Wat doet deze functie?

De privacywetgeving (GDPR/AVG) verplicht je om persoonsgegevens niet langer bij te houden dan nodig. Voor een HR-systeem betekent dat: zodra een medewerker uit dienst is en de wettelijke bewaartermijn verstreken is, moet het personeelsdossier verdwijnen.

Epowerhr automatiseert dit met een service task voor gegevensbewaring. Eén keer per dag zoekt die naar personen van wie de laatste tewerkstelling meer dan N jaar geleden eindigde, en per persoon:

• verwijdert ze het volledige HR-dossier (loopbaan, contracten, lonen, adressen, afwezigheden, opleidingen, documenten, …) én de persoon zelf, of
• anonimiseert ze de persoon wanneer die niet verwijderd kan worden omdat andere records er nog naar verwijzen (bijvoorbeeld als vroegere manager van collega's die nog in dienst zijn). De naam wordt vervangen door een plaatshouder zoals Anonym Anonymous en alle identificerende velden worden leeggemaakt, terwijl de verwijzing zelf blijft werken.

De gekoppelde gebruiker wordt op dezelfde manier behandeld: logins, groepslidmaatschappen en rechten worden verwijderd, en het account wordt verwijderd of geanonimiseerd.

Alles wordt gestuurd door vijf instellingen en één service task. Er gebeurt niets tot je het inschakelt.

Dit is onomkeerbaar. Verwijderde gegevens kan je niet terughalen vanuit Epowerhr. Lees het hele artikel, spreek de bewaartermijn af met je DPO of juridische dienst, en test eerst op je acceptatieomgeving voor je het in productie activeert.

Voor je begint

Je hebt nodig:

• De rechten Administratie, Instellingen (bekijken) en Instelling aanpassen om Beheer → Instellingen te openen en de vijf instellingen voor gegevensbewaring te wijzigen.
• De rechten Service tasks (bekijken) en Service taak aanpassen om Beheer → Service tasks te openen, de status en de log te bekijken of de taak manueel te starten.
• Een afgesproken bewaartermijn in jaren, te rekenen vanaf de einddatum van de laatste tewerkstelling. Epowerhr legt geen standaardwaarde op. De Belgische sociale wetgeving vraagt doorgaans meerdere jaren; je DPO beslist.

Stap 1 — de instellingen configureren

Navigeer naar Beheer → Instellingen en open de component General. Vijf instellingen sturen de functie:

Klik na elke wijziging op Bewaren.

Twee regels om in het achterhoofd te houden:

• Als Anonimiseer de gegevens van werknemers als deze niet kunnen verwijderd worden aangevinkt is, moeten zowel de geanonimiseerde voornaam als de achternaam ingevuld zijn. Is één van beide leeg, dan doet de taak helemaal niets — ook geen verwijderingen.
• De termijn geldt voor iedereen. Er is geen uitzondering per persoon, per bedrijf of per doelgroep. Moet je een bepaalde ex-medewerker langer bijhouden (bijvoorbeeld bij een lopend geschil), laat dan zijn laatste loopbaanlijn open of verleng de einddatum tot de zaak afgerond is.

Stap 2 — begrijpen wat de taak doet

Wie komt in aanmerking?

Bij elke run selecteert de taak personen die aan al deze voorwaarden voldoen:

• De persoon heeft minstens één loopbaanlijn (tewerkstelling). Mensen zonder tewerkstelling — louter zakelijke contacten, kandidaten, gezinsleden — worden nooit geraakt.
• Elke loopbaanlijn van de persoon heeft een einddatum. Wie een lopende tewerkstelling heeft, is een actieve medewerker en wordt overgeslagen.
• De laatste einddatum + bewaartermijn (jaren) ligt vóór vandaag, berekend in de tijdzone van de tenant.
• De persoon is niet al door een eerdere run geanonimiseerd.

Wat wordt verwijderd?

Voor elke persoon die in aanmerking komt, verwijdert Epowerhr in één transactie:

• Personeelsadministratie: loopbaanlijnen, arbeidscontracten, lonen, supplementen, voordelen, verzekeringscontracten, loongegevens, fiscale gegevens, burgerlijke staten, adressen, persoonlijke en zakelijke contactgegevens, noodcontacten, gezinsleden, opleidingen (diploma's), vorige werkgevers, talen, referentienummers, nevenactiviteiten, woon-werkverkeer, de foto.
• Verlof: verlofaanvragen en verloftellers, afwezigheden, planningskalenders.
• Opleiding: deelnames, opleidingsprogramma's, budgetten, tellers, opleidingsadvies, certificaten (ook gedeelde certificaatitems), verworven competenties, gegevens van de federal learning account via de deelnames.
• Talent en performance: performance-managementdocumenten waarin de persoon de medewerker is, objectieven en objectief-uploads, competentiebeoordelingen, ontwikkelpaden en -noden, talent reviews en opvolgerslijnen, feedback, incentive-oefeningen, lidmaatschappen van evaluatiecomités, workflowstatussen.
• Overige: onkostennota's die de persoon indiende, on-/offboardingacties, taken, delegaties, lidmaatschappen van doelgroepen en medewerkersgroepen, werkprojecten (en de projecten zelf zodra die leeg raken), gegenereerde documenten.
• Bestanden: elk bestand en elk geüpload document dat aan de persoon hangt, wordt uit de opslag verwijderd.
• Audittrail: de wijzigingshistoriek van alle bovenstaande records verdwijnt mee.

Gezinsleden van de persoon die zelf geen medewerker of zakelijk contact zijn, worden ook verwijderd.

Persoon: verwijderen of anonimiseren

Zodra het HR-dossier weg is, controleert Epowerhr of de persoon nog ergens anders gerefereerd wordt. De meest voorkomende verwijzingen:

• Manager op de loopbaanlijn van een andere persoon, of manager / goedkeurder / HR-verantwoordelijke / opleidingscoördinator / directeur van een organisatie-eenheid.
• Manager van een kostenplaats, eigenaar van een opleiding, opleidingscoördinator van een deelnemer.
• Goedkeurder van verlofaanvragen, onkosten, talent reviews of vacatures; gedelegeerde of delegerende; hiring manager, recruiter of vervangen medewerker op een vacature.
• Beoordelaar, comitélid of manager op talent reviews, vragenlijsten, projecten of competentiebeoordelingen.
• Betrokkene bij feedback (als ontvanger of lezer); beoordelaar of andere niet-medewerkersrol op een performance-managementdocument.

Daarna:

Gebruikersaccount

Heeft de persoon een gebruiker, dan verwijdert de taak eerst alles waarmee die kan inloggen of wat persoonlijk is: authenticatiemethodes, groepslidmaatschappen, directe rechten, inlogpogingen, logs, schermvoorkeuren en taken. Het account is daarna niet meer bruikbaar.

Het account zelf wordt vervolgens:

• verwijderd als niets anders ernaar verwijst, of
• geanonimiseerd als het nog gerefereerd wordt (eigenaar van een opleiding of sessie, goedkeurder, verantwoordelijke voor een boardingtaak, uitvoerder van een boardingactie, aanmaker van een projectfeedbackreview, logger van een documentactie, …) en Anonimiseer … als deze niet kunnen verwijderd worden aan staat. De namen worden de plaatshouders, het e-mailadres wordt <voornaam>.<achternaam>@ano.com (met de standaardwaarden Anonym.Anonymous@ano.com), en de koppeling met de persoon verdwijnt.
• ongewijzigd gelaten zonder logins als het gerefereerd wordt en anonimisering uit staat.

Opkuis van geanonimiseerde records

Geanonimiseerde personen en gebruikers bestaan alleen nog omdat iets ernaar verwijst. Bij elke run controleert de taak ze opnieuw en verwijdert ze definitief zodra niets er nog naar verwijst — bijvoorbeeld nadat de collega's die hen als manager hadden zelf verwijderd zijn. Anonimisering is dus een wachtkamer, geen eindtoestand.

Hoe geanonimiseerde personen verschijnen

• Ze worden verborgen in Who-is-who-zoekopdrachten, medewerkerskeuzelijsten en de medewerkersoverzichten in de applicatie.
• Waar een verwijzing hen nog toont — de vroegere manager op de loopbaanlijn van een collega bijvoorbeeld — verschijnt de plaatshoudernaam als gewone tekst, zonder link naar een detailpagina.
• Rapporten en de OData-rapporterings-API geven de plaatshouderwaarden terug; de verwijderde records zijn gewoon weg.

Stap 3 — de service task controleren

Navigeer naar Beheer → Service tasks. Elke tenant heeft automatisch een taak van het type Verwijderen/anonimiseren van uitdienst medewerkers, gepland Dagelijks om 0:00 en Actief. Je hoeft ze niet zelf aan te maken.

Open de taak om:

• De Status te controleren (Wachtend, Lopend, Geslaagd, Gefaald) en de laatste uitvoeringsdatum.
• Op Bekijk log te klikken om het resultaat van de laatste run te lezen. Een geslaagde run toont Succesvol beëindigd. Konden één of meer personen niet verwerkt worden, dan is de status Gefaald en vermeldt de log per persoon "Kan persoon met id {id} niet verwijderen wegens: {reden}". De andere personen in dezelfde run worden wel verwerkt; de mislukte worden bij de volgende run opnieuw geprobeerd.
• Op Uitvoeren te klikken om de taak meteen te laten draaien in plaats van te wachten tot middernacht. Gebruik dit voor je eerste run op acceptatie, en voor een gecontroleerde eerste run in productie tijdens de kantooruren zodat je de log kan volgen.
• Een parameter Mail of MailOnError toe te voegen met één of meer e-mailadressen (gescheiden door komma's). Mail verstuurt de log na elke run; MailOnError alleen als de status Gefaald is. Het onderwerp van de mail is de naam van de taak gevolgd door de naam van de tenant.

Vink Actief uit als je de opkuis tijdelijk wil pauzeren zonder de instellingen te wijzigen.

Aanbevolen uitrol

1. Spreek de bewaartermijn en de plaatshoudernamen af met je DPO.
2. Exporteer alles wat je wettelijk buiten Epowerhr moet bewaren (loonfiches, contracten) voor je inschakelt. Epowerhr verwijdert de gegenereerde documenten en geüploade bestanden samen met de persoon.
3. Op je acceptatieomgeving: vul de vijf instellingen in, klik op Uitvoeren bij de service task en bekijk de log en enkele getroffen personen.
4. In productie: vul de instellingen in, laat de taak één keer manueel draaien tijdens de kantooruren, controleer de log en laat ze daarna aan de dagelijkse planning over.

De eerste run is de grote: die verwerkt iedereen die meer dan N jaar geleden vertrok. Daarna gaat het doorgaans om een handvol personen per dag.

Veelgestelde vragen

De taak zegt Geslaagd maar er is niemand verwijderd. Waarom? In volgorde van waarschijnlijkheid: Verwijder werknemersgegevens staat nog uit; de termijn is leeg of 0; Anonimiseer … als deze niet kunnen verwijderd worden staat aan maar één van de plaatshoudernamen is leeg (dan doet de hele run niets); of er is gewoon nog niemand van wie de laatste tewerkstelling meer dan N jaar geleden eindigde.

Een ex-medewerker die lang geleden vertrok, staat nog in het systeem. Controleer de loopbaanlijnen op de persoonspagina. Waarschijnlijk heeft één ervan geen einddatum, of is er een latere loopbaanlijn (een herindiensttreding, een tweede contract) met een recentere einddatum. De klok start bij de laatste einddatum.

Kan ik één persoon uitsluiten? Niet rechtstreeks. Laat één van zijn loopbaanlijnen open, of geef ze een einddatum ver genoeg in de toekomst, zolang je het dossier moet bewaren.

Kan ik een verwijdering ongedaan maken? Nee. Alleen een databaserestore door BCS kan de gegevens terugbrengen, en die raakt de hele tenant. Beschouw de instellingen als een deur die maar één kant op draait.

Waarom staat een verwijderde collega nog als "Anonym Anonymous" op de loopbaanlijn van iemand? Die persoon was manager van collega's die nog in dienst zijn, dus de verwijzing moest bewaard blijven. Het record werd geanonimiseerd in plaats van verwijderd, en wordt automatisch verwijderd zodra geen enkele loopbaanlijn er nog naar verwijst.

Ruimt dit ook kandidaten in Recruitment of externe loonsystemen op? Nee. Alleen personen met een tewerkstelling in Epowerhr vallen binnen de scope. Kandidaten, Connexys-gegevens en de archieven van je sociaal secretariaat volgen hun eigen bewaarregels.

Verandert anonimisering de audittrail? De wijzigingshistoriek van de verwijderde records verdwijnt mee. Historiek op andere objecten (bijvoorbeeld een goedkeuring die de persoon gaf op de verlofaanvraag van een collega) blijft bestaan en toont vanaf dan de plaatshoudernaam.

Kan ik de plaatshoudernamen later wijzigen? Ja, maar alleen personen die na de wijziging geanonimiseerd worden, krijgen de nieuwe namen. Al geanonimiseerde records behouden de oude plaatshouder.