Een privacyverklaring voor kandidaten legt uit hoe jouw organisatie persoonsgegevens behandelt tijdens de rekrutering. Het is het document dat je transparantieverplichtingen onder de artikelen 13 en 14 GDPR draagt.
Dit artikel behandelt wat er in de verklaring moet staan. Voor de even belangrijke vraag wanneer de kandidaat ze moet krijgen en hoe je ze bij hem krijgt, zie wanneer en hoe je kandidaten informeert.
De verklaring beschrijft wat er echt in je rekruteringsproces gebeurt, niet wat een algemeen sjabloon veronderstelt.
De onderdelen in één oogopslag
De artikelen 13 en 14 bepalen wat erin hoort. In een rekruteringscontext komt dat neer op:
| Onderdeel | Artikel 13 (kandidaat geeft de gegevens) | Artikel 14 (gegevens via kantoor of platform) |
|---|---|---|
| Je identiteit en contactgegevens | Verplicht | Verplicht |
| Contactgegevens van de DPO, indien aangesteld | Verplicht | Verplicht |
| Doeleinden van de verwerking | Verplicht | Verplicht |
| Rechtsgrond per doeleinde | Verplicht | Verplicht |
| Je gerechtvaardigde belangen, indien ingeroepen | Verplicht | Verplicht |
| Categorieën van gegevens die je verwerkt | Niet vereist | Verplicht |
| Bron van de gegevens | Niet van toepassing | Verplicht |
| Ontvangers of categorieën van ontvangers | Verplicht | Verplicht |
| Doorgiften buiten de EER en waarborgen | Verplicht | Verplicht |
| Bewaartermijn of de criteria daarvoor | Verplicht | Verplicht |
| Rechten van de kandidaat, inclusief bezwaar en intrekking | Verplicht | Verplicht |
| Recht om klacht in te dienen bij een toezichthouder | Verplicht | Verplicht |
| Of het verstrekken verplicht is en wat de gevolgen zijn | Verplicht | Niet van toepassing |
| Geautomatiseerde besluitvorming, logica, belang en gevolgen | Verplicht indien van toepassing | Verplicht indien van toepassing |
Krijg je kandidaten langs beide wegen binnen, dan is één verklaring die de ruimere set van artikel 14 dekt eenvoudiger dan er twee onderhouden.
Begin met wie je bent
Kandidaten moeten weten welke organisatie verantwoordelijk is voor hun persoonsgegevens.
Vermeld de identiteit en contactgegevens van je organisatie. Heb je een functionaris voor gegevensbescherming aangesteld, vermeld dan ook diens contactgegevens.
Dat klinkt vanzelfsprekend, maar het wordt belangrijk zodra rekrutering via een groepsvennootschap, een extern kantoor of een gedeeld platform loopt.
Leg uit welke gegevens je verwerkt
Beschrijf de categorieën kandidaatgegevens die je gebruikt.
Afhankelijk van je proces kan dat gaan om:
- Identificatie- en contactgegevens
- Cv en sollicitatiegegevens
- Werk- en opleidingsverleden
- Gespreksnotities
- Assessments en testresultaten
- Referenties
- Informatie uit professionele profielen
- Communicatie met de kandidaat
- Informatie die nodig is voor de start van de tewerkstelling
Vermijd vage formuleringen als “we verwerken alle informatie die nodig is”. Het vertrekpunt is bepalen welke sollicitantengegevens je echt nodig hebt.
Leg uit waarom je ze gebruikt
Kandidaten moeten de doeleinden van de verwerking begrijpen.
Gebruikelijke doeleinden zijn:
- Sollicitaties beheren
- Geschiktheid voor een vacature beoordelen
- Communiceren met kandidaten
- Gesprekken en assessments organiseren
- Referenties nagaan waar dat past
- Een aanbod of arbeidsovereenkomst voorbereiden
- Voldoen aan wettelijke verplichtingen
- Reageren op of je verweren tegen betwistingen over de rekrutering
- Kandidaten in een talent pool houden, waar van toepassing
Verschillende doeleinden kunnen op verschillende rechtsgronden steunen.
Vermeld de rechtsgronden
Schrijf niet gewoon “we verwerken je gegevens conform de GDPR”.
Benoem de rechtsgronden die echt van toepassing zijn.
Bij rekrutering zijn dat meestal stappen op verzoek van de kandidaat vóór het sluiten van een overeenkomst, gerechtvaardigd belang, een wettelijke verplichting, of toestemming wanneer je gegevens bijhoudt voor toekomstige vacatures. Steun je op gerechtvaardigd belang, dan vragen de artikelen 13, lid 1, d) en 14, lid 2, b) dat je dat belang benoemt, niet alleen de rechtsgrond.
Verwerk je bijzondere categorieën van persoonsgegevens, dan is een bijkomende voorwaarde uit artikel 9, lid 2 vereist en hoort de verklaring dat te weerspiegelen.
Waar komen de gegevens vandaan?
Niet alle kandidaatinformatie komt rechtstreeks van kandidaten.
Verkrijg je informatie van kantoren, referenties, professionele netwerken of andere bronnen, dan vraagt artikel 14, lid 2, f) dat je dat vermeldt, inclusief of de bron openbaar toegankelijk was.
Dat weegt het zwaarst in precies die situaties die kandidaten niet verwachten: een doorverwijzing door een huidige medewerker, een profiel gevonden op een professioneel netwerk, een referentie die je aansprak voordat de kandidaat het wist.
Wie ontvangt de gegevens?
Leg uit wie toegang krijgt tot kandidaatgegevens of ze ontvangt.
Dat kan gaan om:
- HR-medewerkers
- Hiring managers
- Betrokken gespreksleiders
- Groepsvennootschappen
- Rekruteringskantoren
- Sollicitatiesystemen
- Assessmentpartners
- IT- en clouddienstverleners
Toegang blijft beperkt tot wie de informatie nodig heeft.
Leg bewaartermijnen uit
“We bewaren je gegevens zolang als nodig” is juridisch vertrouwd, maar op zichzelf weinig behulpzaam.
Vermeld waar mogelijk concrete bewaartermijnen. Kan dat niet, leg dan de criteria uit die je gebruikt om ze te bepalen.
Kunnen afgewezen kandidaten in een talent pool terechtkomen, leg dat dan apart uit.
Doorgiften buiten de EER
Rekruteringssoftware draait vaak in de cloud.
Worden kandidaatgegevens buiten de EER doorgegeven, leg dat dan uit en geef de informatie die de GDPR vraagt over het doorgiftemechanisme of de waarborgen.
Ga er niet van uit dat software die je via een Europese website gebruikt, alle gegevens in Europa bewaart.
Leg de rechten van kandidaten uit
Kandidaten hebben de volgende rechten, en de verklaring benoemt ze:
- Inzage
- Rectificatie
- Gegevenswissing
- Beperking van de verwerking
- Bezwaar
- Overdraagbaarheid in de situaties waarin dat geldt
- Rechten bij bepaalde geautomatiseerde beslissingen
Leg uit hoe kandidaten die rechten uitoefenen, met een werkend adres of formulier in plaats van een algemene bedrijfsmailbox, en vermeld dat ze klacht kunnen indienen bij de bevoegde toezichthoudende autoriteit. Steun je ergens op toestemming, vermeld dan dat die op elk moment kan worden ingetrokken en dat intrekken even eenvoudig is als geven.
Wat als de kandidaat medewerker wordt?
Een privacyverklaring voor kandidaten is bedoeld voor de rekruteringsprocedure. Zodra een kandidaat medewerker wordt, verwerkt je organisatie aanzienlijk meer persoonsgegevens en voor andere doeleinden.
We raden daarom een apart privacybeleid voor personeel aan dat uitlegt hoe je persoonsgegevens verwerkt tijdens de arbeidsrelatie. De kandidatenverklaring en het personeelsbeleid vullen elkaar aan, in plaats van dat één document rekrutering en tewerkstelling samen probeert te dekken.
Houd ze accuraat
Een privacyverklaring is geen document dat je één keer schrijft en dan vergeet.
Introduceer je een nieuw sollicitatiesysteem, een AI-screeningtool, een assessmentpartner of een talent pool, ga dan na of je verklaring de werkelijkheid nog beschrijft.
De beste privacyverklaring voor kandidaten is niet de langste. Het is die welke je echte rekruteringsproces correct uitlegt.
GDPRWise helpt organisaties hun gedocumenteerde verwerkingsactiviteiten te verbinden met de privacyinformatie die ze moeten verstrekken, zodat je rekruteringsdocumentatie consistent blijft.
GDPRWise koppelt je gedocumenteerde verwerkingsactiviteiten aan de privacyinformatie die je publiceert, zodat je verklaring accuraat blijft wanneer je rekrutering verandert.