiker rechten heeft om Personeelsdossier te starten. Daarom staan er in het rapport ook gebruikers die niet meer bestaan of die geen toegang meer hebben; dat is simpelweg niet bekend in Personeelsdossier. In principe is dat ook niet relevant: áls de gebruiker toegang heeft tot Personeelsdossier dan zijn deze rechten van toepassing.

Het is de bedoeling dat dit rapport in de toekomst ook opgevraagd kan worden binnen de Autorisatiemodule van Personeelsdossier. Er is op dit moment nog geen concrete planning bekend hiervoor.

[Peter van Miltenburg]

Met de release van juni 2025 is het rapport op de autorisaties beschikbaar in de autorisatiemodule van Personeelsdossier.