HR & Werving
GDPR in HR en werving: sollicitantengegevens, bewaartermijnen voor cv's, talentpools, AI in de selectie en personeelsdossiers.
Rekrutering en GDPR: een praktische checklist voor werkgevers
Wil je je hele wervingsproces in één keer doorlichten, begin dan hier.
De zes eerste stappen
Volg ze in deze volgorde, van gegevens verzamelen tot je documentatie controleren.
- 1 Stap 1Welke persoonsgegevens mag je verzamelen van sollicitanten? Bepaal eerst welke kandidaatgegevens je verzamelt en of je ze echt nodig hebt.
- 2 Stap 2Wanneer en hoe moet je kandidaten informeren over het gebruik van hun persoonsgegevens? Zorg dat kandidaten de vereiste privacyinformatie op het juiste moment krijgen.
- 3 Stap 3Privacyverklaring voor kandidaten: wat moet erin staan? Stel de privacyverklaring voor kandidaten op of herzie ze.
- 4 Stap 4Hoelang mag je het cv van een kandidaat bewaren? Leg passende bewaartermijnen vast voor je rekruteringsgegevens.
- 5 Stap 5Wat gebeurt er met sollicitatiegegevens wanneer de kandidaat wordt aangeworven? Regel de overgang van rekrutering naar tewerkstelling en het privacybeleid voor personeel.
- 6 Stap 6Welke GDPR-documenten heeft een werkgever nodig? Sluit af met een overzicht van de GDPR-documentatie die je als werkgever nodig hebt.
Wanneer het speelt
Specifieke onderwerpen die je erbij pakt zodra ze in jouw proces opduiken.
Hoe beheers je gezondheidsrisico's op het werk zonder sollicitanten naar medische details te vragen? arrow_forward
Veilig werken kan gezondheidsinformatie vereisen, maar rechtvaardigt geen onbeperkte medische vragen bij een sollicitatie. Lees wat je als werkgever moet weten en wat bij de arbeidsarts hoort.
Mag ik de eID van een werknemer elektronisch uitlezen? arrow_forward
Niet als automatische standaardwerkwijze: gebruik een kaartlezer alleen met een passende wettelijke basis en lees uitsluitend de gegevens uit die voor het concrete doel noodzakelijk zijn.
Welke gegevens van de identiteitskaart van een werknemer mag ik registreren? arrow_forward
Registreer alleen de gegevens die noodzakelijk zijn voor een concreet en rechtmatig HR-doel of een wettelijke verplichting; het feit dat een gegeven op de kaart staat, is niet voldoende.
Mag ik een kopie van de identiteitskaart van een werknemer bewaren? arrow_forward
Normaal niet: bewaar alleen een kopie wanneer een specifieke wettelijke regel dit vereist en een visuele controle of het noteren van noodzakelijke gegevens niet volstaat.
Mag ik een werknemer vragen zijn identiteitskaart te tonen? arrow_forward
Ja, wanneer dat noodzakelijk is om de identiteit te controleren, maar dit geeft je niet automatisch het recht om de kaart te kopiëren of alle gegevens ervan te registreren.
Mag ik het rijksregisternummer (nationaal identificatienummer) van een werknemer gebruiken en bewaren? arrow_forward
Je mag het nummer verwerken wanneer dit noodzakelijk en wettelijk toegestaan is voor sociale zekerheid, loonadministratie of andere wettelijke verplichtingen, maar niet als algemeen intern identificatienummer.
Mag AI een sollicitant automatisch afwijzen? arrow_forward
Artikel 22 GDPR is een principieel verbod, geen recht dat de kandidaat eerst moet inroepen. Wat dat betekent voordat je automatische afwijzing inschakelt.
AI gebruiken bij rekrutering: wat werkgevers moeten weten arrow_forward
AI kan vacatures schrijven, cv's samenvatten en kandidaten rangschikken, maar verschuift je GDPR-verantwoordelijkheden niet. Wat je moet nagaan voor je rekruteringsAI inzet.
Mag je ChatGPT of andere AI-tools gebruiken om cv's te beoordelen? arrow_forward
Een cv in een AI-tool plakken is verwerking van persoonsgegevens. Wat je nagaat over de aanbieder, hoeveel je uploadt, en waar het echte risico begint.
Mag je cv's van afgewezen kandidaten bewaren voor toekomstige vacatures? arrow_forward
Cv's van afgewezen kandidaten bijhouden voor latere vacatures is een apart doeleinde onder de GDPR. Hoe je transparant blijft, een rechtsgrond kiest en een bewaartermijn bepaalt.
GDPR en de AI Act bij rekrutering: hoe werken ze samen? arrow_forward
RekruteringsAI kan onder zowel de GDPR als de Europese AI Act vallen. De twee kaders overlappen, maar doen niet hetzelfde, en aan één voldoen volstaat niet.
Hoe maak je een GDPR-conforme talent pool? arrow_forward
Een talent pool is geen toelating om elk cv te bewaren dat je ooit ontving. Zo bepaal je het doeleinde, de rechtsgrond, de bewaartermijn, de toegangsregels en het verwijderproces.
De meest voorkomende GDPR-fouten bij rekrutering arrow_forward
Veertien privacyfouten die werkgevers het vaakst maken bij rekrutering, van elk cv eeuwig bewaren tot kandidaatgegevens in AI-tools plakken, en wat je in de plaats doet.
Mag je het LinkedIn-profiel van een kandidaat bekijken? arrow_forward
Een openbaar LinkedIn-profiel blijft een persoonsgegeven. Het bekijken tijdens de rekrutering is vaak verdedigbaar, maar alleen als de informatie die je gebruikt echt relevant is voor de vacature.
Mag je sociale media van sollicitanten screenen? arrow_forward
De naam van een kandidaat opzoeken duurt seconden en levert veel meer op dan een cv. Net daarom brengt screening op sociale media GDPR- en discriminatierisico's mee.
Wanneer moeten sollicitatiegegevens worden verwijderd? arrow_forward
Rekrutering maakt sneller gegevens aan dan de meeste organisaties ze verwijderen. Hoe je beslist wanneer sollicitatiegegevens weg moeten, en waar de vergeten kopieën zitten.
Heb je toestemming nodig om het cv van een kandidaat te bewaren? arrow_forward
Voor de vacature zelf heb je geen toestemming nodig. Voor het cv daarna bewaren heb je twee werkbare routes, en zo kies je ertussen.
Mag je voormalige kandidaten contacteren over een nieuwe vacature? arrow_forward
Er komt een vacature vrij en je denkt aan een sterke kandidaat van vorig jaar. Of je mag mailen, hangt af van waarom je zijn gegevens nog hebt en van wat je hem destijds vertelde.