Bescherming van persoonsgegevens bij werving en basisprincipes
Human resources-afdelingen behoren tot de eenheden van een bedrijf die de meest intensieve en gevoelige persoonsgegevens verwerken. Van de publicatie van vacatures tot de interviewfase, en van technische tests tot referentiechecks; in dit proces worden naam, achternaam, contactgegevens, opleidingsachtergrond, medische verklaringen en referentiebeoordelingen van honderden kandidaten geregistreerd.
De AVG (Algemene verordening gegevensbescherming) verbiedt ten stelligste het willekeurig verzamelen en voor onbeperkte tijd archiveren van persoonsgegevens. Vooral het jarenlang bewaren van de cv's van afgewezen kandidaten in het wervingsproces onder het mom van "we bewaren ze in onze pool voor toekomstige functies", behoort tot de overtredingen waarvoor de Autoriteit Persoonsgegevens het vaakst administratieve boetes oplegt.
In dit artikel nemen we de wettelijke bewaartermijnen van kandidaatgegevens, cv's en referentiecheckrapporten, de periodieke vernietigingsregels en de technische en organisatorische maatregelen die bedrijven moeten nemen, onder de loep in overeenstemming met de principes van de AVG.
AVG Artikel 5 en 17: Doelbinding en verplichting tot gegevenswissing
Artikel 5 van de AVG regelt de algemene beginselen inzake de verwerking van persoonsgegevens, die verplicht moeten worden nageleefd. De belangrijkste van deze beginselen zijn:
- Verwerking voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden
- Toereikend ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt
- Bewaring in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is of zoals voorgeschreven in relevante wetgeving
Artikel 17 van de wet stelt bovendien uitdrukkelijk dat, wanneer de redenen voor de verwerking komen te vervallen, de persoonsgegevens ambtshalve of op verzoek van de betrokkene door de verwerkingsverantwoordelijke moeten worden gewist, vernietigd of geanonimiseerd.
De fundamentele juridische regel is hier: U kunt een gegeven niet voor altijd bewaren. Een gegeven kan alleen worden bewaard voor de minimale periode die nodig is om het doel waarvoor het is verzameld te realiseren. Zodra het doel is bereikt, vervalt de juridische geldigheid van dat gegeven.
Bewaartermijnen voor aangenomen en afgewezen kandidaten
Kandidaten van wie de gegevens tijdens het wervingsproces worden verzameld, worden juridisch gezien in twee afzonderlijke groepen verdeeld:
1. Aangenomen kandidaten
Het sollicitatieformulier, de interviewnotities en de referentiecheckrapporten van een aangenomen kandidaat worden overgedragen aan het personeelsdossier van de werknemer. De nationale arbeidswetgeving verplicht werkgevers een personeelsdossier bij te houden; hoe lang het dossier bewaard moet worden, wordt in de praktijk niet direct uit deze bepaling afgeleid, maar uit de algemene verjaringstermijnen en het recht om te procederen binnen het arbeidsrecht (bijvoorbeeld de verjaringstermijnen in claims voor ontslagvergoeding/opzegvergoeding en herplaatsingszaken). In de praktijk kunnen bedrijven daarom het personeelsdossier vele jaren (in de veelvoorkomende praktijk voor periodes tot 10 jaar) bewaren; de specifieke bewaartermijn moet door de juridisch adviseur van elk bedrijf worden geverifieerd.
2. Afgewezen kandidaten
Voor afgewezen kandidaten eindigt het verwerkingsdoel zodra de beslissing over de aanwerving voor de desbetreffende vacature definitief is. De werkgever heeft echter het recht op verweer tegen mogelijke beweringen van discriminatie, claims inzake schending van het beginsel van gelijke behandeling in de nationale arbeidswetgeving of geschillen rondom de aanwerving.
In deze context, en in overeenstemming met de besluiten van de Autoriteit Persoonsgegevens en de gevestigde rechtspraak:
- Als de kandidaat geen toestemming heeft gegeven: Mogen gegevens gedurende 6 maanden tot maximaal 1 jaar na afronding van het wervingsproces en de mededeling van afwijzing bewaard worden. Na deze periode moeten de gegevens worden gewist.
- Als de kandidaat toestemming heeft gegeven voor de talentenpool: Als de kandidaat tijdens de sollicitatie uit vrije wil expliciet toestemming heeft gegeven in de trant van "Ik ga akkoord met de bewaring van mijn cv en gegevens voor toekomstige geschikte functies", kan deze periode worden vastgesteld op maximaal 1 tot 2 jaar. Bewaartermijnen die de 2 jaar overschrijden, worden door de Autoriteit Persoonsgegevens als in strijd met het proportionaliteitsbeginsel beschouwd.
De juridische status van de gegevens van de referentiepersoon
Een kritiek detail dat tijdens het referentiecheckproces vaak over het hoofd wordt gezien, zijn de persoonsgegevens van de referentiepersoon. De naam, functietitel, de organisatie waar hij of zij werkt, het zakelijke e-mailadres, het telefoonnummer van de referentiepersoon en de persoonlijke beoordelingen over de kandidaat, zijn eveneens persoonsgegevens.
Hier ontstaat een dubbele verantwoordelijkheid:
Voordat de referentiepersoon antwoord geeft, moet deze beslist worden geïnformeerd door middel van een privacyverklaring en moet worden medegedeeld dat zijn of haar gegevens uitsluitend worden verwerkt ten behoeve van de evaluatie voor de aanwerving van de desbetreffende kandidaat. Indien de kandidaat niet wordt aangenomen, moeten de gegevens van de referentiepersoon samen met die van de kandidaat worden vernietigd aan het einde van de vastgestelde bewaartermijn.
Hoe stelt u een beleid voor bewaring en vernietiging van persoonsgegevens op?
Voor alle bedrijven die verplicht zijn om zich in te schrijven in het register van verwerkingsactiviteiten (Artikel 30), of die voldoen aan de criteria voor werknemersaantallen/financiële balansen, is het opstellen van een "Beleid inzake bewaring en vernietiging van persoonsgegevens" een wettelijke verplichting.
In een specifiek vernietigingsbeleid voor human resources-processen moeten absoluut de volgende onderwerpen zijn opgenomen:
- De wettelijke en feitelijke redenen voor het bewaren van kandidaatgegevens
- De technische methoden die worden toegepast bij het wissen, vernietigen of anonimiseren van gegevens
- De periodieke vernietigingstermijnen (volgens de wetgeving dient periodieke vernietiging uiterlijk om de 6 maanden te worden uitgevoerd)
- De afdelingen en functies die verantwoordelijk zijn voor de vernietigingsprocessen
- Het loggen en documenteren van de vernietigingshandelingen (registratie en een rapport van vernietiging)
Dit opgestelde beleid moet toegankelijk zijn op het intranet of in het documentatiesysteem van het bedrijf, en de wervingsteams moeten zich strikt aan deze regels houden.
Methoden voor wissen, vernietigen en anonimiseren
De regelgeving inzake de AVG definieert drie verschillende methoden voor het vernietigen van gegevens:
De verplichting van HR bij een verzoek van de kandidaat tot gegevenswissing (Artikel 15-22)
De artikelen 15-22 van de AVG kennen betrokkenen het recht toe te verzoeken dat persoonsgegevens die op hen betrekking hebben, worden gewist of vernietigd.
Een kandidaat kan nadat zijn of haar sollicitatie is afgewezen, of zelfs nog tijdens het proces, zich tot het bedrijf wenden en als volgt een verzoek indienen:
*"Ik verzoek om onmiddellijke verwijdering van mijn cv, interviewnotities en verzamelde referentiecheckregistraties die ik bij uw bedrijf heb ingediend."*
De werkgever, in de hoedanigheid van verwerkingsverantwoordelijke, is verplicht dit verzoek uiterlijk binnen één maand kosteloos af te handelen en de kandidaat een met redenen omkleed antwoord te geven, hetzij schriftelijk, hetzij in elektronische vorm.
Als er voor het bedrijf geen wettelijke verplichting bestaat om de gegevens te bewaren (zoals in het geval van een aanhangige rechtszaak), moet het verzoek onmiddellijk worden ingewilligd en moeten alle referentie- en cv-registraties van de kandidaat uit het systeem worden gewist. Bovendien, als de referentiegegevens bij een externe dienstverlener worden bewaard, moet de wis-instructie ook aan deze aanbieder worden doorgegeven.
Conclusie: Het belang van automatisering voor juridische veiligheid
Het handmatig bijhouden van kandidaatgegevens in Excel-spreadsheets, mailboxen of lokale computermapjes is vrijwel onmogelijk. Welke kandidaatgegevens 1 jaar geleden zijn verzameld, wiens expliciete toestemming is verlopen en welk referentiebestand moet worden vernietigd, is via handmatige processen niet te beheren.
AVG-conforme digitale referentiebeheerplatforms, zoals AuditCV.io, houden de bewaartermijnen automatisch bij. Zodra de vastgestelde wettelijke bewaartermijn verstrijkt, of wanneer de kandidaat diens toestemming intrekt ("Revoke"), wist of anonimiseert het systeem de gegevens automatisch. Deze automatisering is de meest effectieve waarborg die bedrijven beschermt tegen aanzienlijke administratieve boetes en reputatieschade.