Bij werving en selectie ontstaat snel een verspreid dossier: cv’s in het sollicitatiesysteem, gespreksnotities in mailboxen, een online assessment en misschien informatie uit sociale media. Sollicitanten hebben ook vóór indiensttreding AVG-rechten. Uw organisatie moet daarom voor iedere stap een doel, passende grondslag, transparante informatie, beperkte toegang en een gemotiveerde bewaartermijn hebben. Deze gids gaat over de fase van vacature tot aanname of afwijzing; het latere personeelsdossier wordt behandeld in de AVG-gids voor werkgevers.
Belangrijkste punten
- De Autoriteit Persoonsgegevens noemt verwijderen uiterlijk vier weken na afloop van een afgewezen sollicitatie gebruikelijk. Met toestemming voor later contact noemt zij maximaal één jaar een redelijke termijn. Dit zijn AP-richtsnoeren, geen universele letterlijk in de AVG geschreven maximumtermijnen.
- Vraag cv, vaardigheden en relevante bewijsstukken; een BSN, paspoortkopie of gezondheidsdossier is in de gewone sollicitatiefase niet vanzelf nodig.
- Bekijk openbare profielen alleen met een concreet functiegericht doel en informeer kandidaten tijdig. Openbaar beschikbaar betekent niet vrij van AVG-regels.
- Artikel 22 AVG ziet op een uitsluitend geautomatiseerd besluit met rechtsgevolg of vergelijkbaar aanzienlijk effect, behoudens uitzonderingen en waarborgen. Niet ieder gebruik van een AI-assessment valt automatisch onder dat verbod.
- De gewijzigde AI Act stelt de algemene verplichtingen van hoofdstuk III, afdelingen 1–3, voor Annex III-hoogrisicosystemen zoals relevante wervingssystemen uit tot 2 december 2027. De huidige AVG-plichten blijven gelden.
Bouw het dossier rond de vacature
Begin met de functie-eisen. Welke gegevens zijn nodig om die eisen te toetsen? Een cv, relevante ervaring en een manier om contact op te nemen zijn vaak voldoende voor de eerste ronde. Vraag een referentie of diploma pas wanneer dat voor de fase nodig is. Noteer per stap wie de gegevens gebruikt en welk besluit erop volgt. Een kandidaat die voor twee functies solliciteert, hoeft niet automatisch zichtbaar te worden voor alle managers. De beginselen van dataminimalisatie en doelbinding bieden een bruikbare toets.
Kies de artikel 6-grondslag per verwerking. Gerechtvaardigd belang kan relevant zijn voor een proportionele selectie, maar vraagt een belangenafweging. Een verwerking kan in een concreet geval noodzakelijk zijn om op verzoek van de kandidaat stappen vóór een overeenkomst te zetten; artikel 6 lid 1 onder b is geen algemene vrijbrief voor iedere achtergrondcontrole. Een wettelijke verplichting kan een specifieke controle dragen als een sectorregel die werkelijk voorschrijft. Maak geen algemeen toestemmingsvakje tot de basis voor een onvermijdelijke selectiehandeling: de kandidaat kan in de afhankelijke verhouding mogelijk niet vrij weigeren. De gids over rechtsgronden helpt bij de keuze.
Het formulier moet ruimte bieden voor een passende motivatie zonder kandidaten naar gevoelige details te duwen. Informeer hoe lang gegevens bewaard worden, welke systemen en recruiters ze zien, of een externe assessmentpartij meedoet, en hoe verzoeken kunnen worden ingediend. Maak de privacyinformatie beschikbaar op of vóór het verzamelen. Een link achter een sollicitatieknop die pas na inzending verschijnt, is te laat voor die gegevens. Gebruik begrijpelijke taal en geef een bereikbaar contactpunt.
Gezondheid, identiteit en referenties
De AP legt uit dat een werkgever in een normaal sollicitatiegesprek niet naar ziekte of vroegere verzuimgegevens mag vragen. Medische keuringen hebben eigen wettelijke voorwaarden en rollen; een hiring manager ontvangt niet zomaar medische details. Ook zwangerschap is geen legitieme selectievariabele. Een kandidaat kan zelf gevoelige informatie delen; behandel die informatie dan niet automatisch als nodig voor de beoordeling en voorkom onnodige verspreiding. De uitleg over bijzondere persoonsgegevens helpt artikel 9 te onderscheiden van gewone persoonsgegevens.
Vraag in de sollicitatiefase geen standaard paspoortkopie of BSN voor een eenvoudige eerste beoordeling. Bij daadwerkelijke indiensttreding gelden specifieke identiteits- en loonadministratieregels; de werkgever moet dan de daarvoor wettelijk vereiste gegevens verwerken en de officiële AP-uitleg over identiteitsbewijs bij werk volgen. Geef niet het onjuiste algemene advies om BSN en pasfoto op een wettelijk vereiste werkgeverskopie altijd af te schermen. Beoordeel een tijdelijke uitzend- of inleenrelatie afzonderlijk. Voor het wervingsdossier is een notitie ‘identiteit gecontroleerd’ mogelijk relevanter dan het bewaren van het document zelf, als controle op die fase nodig is.
Contact opnemen met een referent is ook verwerking van persoonsgegevens van kandidaat én referent. Vertel wanneer u referenties wilt bellen en vraag de kandidaat om een actueel contactpunt. Een oud leidinggevende zonder waarschuwing benaderen kan de kandidaat schaden en levert niet automatisch betrouwbare informatie op. Leg alleen relevante feiten en de bron vast, geef de kandidaat waar passend gelegenheid onjuistheden te corrigeren en verwijder losse notities volgens het dossierschema. Controleer ook of een externe recruiter namens u handelt of voor eigen plaatsingsdoelen verantwoordelijke is; de factuur zegt weinig over de AVG-rol.
Socialmediaonderzoek met een duidelijk doel
Een openbaar profiel is geen open personeelsdossier. Bepaal vooraf welke informatie voor de functie wezenlijk is, welke bron u raadpleegt en waarom een minder ingrijpende vraag aan de kandidaat niet volstaat. Informeer de kandidaat over de screening en de soort bronnen. Een professioneel profiel met werkervaring kan relevant zijn; privéfoto’s, politieke uitingen, gezondheid of familiegegevens zijn dat meestal niet. Voorkom dat een recruiter ongevraagd screenshots deelt in groepsmail. Schrijf alleen op welke functiegerelateerde observatie in de beslissing is gebruikt en waar die vandaan kwam.
Denk aan vertekening. Profielen zijn niet altijd actueel, namen komen dubbel voor en sociale activiteit verschilt per persoon. Als een gevonden bericht een afwijzing kan beïnvloeden, verifieer identiteit en context en geef waar passend ruimte voor reactie. Screening ‘voor de zekerheid’ van alle kandidaten kan disproportioneel zijn wanneer slechts één specifieke integriteitsvoorwaarde relevant is. De AP benadrukt bij sollicitaties dat werkgevers zorgvuldig met verzamelde informatie moeten omgaan. Uw eigen beoordelingscriteria moeten toetsbaar zijn, niet een achteraf bedachte rechtvaardiging voor nieuwsgierigheid.
Bewaren na afwijzing of aanname
De AP noemt het gebruikelijk dat een afgewezen sollicitatie uiterlijk vier weken na einde van de procedure wordt verwijderd. Met toestemming om voor een latere vacature in beeld te blijven noemt de AP maximaal één jaar een redelijke termijn. Presenteer deze waarden als regulatorische praktijkrichtlijnen bij artikel 5 lid 1 onder e AVG, niet als harde in de AVG genoemde maxima voor elke procedure of ieder geschil. Als een concrete rechtsvordering of andere toepasselijke plicht langere bewaring nodig maakt, documenteer precies welke stukken en waarom; houd niet het hele dossier ‘voor het geval dat’ onbeperkt vast. De gids bewaartermijnen helpt die uitzonderingen te ordenen.
Een talentpool vraagt een afzonderlijke keuze: leg uit welke vacatures of functies relevant zijn, wie kandidaten benadert, hoe lang gegevens blijven en hoe iemand intrekt. Een standaard aangevinkt vakje in de sollicitatieflow is geen geldige toestemming. Laat toestemming weigeren zonder nadeel voor de huidige vacature. Een kandidaat die is aangenomen, gaat niet simpelweg met het hele wervingsarchief naar het personeelsdossier. Selecteer wat voor de arbeidsrelatie en wettelijke plichten nodig is; verwijder oude assessments, afgewezen referenties en irrelevante notities. De toestemmingsvoorbeelden helpen een optionele talentpoolkeuze te formuleren.
Maak opschoning technisch echt. Controleer e-mailbijlagen, gedeelde mappen, kalendernotities, exports uit vacaturebanken en kopieën bij managers. Een ATS kan kandidaten op ‘gearchiveerd’ zetten terwijl de persoonsgegevens nog doorzoekbaar blijven. Vraag de leverancier wat na de ingestelde termijn uit actieve opslag en back-ups gebeurt, en verifieer dat met een proefkandidaat. Documenteer verwijdering zonder onnodig een nieuw archief met volledige kandidaatdata aan te leggen. Maak uitzonderingen voor een concreet juridisch dossier klein en toegangsbeperkt.
Assessments en uitsluitend geautomatiseerde besluiten
Een online assessment kan inzicht geven in vaardigheden, maar kan ook gedrag, snelheid of persoonlijkheidskenmerken afleiden. Vraag of het instrument gevalideerd is voor het selectiecriterium, welke gegevens het registreert en of de uitkomst een advies of feitelijke afwijzing is. Als een score automatisch alle kandidaten onder een grens uitsluit zonder betekenisvolle menselijke betrokkenheid, kan artikel 22 AVG in beeld komen wanneer de beslissing rechtsgevolg of vergelijkbaar aanzienlijk effect heeft. Artikel 22 kent uitzonderingen en waarborgen; menselijke tussenkomst is niet slechts een knop ‘goedkeuren’ achteraf. De AP bespreekt online assessments en geautomatiseerde besluitvorming.
Een mens die werkelijk kan afwijken, moet de informatie begrijpen en nieuwe relevante feiten kunnen meewegen. Vraag hoe kandidaten uitleg krijgen, een fout kunnen aanvechten en een nieuwe beoordeling aanvragen. Controleer op indirecte discriminatie, toegankelijkheid en de relatie tussen gemeten gedragsdata en de functie. Een DPIA is onder artikel 35 nodig als de voorgenomen verwerking waarschijnlijk hoog risico oplevert; een ingrijpende grootschalige scoring kan die beoordeling opwerpen. Een generieke leveranciersverklaring ‘AI eerlijk’ vervangt noch de AVG-toets noch een eigen validatie. De gids voor DPIA-stappen helpt de voorafgaande risicoanalyse.
AI Act: huidige status voor werving
De AI Act noemt in Annex III AI-systemen voor onder meer werving, selectie en beoordeling van kandidaten als mogelijke hoogrisicocategorie. Classificatie hangt af van het concrete gebruik en de uitzonderingssystematiek van artikel 6. Verordening (EU) 2026/1744, in werking sinds 27 juli 2026, heeft de toepassing van de algemene verplichtingen van hoofdstuk III, afdelingen 1–3 voor artikel 6 lid 2/Annex III-systemen verschoven naar 2 december 2027. Schrijf dus niet dat alle hoogrisico-eisen sinds augustus 2026 op elke cv-filter van toepassing zijn. Andere reeds geldende bepalingen en de AVG blijven relevant; leg de feitelijke toepassing en rol van aanbieder en gebruiker vast. Zie ook de gids over AI Act-hoogrisicosystemen.
Een inkoopproef kan nu al waardevol zijn. Geef leveranciers hetzelfde fictieve kandidaatprofiel, vraag welke kenmerken de score sturen en laat een recruiter een foutieve uitkomst corrigeren. Vraag welke gegevens voor training of verbetering worden gebruikt, welke logs beschikbaar zijn en of data buiten de EER toegankelijk zijn. Beschrijf aan kandidaten helder wat in de selectie gebeurt. Koopt u alleen een kalenderplanner met een AI-functie, dan volgt daaruit niet vanzelf de classificatie van een selectiesysteem. Kijk naar de bedoeling en inzet, niet naar het woord ‘AI’ op de verkoopsite.
Wervingstools en verwerkersrelaties
Een ATS die uitsluitend namens uw organisatie kandidaten beheert kan verwerker zijn. Een vacaturebank die eigen profielen en aanbevelingen aan meerdere werkgevers aanbiedt, kan eigen doelen hebben; een assessmentpartij kan weer een andere rol vervullen. Onderzoek per gegevensstroom wie doel en wezenlijke middelen bepaalt. Voor een verwerker verlangt artikel 28 een schriftelijk contract of andere bindende rechtshandeling krachtens Unie- of lidstaatrecht met instructies, beveiliging, subverwerkers, bijstand en exit. Na teruggeven moet de verwerker bestaande kopieën wissen tenzij toepasselijk Unie- of lidstaatrecht hem tot bewaren verplicht. Maak praktische afspraken over exports en back-ups zonder een fictieve onmiddellijke wettelijke verwijdertermijn. De verwerkersovereenkomstgids werkt deze punten uit.
Een leverancier kan automatische bewaartermijnen aanbieden, maar u blijft verantwoordelijk voor de gekozen termijn en de inhoud van het kandidatenbericht. Vraag bij de selectie wie gegevens uit socialmedia-imports of assessments kan bekijken en of de afwijzingsreden kan worden gereconstrueerd. Een systeem dat alleen een totaalscore bewaart, kan bij een inzageverzoek te weinig context bieden. Bewaar tegelijk niet méér profiel- of gedragsdata dan nodig. Maak proefafspraken over export en beëindiging voordat u echte kandidaten overzet.
Rechten en interne afhandeling
Sollicitanten kunnen inzage, rectificatie en onder voorwaarden verwijdering vragen. Een afgewezen kandidaat mag weten welke persoonsgegevens over hem zijn verwerkt, ook wanneer die in gespreksnotities staan. Bescherm tegelijk de rechten en vrijheden van anderen, bijvoorbeeld de identiteit van een referent of beoordelingen over meerdere kandidaten, met een gerichte toets. In beginsel antwoordt u binnen één maand na ontvangst; een verlenging onder artikel 12 lid 3 heeft eigen voorwaarden en tijdige kennisgeving. Als u niet op het verzoek ingaat, meldt u de redenen zonder onredelijke vertraging en uiterlijk binnen één maand, plus klacht- en rechterlijke route volgens lid 4. De gids over inzage helpt het verzoek afbakenen.
Leg de wervingsstromen en bewaarroutes in het verwerkingsregister vast voor zover artikel 30 op de activiteit van toepassing is. Wijs intern een eigenaar voor kandidatenverzoeken aan. De recruiter ziet het ATS, maar een hiring manager kan daarnaast notities en e-mails hebben. Verzamel gegevens gecontroleerd, corrigeer feitelijke fouten en leg uit welke bewaarexceptie eventueel geldt. Een kandidaat hoeft geen juridisch artikel te noemen om een AVG-verzoek te doen. Zorg dat een verwijderverzoek niet alleen tot ‘account deactiveren’ leidt als ook kopieën in andere systemen moeten worden verwijderd.
FAQ
Zijn vier weken en één jaar wettelijke maximumtermijnen?
Niet als algemene letterlijk in de AVG geschreven termijnen. De AP noemt verwijderen van een afgewezen sollicitatie uiterlijk na vier weken gebruikelijk en noemt met toestemming voor later contact maximaal één jaar redelijk. Kies en documenteer een termijn die bij uw doel past, met een concrete beperkte uitzondering waar een andere plicht of rechtsvordering dat vergt.
Mag ik een sollicitant op sociale media screenen?
Alleen met een concreet functiegericht doel, passende grondslag, dataminimalisatie en tijdige informatie. Een openbaar profiel is niet vrij van de AVG. Leg relevante, geverifieerde informatie vast en vermijd privé- of bijzondere gegevens zonder toepasselijke juridische basis.
Mag een AI-tool iemand automatisch afwijzen?
Onder artikel 22 AVG vraagt een uitsluitend geautomatiseerd besluit met rechtsgevolg of vergelijkbaar aanzienlijk effect een afzonderlijke toets, eventuele uitzondering en passende waarborgen. Een betekenisvolle menselijke beoordeling kan het proces veranderen, maar een formele klik is niet genoeg. Controleer ook discriminatie, transparantie en toepasselijke AI Act-bepalingen.
Zijn AI-wervingstools sinds augustus 2026 al volledig onder het hoogrisicoregime?
Nee. De in juli 2026 in werking getreden wijziging verschuift de algemene verplichtingen van AI Act hoofdstuk III, afdelingen 1–3 voor Annex III-systemen naar 2 december 2027, behoudens de specifieke uitzonderingen in de gewijzigde verordening. Classificatie is gebruiksafhankelijk. De AVG en andere al toepasselijke regels blijven nu gelden.
Mag ik een paspoortkopie in de sollicitatiefase vragen?
Niet als standaardvereiste voor gewone selectie. Onderzoek of identiteit op dat moment echt moet worden gecontroleerd en welke minder ingrijpende route volstaat. Bij daadwerkelijke indiensttreding kunnen wettelijke identificatie- en loonadministratieplichten juist een kopie met de vereiste gegevens voorschrijven; pas de regels voor die fase afzonderlijk toe.
Primaire bronnen: AP over sollicitaties en bewaartermijnen, AP over online assessments, AVG op EUR-Lex, AI Act wijziging Verordening (EU) 2026/1744 en AP over identiteitsbewijs bij werk.