AVG bij werving en selectie: sollicitantgegevens

Sollicitanten zijn betrokkenen met volwaardige AVG-rechten, en werving is precies het proces waar organisaties het vaakst te veel gegevens te lang bewaren. De hoofdregels: u bewaart sollicitatiegegevens maximaal 4 weken na afronding van de procedure, of 1 jaar met toestemming van de sollicitant voor een talentpool; social-media screening mag alleen binnen strikte grenzen; en AI-selectietools vallen onder de AI Act als hoog-risico-systeem. Deze gids — te onderscheiden van onze bredere gids over AVG en personeel — behandelt de wervingsfase van vacature tot afwijzing of aanname.

Key Takeaways

• Bewaar sollicitatiegegevens maximaal 4 weken na de procedure, of 1 jaar met toestemming voor een talentpool (AP-richtsnoer).
• De grondslag voor werving is doorgaans gerechtvaardigd belang; voor bewaren na afwijzing en voor een talentpool is toestemming nodig.
• Social-media screening mag alleen als het relevant en kenbaar is; verzamel geen privé-informatie zonder noodzaak.
• AI- en assessmenttools die kandidaten beoordelen, zijn onder de AI Act hoog-risico en vereisen menselijk toezicht en transparantie.
• Vraag niet meer dan nodig: geen kopie-ID en geen BSN in de wervingsfase.

Grondslag en dataminimalisatie in werving

Tijdens een sollicitatieprocedure verwerkt u cv’s, motivatiebrieven, contactgegevens en soms assessmentresultaten. De grondslag is meestal gerechtvaardigd belang uit artikel 6 lid 1 sub f AVG: u heeft er belang bij de juiste kandidaat te selecteren, en dat weegt op tegen de beperkte inbreuk, mits u proportioneel te werk gaat.

Proportioneel betekent: vraag alleen wat relevant is voor de functie. Geen kopie van een identiteitsbewijs (dat mag u pas bij indiensttreding vragen, en met afgeschermd BSN en pasfoto), geen BSN, geen medische informatie, geen gegevens over gezondheid of zwangerschap. Deze bijzondere gegevens vallen onder artikel 9 AVG en horen niet thuis in een wervingsdossier.

Bewaartermijnen voor sollicitatiegegevens

De AP hanteert heldere richttermijnen voor sollicitatiegegevens, afgeleid van het beginsel van opslagbeperking uit artikel 5 AVG:

Wilt u een kandidaat langer in beeld houden voor toekomstige functies, dan heeft u daarvoor expliciete toestemming nodig; leg die vast en respecteer intrekking (zie onze voorbeelden van geldige toestemming). Zonder toestemming verwijdert u het dossier binnen vier weken.

Social-media screening

Het googelen of screenen van een kandidaat via LinkedIn, sociale media of openbare bronnen is een verwerking van persoonsgegevens. Het is niet zonder meer verboden, maar aan voorwaarden gebonden:

• Relevantie: u zoekt alleen naar informatie die relevant is voor de functie, niet naar privéleven of politieke voorkeur.
• Kenbaarheid: informeer de kandidaat vooraf dat u screent en op welke bronnen.
• Bijzondere gegevens: verzamel geen informatie over gezondheid, geloof, seksuele geaardheid of vergelijkbare gevoelige categorieën.

Documenteer wat u hebt gevonden en gebruikt, en verwijder de rest. Screening die het privéleven uitpluist zonder functienoodzaak is disproportioneel.

AI- en assessmenttools: hoog risico onder de AI Act

Steeds meer organisaties gebruiken tools die cv’s automatisch filteren, kandidaten scoren of assessments afnemen. Twee regimes gelden hier tegelijk. Onder de AVG is geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar effect aan artikel 22 AVG gebonden: de kandidaat heeft recht op menselijke tussenkomst en uitleg.

Onder de AI Act vallen AI-systemen voor werving en selectie in Annex III als hoog-risico. Dat brengt verplichtingen mee voor zowel de aanbieder als de gebruiker (deployer): risicobeheer, transparantie, menselijk toezicht, logging en — voor bepaalde gebruikers — een grondrechtenbeoordeling (FRIA). De verplichtingen voor hoog-risico-systemen gaan gefaseerd in; verdiep u in welke AI-systemen als hoog-risico worden aangemerkt voordat u een tool inkoopt. Praktisch: laat een algoritme nooit als enige beslissen over afwijzing, en zorg dat een mens de uitkomst betekenisvol toetst.

Informatieplicht en rechten van sollicitanten

U informeert sollicitanten over de verwerking via een privacyverklaring voor werving: welke gegevens u verzamelt, met welk doel, hoe lang u bewaart, of u screent en of u geautomatiseerde tools gebruikt. Sollicitanten hebben recht op inzage, rectificatie en verwijdering; een inzageverzoek van een afgewezen kandidaat moet u binnen een maand behandelen.

Het consistent toepassen van bewaartermijnen en het documenteren van grondslagen over meerdere vacatures en recruiters heen is foutgevoelig; platforms zoals Legiscope helpen om die bewaartermijnen en verwerkingen in het register te bewaken.

Verwerkersovereenkomsten met wervingstools

Vrijwel elke organisatie gebruikt externe wervingstools: een applicant tracking system (ATS), een vacaturebank, een assessmentleverancier of een jobboard. Die partijen verwerken persoonsgegevens van sollicitanten namens u en zijn dus verwerkers. Sluit met elk een verwerkersovereenkomst waarin de bewaartermijn, de beveiliging en de teruggave of verwijdering na afloop zijn geregeld. Let er bij een ATS specifiek op dat het systeem de sollicitatiegegevens daadwerkelijk verwijdert na de bewaartermijn, en niet ongemerkt jaren in een talentdatabase laat staan.

Werkt de tool met AI-functies voor het rangschikken van kandidaten, controleer dan of de leverancier voldoet aan de transparantie- en toezichtsverplichtingen die de AI Act aan hoog-risicosystemen stelt. De informatieplicht uit artikel 13 van de AVG verlangt bovendien dat u sollicitanten informeert wanneer u geautomatiseerde tools inzet.

Toezicht en verantwoording

De Autoriteit Persoonsgegevens heeft werving en selectie herhaaldelijk als aandachtsgebied benoemd, met name het te lang bewaren van afgewezen sollicitanten en het gebruik van ondoorzichtige selectie-algoritmen. Neem de wervingsverwerkingen daarom op in uw verwerkingsregister, met per stap de grondslag en de bewaartermijn. Zo kunt u bij een vraag van een afgewezen kandidaat of van de toezichthouder aantonen dat u proportioneel en transparant te werk gaat. Het consistent toepassen van de vier-wekentermijn over meerdere recruiters en vacatures heen is in de praktijk het lastigste punt — en tegelijk het punt waarop de meeste organisaties tekortschieten. Spreek daarom een vaste opschoonronde af, bijvoorbeeld maandelijks, en leg vast wie daarvoor verantwoordelijk is. Zorg dat ook de afwijzingsmails, notities van gesprekken en eventuele assessmentrapporten in die opschoning worden meegenomen; die blijven anders ongemerkt in mailboxen en gedeelde mappen achter, buiten het zicht van de recruiter. Communiceer de bewaartermijn ook naar de hiring managers, want zij bewaren cv’s vaak zelf in een persoonlijke map. Eén helder beleid, bekend bij iedereen die bij de selectie betrokken is, werkt beter dan een strikte regel die alleen de HR-afdeling kent en die in de rest van de organisatie geruisloos wordt genegeerd.

FAQ

Hoe lang mag ik sollicitatiegegevens bewaren?

Standaard maximaal 4 weken na afronding van de procedure. Wilt u de gegevens langer bewaren voor een talentpool, dan mag dat tot maximaal 1 jaar, maar alleen met expliciete toestemming van de sollicitant. Zonder toestemming verwijdert u het dossier na vier weken.

Mag ik een sollicitant screenen op sociale media?

Ja, maar binnen grenzen. De screening moet relevant zijn voor de functie en u moet de kandidaat vooraf informeren dat u screent. Verzamel geen bijzondere gegevens (gezondheid, geloof, geaardheid) en geen privé-informatie zonder functienoodzaak. Documenteer alleen wat u daadwerkelijk gebruikt.

Mag een AI-tool automatisch sollicitanten afwijzen?

Niet als enige beslisser. Onder artikel 22 AVG heeft een kandidaat recht op menselijke tussenkomst bij geautomatiseerde besluiten met vergelijkbaar effect. Onder de AI Act zijn wervingstools bovendien hoog-risico, met verplichtingen voor menselijk toezicht en transparantie. Laat een mens de uitkomst altijd betekenisvol toetsen.

Mag ik een kopie van het identiteitsbewijs vragen bij een sollicitatie?

Nee, niet in de wervingsfase. Een kopie-ID en het BSN mag u pas bij daadwerkelijke indiensttreding vragen, en dan met afgeschermde pasfoto en BSN waar dat niet nodig is. In de sollicitatiefase is dit disproportioneel.