Werkgevers stapelen cv’s op. Sommige horen bij lopende sollicitaties, andere bij mensen die maanden of jaren geleden solliciteerden. De GDPR (ook AVG genoemd) kent geen uniforme bewaartermijn voor elk cv: bewaar identificeerbare gegevens alleen zolang ze nodig zijn voor een bepaald, rechtmatig doel.
Artikel 5, lid 1, b), c) en e) GDPR vereist doelbinding, minimale gegevensverwerking en opslagbeperking. Bepaal vóór de verzameling een verantwoorde termijn per doel en verwijder gegevens wanneer dat doel de bewaring niet langer rechtvaardigt.
Tijdens de sollicitatieprocedure
Bewaar de informatie die nodig is om de sollicitatie te beoordelen en de procedure te beheren, niet automatisch alles wat een kandidaat bezorgt. Dat kan het cv, de motivatiebrief, relevante gespreksnotities, assessments en communicatie omvatten.
Leg de toepasselijke rechtsgrond vast. Artikel 6, lid 1, b) GDPR kan noodzakelijke stappen op verzoek van de kandidaat vóór een arbeidsovereenkomst dekken; andere activiteiten vragen een eigen beoordeling. Dat een vacature openblijft, rechtvaardigt op zichzelf niet dat je elke afgewezen of ingetrokken sollicitatie bewaart.
Beoordeel opnieuw wat nodig is wanneer de procedure eindigt of een kandidaat zich terugtrekt. Neem bij aanwerving alleen gegevens die nodig zijn voor het personeelsbeheer over in het personeelsdossier en pas de bewaarregels voor dat doel toe.
Wat na een afwijzing?
Je hoeft niet elk dossier van een afgewezen kandidaat te verwijderen zodra de vacature is ingevuld. Beperkte bewaring kan nodig zijn om de beslissing toe te lichten of rechtsvorderingen in te stellen, uit te oefenen of je ertegen te verweren.
Bepaal het concrete doel en de toepasselijke rechtsgrond. Steun je op artikel 6, lid 1, f) GDPR, documenteer dan het gerechtvaardigde belang, de noodzaak en de afweging tegenover de rechten van de kandidaat. Een algemene vrees voor procedures rechtvaardigt geen onbeperkte bewaring van volledige dossiers.
Controleer de toepasselijke lokale wetgeving en richtsnoeren, inclusief relevante vorderingstermijnen en hun aanvangspunt. Bewaar alleen noodzakelijk bewijsmateriaal, beperk de toegang tot wie de zaak behandelt en houd het gescheiden van actieve rekrutering. Leg bij een concreet geschil vast waarom geplande verwijdering wordt opgeschort, herzie dit en verwijder de gegevens zodra de rechtvaardiging wegvalt.
Artikel 17, lid 3, e) GDPR voorziet in een uitzondering op wissing wanneer de verwerking noodzakelijk is voor rechtsvorderingen. Het is geen zelfstandige rechtsgrond of toestemming om het archief voor nieuwe vacatures te gebruiken.
Mag je het cv bijhouden voor toekomstige vacatures?
Dat kan, maar toekomstige rekrutering is een afzonderlijk doel. Licht dat doel toe vóór je de gegevens daarvoor gebruikt en kies een passende rechtsgrond.
Geldige toestemming onder artikelen 6, lid 1, a) en 7 GDPR is vrij, specifiek, geïnformeerd en ondubbelzinnig, en even gemakkelijk in te trekken als te geven. Weigering mag de kandidaat niet benadelen. Een privacyverklaring of stilzwijgen is geen toestemming.
Gerechtvaardigd belang onder artikel 6, lid 1, f) kan mogelijk zijn als de omstandigheden dit dragen. Beoordeel en documenteer vooraf de noodzaak, redelijke verwachtingen, impact en waarborgen. Het is geen automatisch alternatief bij geweigerde of ingetrokken toestemming. Controleer de toepasselijke lokale vereisten en richtsnoeren van de toezichthouder.
Vermeld doel, rechtsgrond en bewaartermijn, of de criteria als je geen termijn kunt geven, in je privacyverklaring voor kandidaten. Artikelen 13 en 14 GDPR regelen die informatie. Bewaar een relevant profiel, niet automatisch het volledige gespreksdossier; controleer de juistheid en verwijder verouderde gegevens. Toestemming rechtvaardigt geen onbeperkte bewaring.
Is twee jaar altijd de juiste termijn?
Nee. Twee jaar is geen algemeen minimum en geen algemeen maximum onder de GDPR. Een aanbevolen termijn voor één doel of land geldt niet zomaar voor elk sollicitatiedossier.
Controleer lokale wetgeving en richtsnoeren van de toezichthouder en verantwoord de termijn per doel en gegevenscategorie. Bepaal het aanvangspunt, bijvoorbeeld de selectiebeslissing of een betekenisvol contact met een kandidaat in de talentpool. Laat een massamail, interne raadpleging of routinematige gegevensupdate de termijn niet automatisch herstarten.
Wat met spontane sollicitaties?
Dezelfde beginselen gelden. Bepaal of je iemand voor een actuele vacature beoordeelt of opname in een talentpool voorstelt.
De ontvangst van een spontaan cv rechtvaardigt niet automatisch onbeperkte bewaring of elk toekomstig gebruik. Geef de relevante privacyinformatie, bepaal de rechtsgrond en leg een bewaartermijn vast. Verwijder het cv als er geen gerechtvaardigd doel is om het te bewaren.
Wat als een kandidaat om verwijdering vraagt?
Wacht niet op de geplande verwijderdatum. Artikelen 12, 17, 18 en 21 GDPR regelen verzoeken en relevante uitzonderingen.
Bij ingetrokken toestemming stop je de daarop gebaseerde talentpoolverwerking. Steun je op gerechtvaardigd belang, beoordeel dan een bezwaar onder artikel 21, lid 1: stop tenzij je zwaarder wegende dwingende gronden aantoont of de verwerking noodzakelijk is voor rechtsvorderingen. Bezwaar tegen direct marketing beëindigt dat gebruik altijd. Een praktische talentpoolregel is om contacten over toekomstige vacatures op verzoek stop te zetten.
Bewaar afzonderlijke gegevens alleen als een geldige, noodzakelijke rechtvaardiging overblijft, zoals een wettelijke plicht of rechtsvorderingen, en motiveer een weigering om te wissen. Beoordeel beperking van de verwerking wanneer artikel 18 geldt. Antwoord zonder onnodige vertraging en normaal binnen één maand; een toegestane verlenging moet je binnen die eerste maand toelichten.
Vergeet de kopieën niet
Een kandidaat uit je rekruteringsplatform verwijderen wist niet altijd alle kopieën.
Cv’s kunnen ook staan in:
- HR-mailboxen
- Mailboxen van hiring managers
- Gedeelde schijven
- Downloadmappen
- Portalen van rekruteringskantoren
- Gespreksnotities
- Rekenbladen
- AI- of assessmenttools
Je bewaarbeleid dekt het hele rekruteringsproces, net zoals een bewaartermijnenbeleid de rest van je organisatie dekt.
Neem ook papieren kopieën mee en spreek met dienstverleners af wie verwijdert. Verwerkers die namens jou werken, moeten gedocumenteerde instructies volgen en helpen bij rechtenverzoeken onder artikel 28 GDPR. Controleer wanneer back-ups verdwijnen en hoe je voorkomt dat verwijderde dossiers na herstel opnieuw actief worden.
Automatiseer verwijdering waar het kan
Bewaarregels werken alleen als ze worden uitgevoerd.
Sollicitatiesystemen laten vaak toe om verwijder- of herzieningsdata in te stellen. Gebruik die functies waar dat past, in plaats van erop te rekenen dat iemand eraan denkt om oude sollicitaties handmatig op te ruimen.
Een herzieningsdatum moet leiden tot een gedocumenteerde beslissing, niet tot automatische verlenging. Test het verwijderproces en houd een evenredig bewijs van uitvoering bij, zonder het cv alleen als bewijs van de verwijdering te bewaren.
Documenteer je bewaarregels
Leg per rekruteringsdoel vast:
- De gegevenscategorieën en rechtsgrond.
- De verantwoorde bewaartermijn en het aanvangspunt.
- De reden voor een beperkt toegankelijk archief voor rechtsvorderingen en de herzieningsdatum.
- Hoe je intrekking van toestemming, bezwaar, wissing en beperking behandelt.
- De betrokken systemen, kopieën en dienstverleners, inclusief back-ups.
- Wie verwijdert en hoe je de uitvoering controleert.
Leg de regels duidelijk uit aan kandidaten. Verwerk ze waar vereist in je verwerkingsregister, met waar mogelijk de beoogde termijnen voor wissing onder artikel 30 GDPR.
GDPRWise legt voor elke rekruteringsverwerking een bewaartermijn vast, zodat verwijderen een gedocumenteerde regel wordt in plaats van een goed voornemen.