Werft u personeel, dan heeft u een privacyverklaring voor sollicitanten nodig. Vanaf het eerste cv verwerkt u persoonsgegevens, en de AVG verplicht u om sollicitanten te vertellen welke gegevens u verzamelt, waarvoor, wie ze ziet en hoe lang u ze bewaart. Volgens de Autoriteit Persoonsgegevens is het gebruikelijk dat u de gegevens van afgewezen sollicitanten uiterlijk vier weken na de procedure verwijdert.
In het kort
- De informatieplicht uit artikel 13 AVG geldt ook voor sollicitanten. Dat kan in een aparte verklaring of in een eigen hoofdstuk van uw privacyverklaring.
- De verklaring moet beschikbaar zijn op het moment dat iemand solliciteert: bij de vacature of het sollicitatieformulier.
- Een BSN, een kopie van het identiteitsbewijs en gezondheidsgegevens vraagt u tijdens de sollicitatie niet.
- Gegevens langer bewaren dan vier weken na de procedure kan alleen met toestemming, en dan maximaal een jaar.
Heeft u een aparte privacyverklaring voor sollicitanten nodig?
Nee, apart hoeft niet. U mag sollicitanten informeren in een eigen hoofdstuk van de algemene privacyverklaring op uw website. Een aparte verklaring is wel overzichtelijker als u regelmatig werft, met een wervingsbureau werkt of sollicitatiesoftware gebruikt. Sollicitanten vinden dan direct wat voor hen geldt.
Belangrijker is de plek. Link naar de verklaring in elke vacaturetekst en bij het sollicitatieformulier. Solliciteert iemand per e-mail, dan verwijst u er in de ontvangstbevestiging naar.
Wat moet er in een privacyverklaring voor sollicitanten staan?
Een privacyverklaring voor sollicitanten bevat dezelfde onderdelen als elke privacyverklaring (artikel 13 AVG), toegespitst op de werving:
- Wie de werkgever is en hoe sollicitanten contact opnemen.
- Welke gegevens u verzamelt.
- Het doel en de grondslag.
- Wie de gegevens ziet, binnen en buiten uw organisatie.
- Of u sollicitanten online opzoekt, referenties belt of een assessment afneemt.
- Hoe lang u de gegevens bewaart.
- Welke rechten sollicitanten hebben, inclusief klagen bij de Autoriteit Persoonsgegevens.
Hieronder per onderdeel wat u opneemt, met voorbeeldformuleringen. Pas ze aan op uw eigen werkwijze; een zin die iets beschrijft wat u niet doet, is onjuist.
Welke gegevens en waarvoor
Noem wat sollicitanten zelf aanleveren en wat u tijdens de procedure vastlegt, zoals gespreksnotities. De grondslag is meestal dat de verwerking nodig is om op verzoek van de sollicitant een arbeidsovereenkomst voor te bereiden (artikel 6 lid 1 onder b AVG).
"Wij gebruiken uw cv, motivatiebrief en de aantekeningen uit de gesprekken om te beoordelen of u past bij de functie waarop u solliciteert."
Wie de gegevens ziet
Noem de functies die toegang hebben, geen namen. Werkt u met een wervingsbureau of sollicitatiesoftware, dan horen die er ook in. Sollicitatiesoftware is een verwerker: een partij die gegevens in uw opdracht verwerkt, en met wie u een verwerkersovereenkomst sluit (artikel 28 AVG).
"Uw sollicitatie wordt bekeken door de leidinggevende van de afdeling en door de medewerker die de werving coördineert. Wij beheren sollicitaties in een wervingssysteem dat voor ons draait op servers binnen de Europese Unie."
Online onderzoek, referenties en assessments
Zoekt u sollicitanten op internet op, dan moet u dat vooraf melden, bijvoorbeeld in de vacature. De Autoriteit Persoonsgegevens stelt daarbij dat u een goede, functiegerichte reden nodig heeft, dat u zich beperkt tot zakelijke informatie zoals een LinkedIn-profiel, en dat de sollicitant de gevonden informatie mag toelichten. Dat geldt ook voor openbare profielen.
"Voor deze functie kunnen wij uw openbare zakelijke profiel, zoals LinkedIn, bekijken. Gebruiken wij daaruit informatie in onze beoordeling, dan bespreken wij die met u."
Gebruikt u een online assessment dat automatisch een score of selectie geeft, dan vermeldt u dat ook, met uitleg over hoe het werkt (artikel 13 lid 2 onder f en artikel 22 AVG).
Bewaartermijn
Dit onderdeel lezen sollicitanten het vaakst, en het is het onderdeel dat het vaakst ontbreekt. De Autoriteit Persoonsgegevens noemt het in haar uitleg over sollicitanten gebruikelijk om gegevens uiterlijk vier weken na het einde van de procedure te verwijderen. Met toestemming van de sollicitant is langer bewaren mogelijk, tot maximaal een jaar.
"Krijgt u de functie niet, dan verwijderen wij uw gegevens uiterlijk vier weken na het einde van de procedure. Willen wij uw gegevens bewaren voor een toekomstige vacature, dan vragen wij u daar apart om. Geeft u toestemming, dan bewaren wij ze maximaal een jaar."
Welke gegevens mag u van sollicitanten niet vragen?
Volgens de Autoriteit Persoonsgegevens verwerkt u tijdens een sollicitatie meestal niet:
- het burgerservicenummer (BSN): pas nodig bij indiensttreding;
- een kopie van het identiteitsbewijs: u mag het origineel wel laten zien om de identiteit te controleren;
- gezondheidsgegevens, ook niet over eerder ziekteverzuim;
- andere bijzondere persoonsgegevens, zoals afkomst of religie;
- strafrechtelijke gegevens: waar dat voor de functie nodig is, vraagt u een verklaring omtrent het gedrag (VOG).
Een sollicitatievideo mag u niet verplicht stellen. Uit beelden zijn bijzondere persoonsgegevens af te leiden, en sollicitanten moeten ook op een andere manier kunnen solliciteren.
Voor sommige functies is screening wettelijk verplicht, bijvoorbeeld in de kinderopvang. Hoe dat in een sector met kinderen samenhangt met de rest van uw verwerkingen, leest u in het artikel over de privacyverklaring voor de kinderopvang.
Hoe vraagt u toestemming om een cv langer te bewaren?
Toestemming moet vrij gegeven zijn, en sollicitanten staan in een afhankelijke positie. Vraag de toestemming daarom los van de sollicitatie zelf, bijvoorbeeld met een apart, niet vooraf aangevinkt vakje of in de afwijzingsmail. Maak duidelijk dat nee zeggen geen gevolgen heeft voor de beoordeling.
Leg vast wanneer de toestemming is gegeven, en verwijder de gegevens als de termijn voorbij is of de sollicitant de toestemming intrekt. Intrekken moet even makkelijk zijn als geven (artikel 7 lid 3 AVG).
Wat verandert er als de sollicitant wordt aangenomen?
Bij indiensttreding wordt de sollicitant medewerker, en daarmee verandert het doel van de verwerking. U heeft dan wel een BSN en een kopie van het identiteitsbewijs nodig, voor de loonadministratie en de identificatieplicht. De gegevens gaan naar het personeelsdossier, met eigen bewaartermijnen.
Informeer nieuwe medewerkers daarom met een privacyverklaring voor personeel. Die gaat over salarisadministratie, verzuim, beoordelingen en de systemen die u voor personeel gebruikt, en is een ander document dan de verklaring voor sollicitanten.
Wat u nu kunt doen
Controleer of elke vacature en elk sollicitatieformulier een link naar uw privacyverklaring heeft, en of daarin een concrete bewaartermijn staat. Kijk daarna in uw mailbox en wervingssysteem of de gegevens van afgewezen sollicitanten ook echt na vier weken verdwijnen; dat lukt alleen als iemand die taak heeft.
De algemene onderdelen van een privacyverklaring vindt u in het overzicht van wat een privacyverklaring moet bevatten. Wilt u sollicitanten en klanten in één samenhangende verklaring informeren, dan kunt u een privacyverklaring laten opstellen die beide groepen dekt.
Dit artikel bevat algemene informatie en is geen persoonlijk juridisch advies. Of iets voor uw onderneming geldt, hangt af van uw specifieke situatie.