Werkgevers stapelen cv’s op. Sommige horen bij lopende sollicitaties, andere bij mensen die maanden of jaren geleden solliciteerden. Onder de GDPR kunnen cv’s echter niet zomaar onbeperkt bewaard blijven.
Er bestaat geen enkele GDPR-bewaartermijn die voor elk cv geldt. De juiste termijn hangt af van de reden waarom je het bijhoudt.
Tijdens de sollicitatieprocedure
Zolang een vacature openstaat, is het bijhouden van sollicitaties eenvoudig te verantwoorden: je hebt ze nodig om kandidaten te beoordelen en de procedure te beheren.
Dat kan gaan om het cv, de motivatiebrief, gespreksnotities, assessments en communicatie.
Zodra de procedure afgerond is, verandert of verdwijnt dat oorspronkelijke doeleinde.
Wat na een afwijzing?
Je moet niet elk dossier van een afgewezen kandidaat verwijderen op het moment dat de vacature is ingevuld.
Er kan een gerechtvaardigde reden zijn om bepaalde informatie een beperkte periode bij te houden, bijvoorbeeld om vragen over de procedure te beantwoorden of om rechtsvorderingen in te stellen, uit te oefenen of je ertegen te verweren. Die redenering steunt op een van de zes rechtsgronden, dus leg vast op welke.
De passende termijn hangt mee af van het toepasselijke nationale arbeids- en antidiscriminatierecht.
Daarom bepalen organisaties hun bewaartermijnen best vanuit hun eigen juridische context, in plaats van een willekeurig getal van het internet over te nemen.
Mag je het cv bijhouden voor toekomstige vacatures?
Dat kan, maar het is een ander doeleinde.
De kandidaat gaf je zijn cv oorspronkelijk om te solliciteren voor een bepaalde vacature. Het bijhouden omdat je hem wil aanspreken over toekomstige kansen maakt van het dossier een onderdeel van een talent pool.
Wees transparant over dat doeleinde in je privacyverklaring voor kandidaten en bepaal een passende bewaartermijn.
Zet niet elke afgewezen sollicitatie automatisch om in een permanente kandidatendatabank.
Is twee jaar altijd de juiste termijn?
Nee.
Online circuleren allerlei concrete termijnen, maar de GDPR zelf zegt nergens dat elke werkgever elk cv van een afgewezen kandidaat een vast aantal maanden of jaren mag bijhouden.
Bewaring moet worden verantwoord vanuit het doeleinde en, waar relevant, vanuit nationaal recht.
Een internationale organisatie kan daarom in verschillende landen andere praktische bewaarregels nodig hebben.
Wat met spontane sollicitaties?
Dezelfde beginselen gelden.
Stuurt iemand je een cv zonder voor een bepaalde vacature te solliciteren, beslis dan wat je ermee gaat doen.
Wil je spontane sollicitaties bijhouden voor toekomstige vacatures, leg kandidaten dan uit hoe dat werkt en hoelang hun informatie bewaard blijft.
Vergeet de kopieën niet
Een kandidaat uit je rekruteringsplatform verwijderen wist niet altijd alle kopieën.
Cv’s kunnen ook staan in:
- HR-mailboxen
- Mailboxen van hiring managers
- Gedeelde schijven
- Downloadmappen
- Portalen van rekruteringskantoren
- Gespreksnotities
- Rekenbladen
- AI- of assessmenttools
Je bewaarbeleid dekt het hele rekruteringsproces, net zoals een bewaartermijnenbeleid de rest van je organisatie dekt.
Automatiseer verwijdering waar het kan
Bewaarregels werken alleen als ze worden uitgevoerd.
Sollicitatiesystemen laten vaak toe om verwijder- of herzieningsdata in te stellen. Gebruik die functies waar dat past, in plaats van erop te rekenen dat iemand eraan denkt om oude sollicitaties handmatig op te ruimen.
Documenteer je bewaarregels
Leg voor rekrutering minstens vast:
- Hoelang lopende sollicitaties bewaard blijven
- Hoelang dossiers van afgewezen kandidaten na de procedure bewaard blijven
- Hoelang informatie in de talent pool bewaard blijft
- Wanneer bewaartermijnen worden herzien
- Wie verantwoordelijk is voor verwijdering
GDPRWise helpt organisaties bewaartermijnen te documenteren als onderdeel van hun verwerkingsactiviteiten, zodat “we bewaren gegevens niet te lang” een echte regel wordt.
GDPRWise legt voor elke rekruteringsverwerking een bewaartermijn vast, zodat verwijderen een gedocumenteerde regel wordt in plaats van een goed voornemen.