Rekrutering heeft geen aparte privacyafdeling nodig. Maar werkgevers hebben wel een herhaalbaar proces nodig voor cv’s, gesprekken, rekruteringsplatformen, talent pools en de rechten van kandidaten.
Gebruik deze checklist om je rekruteringsproces te herbekijken, van de eerste sollicitatie tot de definitieve verwijdering.
Voor je de vacature opent
- Bepaal welke sollicitantengegevens echt noodzakelijk zijn.
- Schrap overbodige vragen uit je sollicitatieformulieren.
- Benoem de doeleinden van de verwerking.
- Bepaal de passende rechtsgrond per doeleinde.
- Ga na of er bijzondere categorieën of strafrechtelijke gegevens bij betrokken kunnen zijn.
- Zorg dat rekrutering in je verwerkingsregister staat.
- Bepaal bewaartermijnen.
Weet je niet goed waar de grens ligt, begin dan bij welke persoonsgegevens je van sollicitanten mag verzamelen en leg het resultaat vast in je verwerkingsregister.
Privacyinformatie voor kandidaten
- Voorzie een privacyverklaring voor kandidaten.
- Stel ze beschikbaar op het moment dat je persoonsgegevens verzamelt.
- Leg de doeleinden en rechtsgronden uit.
- Leg de relevante gegevensbronnen uit.
- Benoem de ontvangers of categorieën ontvangers.
- Leg de bewaartermijnen uit.
- Dek doorgiften buiten de EER waar relevant.
- Leg de rechten van kandidaten uit.
- Dek geautomatiseerde besluitvorming waar die speelt.
De opbouw van een privacyverklaring voor kandidaten volgt rechtstreeks uit deze punten.
Tijdens de rekrutering
- Beperk de toegang tot wie bij de procedure betrokken is.
- Bewaar sollicitaties in goedgekeurde systemen.
- Vermijd overbodige kopieën van cv’s.
- Houd gespreksnotities professioneel en relevant.
- Ga belangrijke informatie na in plaats van op aannames te steunen.
- Verzamel geen gevoelige informatie zonder rechtmatige en noodzakelijke reden.
- Voorzie een proces voor GDPR-verzoeken van kandidaten.
Sollicitanten kunnen dezelfde rechten van betrokkenen uitoefenen als iedereen, dus je verzoekenproces moet ook rekruteringsgegevens dekken.
Rekruteringskantoren en software
- Breng al je rekruteringsleveranciers in kaart.
- Bepaal hun rol op privacyvlak.
- Leg de vereiste gegevensbeschermingsafspraken vast.
- Ga na waar kandidaatgegevens worden verwerkt.
- Herbekijk internationale doorgiften.
- Controleer beveiliging en toegangsbeheer.
- Weet hoe gegevens verwijderd kunnen worden zodra bewaartermijnen verstrijken.
Treedt een leverancier op als jouw verwerker, dan is een verwerkersovereenkomst met de verplichte elementen vereist.
LinkedIn en sociale media
- Bepaal of onlinescreening toegelaten is.
- Beperk controles tot relevante bronnen en informatie.
- Vermijd onnodig onderzoek naar het privéleven van kandidaten.
- Zoek geen toegang tot bewust privé gehouden profielen.
- Vermeld externe gegevensbronnen aan kandidaten waar vereist.
- Noteer geen irrelevante gevoelige informatie.
De regels verschillen tussen het LinkedIn-profiel van een kandidaat bekijken en ruimere screening op sociale media, dus beslis vooraf wat in jouw proces mag.
Talent pools
- Behandel toekomstige rekrutering als een afgebakend doeleinde.
- Kies de passende rechtsgrond en leg ze vast.
- Leg kandidaten uit hoe de talent pool werkt.
- Bepaal een bewaartermijn.
- Houd de informatie accuraat.
- Maak afmelden of toestemming intrekken eenvoudig waar dat geldt.
- Verwijder verlopen dossiers.
Een GDPR-conforme talent pool bewust opbouwen is veel eenvoudiger dan er achteraf een verantwoorden.
AI bij rekrutering
- Keur AI-tools goed voordat er kandidaatgegevens worden geüpload.
- Ga na wat de aanbieder met ingediende gegevens doet.
- Beperk of pseudonimiseer gegevens waar mogelijk.
- Beoordeel de risico’s rond geautomatiseerde besluitvorming.
- Ga na of de AI Act geldt en of het systeem hoog risico is.
- Zorg dat het menselijk toezicht betekenisvol is.
- Overweeg of een DPIA vereist is.
- Test de resultaten op nauwkeurigheid en mogelijke vertekening.
Zowel AI bij rekrutering als de DPIA-verplichting verdienen een grondige blik voordat een tool live gaat.
Wanneer de kandidaat wordt aangeworven
- Herbekijk het rekruteringsdossier.
- Neem alleen informatie over die noodzakelijk blijft.
- Pas de passende bewaarregels voor tewerkstelling toe.
- Verwijder overbodige rekruteringsgegevens.
- Actualiseer de toegangsrechten.
- Bezorg de privacyinformatie voor personeel.
Dit is het moment om te bepalen wat er met sollicitatiegegevens gebeurt wanneer een kandidaat medewerker wordt en om je privacybeleid voor personeel te overhandigen.
Wanneer de procedure afloopt
- Start de relevante bewaartermijn.
- Verwijder de informatie zodra de termijn verstrijkt.
- Neem mailboxen en lokale kopieën mee.
- Verwijder gegevens uit externe systemen waar vereist.
- Houd gegevens in de talent pool gescheiden van gewone afgewezen sollicitaties.
- Test regelmatig of het verwijderen echt gebeurt.
Heb je de termijnen nog niet vastgelegd, bepaal dan eerst hoelang je het cv van een kandidaat mag bewaren.
Maak de checklist herhaalbaar
GDPR-conformiteit werkt het best wanneer deze stappen in het rekruteringsproces zijn ingebouwd, in plaats van één keer per jaar afgevinkt.
GDPRWise helpt werkgevers rekruterings- en andere HR-verwerkingen in kaart te brengen, bewaartermijnen en rechtsgronden vast te leggen, leveranciers te beheren en de privacydocumentatie te genereren die een herhaalbaar proces ondersteunt.
GDPRWise brengt je rekruteringsverwerkingen in kaart, legt rechtsgronden en bewaartermijnen vast, en genereert de bijhorende privacydocumentatie voor kandidaten.