De meeste werkgevers schrijven vroeg of laat een privacyverklaring voor kandidaten. Veel minder werkgevers krijgen die verklaring op het juiste moment bij de kandidaat, en net daarover is de GDPR wel precies.
Dit artikel behandelt wanneer je kandidaten moet informeren en hoe je die informatie bezorgt. Voor de inhoud van het document zelf, zie wat een privacyverklaring voor kandidaten moet bevatten.
Gegevens die je bij de kandidaat verzamelt
Geeft de kandidaat je de gegevens rechtstreeks, door je sollicitatieformulier in te vullen, een cv te mailen of te solliciteren via je jobpagina, dan geldt artikel 13.
De regel is eenvoudig: de informatie moet worden verstrekt op het moment van verkrijging. Niet in de afwijzingsmail, niet wanneer de kandidaat erom vraagt.
In de praktijk betekent dat een link naar de privacyverklaring voor kandidaten op het sollicitatieformulier zelf, zichtbaar voordat de kandidaat op verzenden drukt.
Gegevens die je van elders krijgt
Stuurt een rekruteringskantoor, een jobsite, een professioneel platform of een doorverwijzer je de gegevens van een kandidaat, dan geldt artikel 14. Dat bevat drie deadlines, en de vroegste die zich voordoet is de jouwe:
| Aanleiding | Deadline |
|---|---|
| Ontvangst van de gegevens | Binnen een redelijke termijn, uiterlijk binnen een maand |
| Eerste contact met de kandidaat | Uiterlijk bij dat eerste contact |
| Eerste doorgifte aan een andere ontvanger | Uiterlijk bij die eerste doorgifte |
De termijn van een maand is de buitengrens. Het is geen respijtperiode, en bij rekrutering is het bijna nooit de deadline die echt geldt, omdat je de kandidaat contacteert of het dossier doorstuurt lang voordat een maand verstreken is.
Hoe dat er in de praktijk uitziet
Een kantoor stuurt je op maandag drie cv’s. Op woensdag mail je een van die kandidaten voor een gesprek.
Die mail van woensdag is je eerste contact. De informatie moet de kandidaat samen met die mail of ervoor bereiken, niet binnen een maand na maandag. Praktisch: zet de link in de uitnodiging, of stuur de verklaring eerst apart.
Stel nu dat je op dinsdag, nog voor je iemand contacteert, alle drie de cv’s doorstuurt naar een hiring manager in een zusterbedrijf dat als afzonderlijke verwerkingsverantwoordelijke optreedt. Dat is een doorgifte aan een andere ontvanger, en die trekt je deadline naar dinsdag voor alle drie de kandidaten, ook voor de twee die je nooit contacteert.
De werkbare regel voor een rekruteringsteam: informeer de kandidaat zodra het dossier in je systeem belandt, dan hoef je nooit uit te zoeken welke aanleiding het eerst kwam.
De uitzonderingen zijn smaller dan ze lijken
Artikel 14, lid 5 laat de plicht vallen wanneer de kandidaat de informatie al heeft, wanneer verstrekken onmogelijk blijkt of onevenredig veel inspanning zou vergen, of wanneer het verkrijgen of doorgeven bij wet is voorgeschreven.
Steun niet op die onevenredige inspanning. Je hebt de contactgegevens van de kandidaat, je bent van plan ze te gebruiken, en een link versturen kost niets. Heeft het kantoor de kandidaat echt al je identiteit en je doeleinden gegeven, documenteer dat dan in plaats van het te veronderstellen.
Wat als een rekruteringskantoor het cv stuurt?
De privacyverklaring van het kantoor neemt jouw verplichting niet over.
Het kantoor legt uit wat het zelf met kandidaatgegevens doet. Jij bent verantwoordelijk om uit te leggen wat jouw organisatie ermee doet zodra je als verwerkingsverantwoordelijke optreedt.
Regel twee zaken in je afspraken met het kantoor:
- Wie is verantwoordelijke voor welke verwerking, en maakt een deel ervan jullie gezamenlijke verwerkingsverantwoordelijken
- Of het kantoor jouw verklaring namens jou aan kandidaten bezorgt, en hoe je aantoont dat dat gebeurd is
Verwerkt het kantoor gegevens in jouw opdracht in plaats van voor eigen doeleinden, dan hoort dat in je verwerkersovereenkomst.
Hoe je de informatie bezorgt
De verplichting is om de informatie te verstrekken, niet om ze ergens te plaatsen waar ze in theorie te vinden is.
Wat werkt:
- Een link op het sollicitatieformulier en de vacaturepagina, zichtbaar voor verzending
- Een link in de automatische ontvangstbevestiging van je sollicitatiesysteem
- Een link in de uitnodiging voor het gesprek, die meteen de aanleiding van artikel 14 afdekt
- Een gelaagde verklaring: een korte samenvatting met de essentie, met doorklik naar het volledige document
Wat niet werkt: een algemene privacyverklaring geschreven voor klanten, een verklaring die alleen via de footer en drie klikken bereikbaar is, of een pdf die je pas na de procedure stuurt.
Langs welke weg kandidaten ook binnenkomen, ze horen dezelfde informatie te krijgen. Bekijk je sollicitatiepagina, je mailsjablonen, je rekruteringsplatform en je afspraken met kantoren samen.
Maak het leesbaar
Een privacyverklaring voor kandidaten wordt niet beter door als een wettekst te klinken.
Kandidaten moeten zonder tweede lezing kunnen achterhalen wat je gebruikt, waarom, wie het ontvangt, hoelang je het bijhoudt en welke rechten ze hebben. Heldere taal en een logische structuur doen hier meer voor je conformiteit dan lengte.
Wees specifiek over AI
Worden er ergens in je selectie geautomatiseerde systemen gebruikt, dan is transparantie geen formaliteit meer.
De artikelen 13, lid 2, f) en 14, lid 2, g) vragen nuttige informatie over de onderliggende logica en over het belang en de verwachte gevolgen, waar er sprake is van geautomatiseerde besluitvorming in de zin van artikel 22. Ook waar het systeem daar niet aan raakt, vertel je kandidaten wat het doet. Een screeningtool die een kandidaat pas na de afwijzing ontdekt, is een klacht in wording.
Kandidaten die medewerker worden
De informatie die je tijdens de rekrutering geeft, legt de sollicitatieprocedure uit. Zodra iemand is aangeworven verwerk je aanzienlijk meer gegevens, voor andere doeleinden.
Houd die gescheiden. Een privacybeleid voor personeel dekt de arbeidsrelatie, en de kandidatenverklaring blijft bij rekrutering. Nieuwe medewerkers horen dat personeelsbeleid bij de start van hun tewerkstelling te krijgen, niet achter te blijven met de rekruteringsverklaring.
Controleer je personeelsprivacybeleid in twee minuten
Laad je huidige privacybeleid voor personeel op en zie welke GDPR-elementen ontbreken voordat je volgende aanwerving start.
Start de gratis checker arrow_forwardGDPRWise helpt organisaties privacydocumentatie op te stellen en actueel te houden op basis van de verwerkingsactiviteiten die ze hebben gedocumenteerd, HR en rekrutering inbegrepen.
GDPRWise zet je gedocumenteerde rekruteringsverwerkingen om in de privacyinformatie die je moet publiceren, zodat kandidaten en medewerkers elk het juiste document krijgen.