De AVG vraagt niet om een toestemmingsvakje op iedere sollicitatie. De kern is dat je per doel bepaalt waarom je persoonsgegevens verwerkt, alleen verzamelt wat daarvoor nodig is en de gegevens verwijdert zodra je ze niet meer nodig hebt. Dat klinkt abstract, maar in recruitment komt het neer op concrete keuzes in je formulier, kandidaatdossier en bewaartermijn.
Join verkoopt een recruitmentsysteem met functies voor toestemming, export, anonimisering en verwijdering. Lees dit artikel daarom als praktische uitleg van een leverancier met een belang, niet als juridisch advies. Software maakt een werkgever niet automatisch AVG-conform. Je organisatie blijft bepalen welke grondslag, gegevens en termijn bij het recruitmentproces passen.
Begin bij het doel, niet bij het vakje
Een kandidaat die solliciteert, vraagt je om die sollicitatie te beoordelen. Artikel 6 van de AVG noemt verschillende grondslagen voor verwerking, waaronder stappen vóór het sluiten van een overeenkomst en het gerechtvaardigd belang. Welke grondslag past, hangt af van het doel en de omstandigheden. Leg die keuze vast voordat je een veld aan het sollicitatieformulier toevoegt.
Hetzelfde doel bepaalt welke gegevens je mag vragen. Voor een bezorger kan een geldig rijbewijs noodzakelijk zijn. Een standaardveld voor geboortedatum of een verplichte pasfoto is veel moeilijker te koppelen aan de beoordeling van de meeste functies. Het beginsel van minimale gegevensverwerking uit artikel 5 AVG maakt ‘misschien ooit handig’ geen voldoende reden.
Zodra het doel verandert, moet je opnieuw kijken. Een afgewezen kandidaat bewaren voor een toekomstige vacature is iets anders dan de huidige sollicitatie afhandelen. Een profiel toevoegen aan een talentpool vraagt daarom om een afzonderlijke keuze, duidelijke informatie en een grondslag die bij dat nieuwe doel past.
Drie plekken waar de AVG concreet wordt
Bewaartermijn. De AVG bevat geen universeel aantal maanden voor ieder kandidaatdossier. De Nederlandse toezichthouder geeft wel een duidelijke praktijklijn. De Autoriteit Persoonsgegevens noemt verwijdering uiterlijk vier weken na het einde van de procedure gebruikelijk wanneer iemand de functie niet krijgt. Met toestemming kan een werkgever de gegevens langer bewaren; de AP noemt maximaal één jaar na afloop van de procedure een redelijke termijn. Zet de gekozen termijn in je privacyinformatie en laat hem ook werkelijk aflopen.
Privacyrechten. Een kandidaat kan vragen welke gegevens je verwerkt en kan onder voorwaarden om correctie of verwijdering vragen. De AP legt het recht op inzage en het recht op gegevens wissen afzonderlijk uit. Artikel 12 AVG geeft organisaties in beginsel één maand om op een verzoek te reageren. Wie cv’s, notities en e-mails over losse inboxen heeft verspreid, moet eerst uitzoeken waar het dossier überhaupt staat voordat die termijn nuttig kan worden gebruikt.
Leveranciers. Besteed je opslag of onderdelen van het recruitmentproces uit, dan verdwijnt je verantwoordelijkheid niet. De werkgever bepaalt het doel en is verwerkingsverantwoordelijke; het recruitmentsysteem verwerkt gegevens namens de werkgever. Artikel 28 AVG vereist afspraken over onder meer instructies, beveiliging, hulp bij verzoeken en wat er aan het einde van de dienstverlening met de gegevens gebeurt. Lees daarom de verwerkersovereenkomst van Join of die van een andere leverancier voordat je tekent.
Waarom toestemming niet alles oplost
Toestemming voelt aantrekkelijk omdat het antwoord zichtbaar is: ja of nee. Maar geldige toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Intrekken moet bovendien net zo eenvoudig zijn als geven. Een vooraf aangevinkt vakje of één algemene zin voor de sollicitatie, talentpool en marketing tegelijk voldoet daar niet aan.
Toestemming is ook niet automatisch de juiste grondslag voor de lopende sollicitatie. De kandidaat moet kunnen solliciteren zonder een optioneel tweede doel te accepteren. Houd de keuzes daarom uit elkaar: noodzakelijke verwerking voor de procedure aan de ene kant, eventueel bewaren voor toekomstige functies aan de andere.
Dat onderscheid voorkomt een praktisch probleem. Als iemand toestemming voor de talentpool intrekt, moet je dat extra gebruik kunnen stoppen zonder het volledige dossier van een nog lopende sollicitatie verkeerd te behandelen. Eén vakje voor alles maakt zo’n verzoek onnodig lastig.
Een werkbare inrichting voor een klein team
Begin met vier controles voordat de volgende vacature live gaat:
- Schrap formuliergegevens die geen rol spelen in de selectie.
- Leg per doel de grondslag en bewaartermijn vast in je privacyinformatie.
- Maak toestemming voor een talentpool afzonderlijk, gedateerd en eenvoudig intrekbaar.
- Test een inzage- en verwijderverzoek met een fictief kandidaatprofiel.
Daarna pas komt de software. In Join staat de toestemmingsstatus bij het kandidaatprofiel. Een team kan dossiergegevens exporteren, persoonsgegevens anonimiseren of het profiel verwijderen en een bewaartermijn instellen. Dat zijn handelingen die je kunt controleren; ze vervangen de juridische keuzes van de werkgever niet. De uitgebreidere productbeoordeling staat op de pagina over werven volgens de AVG.
De nuttigste proef is eenvoudig: dien intern een inzageverzoek in voor een testkandidaat en volg waar de gegevens vandaan moeten komen. Als dat een project wordt langs inboxen, downloads en spreadsheets, zit het grootste AVG-risico niet in de tekst van je privacyverklaring. Het zit in het proces dat die verklaring moet uitvoeren.
