De juridische betekenis van uitdrukkelijke toestemming bij werving
Wervingsprocessen zijn dynamische trajecten waarbij werkgevers uitgebreide persoonsgegevens over kandidaten verzamelen. Elk gegevenspunt, van de informatie op het cv van een kandidaat tot interviewopnames, testresultaten en referentiebeoordelingen, valt onder de bescherming van de AVG (Algemene verordening gegevensbescherming).
De meest gemaakte fout door human resources-afdelingen in AVG-praktijken, is de aanname dat het simplweg indienen van een cv door de kandidaat betekent dat hij of zij "stilzwijgend instemt met de verwerking van alle soorten gegevens en met het contacteren van referenties". In de wetgeving inzake gegevensbescherming is stilzwijgende (impliciete) toestemming echter niet geldig. Om een kandidaat aan een referentiecheck te kunnen onderwerpen en om contact te kunnen opnemen met voormalige werkplekken, moet er een duidelijke en ondubbelzinnige wilsverklaring zijn die voldoet aan de eisen van de wet.
In deze uitgebreide gids zullen we onderzoeken hoe een geldige tekst voor uitdrukkelijke toestemming wordt opgesteld in overeenstemming met de leidende besluiten van de Autoriteit Persoonsgegevens, bespreken we de juridische subtiliteiten en delen we gebruiksklare tekstsjablonen die u direct in uw bedrijf kunt gebruiken.
3 fundamentele elementen van een geldige uitdrukkelijke toestemming
In Artikel 4, punt 11 van de AVG wordt toestemming als volgt gedefinieerd:
*"Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting..."*
Volgens deze wettelijke definitie moet een formulier voor uitdrukkelijke toestemming, om als geldig te worden beschouwd tijdens audits en in rechtszaken, cumulatief de volgende drie elementen bevatten:
Het juridische verschil tussen de privacyverklaring en het toestemmingsformulier
De grootste procedurele fout die wordt gemaakt door HR- en juridische afdelingen van veel bedrijven, is het proberen te combineren van de privacyverklaring en het formulier voor uitdrukkelijke toestemming in één document, of het accepteren van beide via één enkel aanvinkvakje (checkbox).
Conform de gevestigde leidende besluiten van de Autoriteit Persoonsgegevens moeten deze twee juridische handelingen strikt van elkaar gescheiden zijn:
- Privacyverklaring (Artikel 13): Is een wettelijke plicht van de verwerkingsverantwoordelijke. Het is niet afhankelijk van goedkeuring, toestemming of acceptatie door de andere partij; het is een eenzijdige en bindende verstrekking van informatie. Er mag van de kandidaat geen verklaring worden geëist in de zin van "Ik ga akkoord met de privacyverklaring"; de bewoording "Ik heb de privacyverklaring gelezen, begrepen en ben geïnformeerd over mijn rechten" is voldoende.
- Formulier voor uitdrukkelijke toestemming (Artikel 6 lid 1 onder a en Artikel 9 lid 2 onder a): Dit is een uitzonderlijke wilsverklaring die in werking treedt wanneer er geen andere legitieme wettelijke gronden voor gegevensverwerking (uitdrukkelijk bepaald in de wet, direct gerelateerd aan het sluiten of uitvoeren van een overeenkomst, wettelijke verplichting van de verwerkingsverantwoordelijke) aanwezig zijn. Het moet absoluut als een afzonderlijke tekst worden gepresenteerd, en moet worden verkregen door middel van een afzonderlijk selectievakje en een actieve, bevestigende handeling van de kandidaat (door een niet vooraf aangevinkt, leeg vakje aan te vinken).
Het beginsel dat uitdrukkelijke toestemming geen voorwaarde voor sollicitatie mag zijn
Een van de meest kritieke regels die consequent wordt benadrukt in de besluiten van de Autoriteit Persoonsgegevens, is het verbod om toestemming te koppelen aan de uitvoering van een dienst of overeenkomst.
Op een sollicitatieportaal of -formulier mag de kandidaat niet de volgende verplichting worden opgelegd:
*"Indien u niet akkoord gaat met het toestemmingsformulier, kan uw sollicitatie niet worden voltooid en zal deze niet in overweging worden genomen."*
Voor een basis-sollicitatie is het immers noodzakelijk en legitiem in het kader van de nationale arbeidswetgeving om naam, achternaam, contactgegevens, en opleidings- en werkervaring van de kandidaat te verwerken met het oog op het sluiten van een arbeidsovereenkomst. Deze basisgegevens kunnen ook zonder uitdrukkelijke toestemming worden verwerkt op basis van de noodzakelijkheid voor de uitvoering van een overeenkomst. Het bellen van voormalige werkplekken van de kandidaat (referentiecheck) of het gedurende 2 jaar bewaren van gegevens in een talentenpool, is echter een aanvullende activiteit en is gebaseerd op uitdrukkelijke toestemming. Zelfs als de kandidaat geen toestemming geeft voor de referentiecheck, mag hem of haar niet het recht worden ontnomen om te worden beoordeeld op basis van diens huidige informatie.
De rol van advies- en headhuntersbureaus bij de werving
Wervingsprocessen worden vaak uitgevoerd via externe advies- of headhuntersbureaus. In dit scenario wisselen de persoonsgegevens van de kandidaat tussen meerdere verwerkingsverantwoordelijken:
- Werving & Selectiebureau: Treedt op als verwerkingsverantwoordelijke in diens hoedanigheid als de eerste instantie die de gegevens van de kandidaat verzamelt en een voorlopige referentiecheck uitvoert.
- Het werkgevende bedrijf: Is het klantbedrijf dat de definitieve wervingsbeslissing neemt en is een onafhankelijke verwerkingsverantwoordelijke.
Er moet absoluut een verwerkersovereenkomst (DPA) tussen deze twee instellingen worden ondertekend, en in het toestemmingsformulier dat aan de kandidaat wordt voorgelegd, moet expliciet worden vermeld met welke klantbedrijven de gegevens en het referentierapport kunnen worden gedeeld. Het zonder medeweten van de kandidaat lekken van het referentierapport aan derden is een ernstige schending van de wetgeving.
Bijzondere categorieën van persoonsgegevens en het referentieproces
Tijdens referentiechecks moet ten stelligste worden voorkomen dat voormalige managers ingaan op gevoelige onderwerpen zoals de gezondheid van de kandidaat, vakbondslidmaatschap, of politieke of filosofische opvattingen. Krachtens Artikel 9 is de verwerking van bijzondere categorieën van persoonsgegevens onderworpen aan veel striktere voorwaarden en vereist het een aparte opzet voor uitdrukkelijke toestemming.
In referentieformulieren en vragensets is er geen ruimte voor vragen over:
- "Of de kandidaat zich vaak ziek meldt of een chronische ziekte heeft"
- "De gezinssituatie, burgerlijke staat of zwangerschapsplannen van de kandidaat"
- "Religieuze overtuigingen, etnische afkomst of politieke opvattingen"
Zelfs als de referentiepersoon spontaan opmerkingen maakt over deze onderwerpen, mogen deze verklaringen niet worden opgenomen in de notulen of rapporten en moeten ze onmiddellijk worden vernietigd.
Sjabloonvoorbeeld van een referentie-toestemmingsformulier voor de kandidaat
De volgende tekst is een juridisch sluitend sjabloon dat u direct in uw documenten of sollicitatieportals kunt integreren bij het verkrijgen van toestemming voor referentiechecks van kandidaten in uw wervingsprocessen:
FORMULIER VOOR UITDRUKKELIJKE TOESTEMMING VAN DE KANDIDAAT INZAKE HET REFERENTIECHECKPROCES
Ik heb de door [Bedrijfsnaam] (“Bedrijf”) aan mij verstrekte “Privacyverklaring
inzake de Verwerking van Persoonsgegevens van Kandidaat-werknemers” gelezen,
begrepen en ik ben uitgebreid geïnformeerd over mijn rechten in het kader van
de AVG (Algemene verordening gegevensbescherming).
In dit kader;
Voor het doel van het verifiëren van mijn geschiktheid voor de vacature waarop ik
heb gesolliciteerd, mijn eerdere professionele ervaring, mijn taken- en
verantwoordelijkheidsgebieden, mijn werkdiscipline, mijn vermogen om in een team
te werken en mijn werkoutput;
1. Ga ik ermee akkoord dat er telefonisch, via e-mail of via digitale
referentieverificatiesystemen contact wordt opgenomen met de referentiepersonen
(mijn voormalige managers, afdelingsverantwoordelijken en collega's) die door
mij zijn opgegeven in het sollicitatieformulier of in mijn cv,
2. Ga ik ermee akkoord dat aan deze personen vragen worden gesteld met betrekking
tot mijn eerdere arbeidsrelaties, prestaties, competenties en vertrekproces, en
dat de objectieve professionele beoordelingsgegevens die zij verklaren, worden
verzameld en verwerkt door medewerkers van het Bedrijf ten behoeve van het
nemen van een wervingsbeslissing,
3. Ga ik ermee akkoord dat het op te stellen referentieverificatie- en
consistentierapport versleuteld wordt bewaard op beveiligde servers binnen
het Bedrijf gedurende de maximale bewaartermijn die is vastgelegd in het
Beleid inzake bewaring en vernietiging van persoonsgegevens en de wetgeving.
Ik GEEF UITDRUKKELIJK TOESTEMMING zonder enige druk of dwang, uit mijn eigen
vrije wil.
[ ] Ik ga akkoord (Kruis aan of vink aan)
Naam en Achternaam kandidaat : ....................................................
Identificatienummer / BSN : ....................................................
Datum : ...... / ...... / 202...
Handtekening / Digitaal Akkoord: ..................................Privacyverklaring en toestemmingsformulier voor de referentiepersoon
Een andere partij die tijdens het referentieproces niet mag worden vergeten, is de referentiepersoon zelf. De naam, functietitel, bedrijfsnaam, het zakelijke telefoonnummer, e-mailadres en de opvattingen van de referentiemanager over de kandidaat, zijn eveneens persoonsgegevens. De volgende tekst moet worden getoond bij het openen van de digitale link die naar de referentiepersoon wordt gestuurd:
PRIVACYVERKLARING EN TOESTEMMINGSFORMULIER GEGEVENSVERWERKING REFERENTIEPERSOON
Geachte heer/mevrouw,
In het kader van zijn/haar sollicitatie bij ons bedrijf, heeft [Naam en Achternaam kandidaat]
u opgegeven als referentie om informatie in te winnen over zijn/haar eerdere werkervaring
en competenties.
Uw identiteits-, contact-, en functiegegevens, bedrijfsgegevens en objectieve beoordelingsgegevens
over de kandidaat die u in dit formulier deelt, zullen in overeenstemming met de AVG
uitsluitend worden verwerkt voor het beoordelen van het wervingsproces van voornoemde kandidaat.
Deze gegevens zullen niet met derden worden gedeeld en zullen aan het einde van de wettelijke
bewaartermijnen veilig worden vernietigd in overeenstemming met het Beleid inzake bewaring
en vernietiging van persoonsgegevens van ons bedrijf.
Ik bevestig de juistheid van de informatie die ik deel en ga ermee akkoord dat deze gegevens
worden verwerkt uitsluitend voor het hierboven vermelde legitieme doel.
[ ] Ik ga akkoord en ga verderHet recht en de procedure voor het intrekken van toestemming (Revocation)
Aangezien uitdrukkelijke toestemming een recht is dat afhankelijk is van de wil van de betrokkene, kan deze op elk moment worden ingetrokken. Volgens de AVG-wetgeving moet de gegevensverwerking onmiddellijk worden stopgezet zodra de betrokkene meedeelt zijn of haar toestemming in te trekken.
Bedrijven moeten de volgende procedures bieden voor het intrekken van toestemming:
- Gemakkelijke toegang: De kandidaat moet een methode worden geboden om zijn of haar toestemming even gemakkelijk in te trekken als de methode waarmee deze werd gegeven (bijv. een webformulier dat met één klik opent of een speciaal e-mailadres).
- Stopzetten van het proces: Wanneer de toestemming wordt ingetrokken, moeten referenties die nog niet zijn gebeld, worden geannuleerd en moeten tussentijdse gegevens die al zijn verzameld, onmiddellijk worden gewist.
- Beginsel van geen terugwerkende kracht: Het intrekken van de toestemming maakt eerdere, reeds uitgevoerde en rechtmatige gegevensverwerkingsactiviteiten niet ongeldig; het zet echter per direct een punt achter toekomstige verwerkingen.
Stap-voor-stap controlelijst voor uitdrukkelijke toestemming voor HR-teams
Human resources-afdelingen die juridische risico's tot nul willen reduceren, moeten vóór elke referentiecheck de volgende checklist doornemen:
Conclusie: De digitale infrastructuur die juridische risico's naar nul reduceert
Het is onmogelijk om met succes door AVG-audits te komen voor referentieprocessen die worden uitgevoerd via papieren formulieren, WhatsApp-berichten of telefoongesprekken. Het is via deze methoden namelijk onbewijsbaar wanneer de toestemming precies is verkregen, of de tekst volledig aan de kandidaat is getoond, en of de referentiepersoon adequaat is geïnformeerd.
AuditCV.io presenteert tijdens het referentieverzamelingsproces stap-voor-stap een digitale expliciete toestemmingsverklaring voorzien van een tijdstempel aan de kandidaat, begroet de referentiepersonen met privacyverklaringen die volledig in overeenstemming zijn met de wet, en biedt zowel de kandidaat als de referentiegever de mogelijkheid om met één klik hun toestemming in te trekken (revoke). Hierdoor reduceren bedrijven het risico op administratieve boetes onder de AVG tot nul, terwijl ze een prestigieuze en professionele wervingservaring bieden.