Rekruteren vraagt uiteraard informatie over kandidaten. Maar dat betekent niet dat een werkgever alles mag verzamelen wat interessant of nuttig kan zijn. Onder de GDPR moeten sollicitantengegevens relevant en noodzakelijk zijn voor de rekruteringsprocedure.
De basisregel is eenvoudig: verzamel alleen wat je echt nodig hebt om de kandidaat te beoordelen en de sollicitatie te beheren.
Welke informatie hebben werkgevers normaal nodig?
Voor de meeste vacatures heeft een werkgever vrij standaardinformatie nodig, zoals:
- Naam en contactgegevens
- Werkverleden
- Opleiding en diploma’s
- Beroepsvaardigheden en ervaring
- Talen
- Informatie uit het cv of de motivatiebrief
- Gespreksnotities en assessments
- Beschikbaarheid en, waar relevant, loonverwachtingen
Welke informatie je precies nodig hebt, hangt af van de functie.
Een rijbewijs kan relevant zijn voor een chauffeur. Voor een kantoorfunctie waarin nooit gereden wordt, is het dat waarschijnlijk niet.
Dat is het GDPR-beginsel van minimale gegevensverwerking in de praktijk.
Mag je alles vragen wat je kan helpen kiezen?
Nee.
Rekrutering wordt makkelijk een proces waarin je informatie verzamelt “voor het geval dat”. De GDPR vraagt een strakkere aanpak.
Stel voor je informatie opvraagt de vraag:
Hebben we deze informatie echt nodig om te beoordelen of de kandidaat geschikt is voor deze functie, of om aan een wettelijke verplichting te voldoen?
Is het antwoord nee, verzamel ze dan niet.
Wees voorzichtig met gevoelige informatie
Sommige persoonsgegevens genieten bijkomende bescherming onder de GDPR. Het gaat om informatie over:
- Gezondheid
- Raciale of etnische afkomst
- Politieke opvattingen
- Religieuze of levensbeschouwelijke overtuigingen
- Vakbondslidmaatschap
- Genetische gegevens
- Bepaalde biometrische gegevens
- Seksueel gedrag of gerichtheid
Voor de verwerking daarvan is doorgaans een bijkomende rechtvaardiging vereist, bovenop een van de zes rechtsgronden.
Bij gewone rekrutering vermijden werkgevers het opvragen van gevoelige informatie dus, tenzij het echt noodzakelijk en wettelijk toegelaten is.
Voor informatie over strafrechtelijke veroordelingen en strafbare feiten gelden bovendien specifieke beperkingen.
Wat met foto’s?
Een foto is een persoonsgegeven zodra iemand eruit kan worden geïdentificeerd.
Ga voor je een foto verplicht maakt na of de kandidaat zien echt nodig is om te beoordelen of hij de functie aankan.
In veel rekruteringsprocedures is dat niet zo.
Onnodige foto’s vragen verhoogt bovendien het risico dat irrelevante kenmerken de beslissing beïnvloeden.
Wat als kandidaten zelf te veel informatie geven?
Kandidaten vermelden soms informatie die je nooit vroeg: burgerlijke staat, kinderen, hobby’s, foto’s, medische gegevens of andere privédetails.
Je hoeft die informatie niet te gebruiken alleen omdat de kandidaat ze bezorgde.
Houd de rekruteringsbeslissing gericht op informatie die relevant is voor de vacature.
Mag je informatie uit andere bronnen halen?
Sollicitantengegevens komen niet altijd rechtstreeks van de sollicitant.
Je kunt informatie ontvangen van:
- Rekruteringskantoren
- Professionele netwerkplatformen
- Referenties
- Openbare beroepsregisters
- Assessmentpartners
- Aanbieders van achtergrondonderzoek
De GDPR blijft gelden.
Je moet een rechtmatige reden hebben om de informatie te verzamelen en te gebruiken en, waar vereist, de kandidaat laten weten dat je persoonsgegevens uit een andere bron hebt verkregen. Je privacyverklaring voor kandidaten is de natuurlijke plek om dat uit te leggen.
Bouw je sollicitatieproces rond noodzaak
Een nuttige oefening is elk veld in je sollicitatieformulier te herbekijken.
Stel bij elke vraag:
- Waarom vragen we dit?
- Gebruiken we het antwoord echt?
- Is het nodig in dit stadium?
- Zouden we het later kunnen opvragen als de kandidaat wordt geselecteerd?
Informatie die nodig is om een arbeidsovereenkomst voor te bereiden, hoort bijvoorbeeld bij de aanbiedingsfase en niet op het formulier dat elke kandidaat invult.
Documenteer wat je verzamelt en waarom
Beslis niet geval per geval welke kandidaatgegevens je verzamelt zonder dat vast te leggen. Je organisatie hoort een helder overzicht te hebben van de persoonsgegevens die bij rekrutering worden gebruikt, het doeleinde per soort gegeven, de toepasselijke rechtsgrond, wie er toegang toe heeft en hoelang ze bewaard blijven.
We raden aan dat te documenteren als onderdeel van je verwerkingsregister. Dat omvat je rekruteringsactiviteiten en de afzonderlijke gegevens die je gebruikt. Zodra een kandidaat medewerker wordt, sluit dit aan op je personeelsdossier en je privacybeleid voor personeel, die de ruimere verwerking tijdens de tewerkstelling dekken.
Houd rekruteringsgegevens onder controle
Minder informatie verzamelen maakt GDPR-conformiteit eenvoudiger. Het beperkt ook de hoeveelheid persoonsgegevens die verloren kan gaan, misbruikt kan worden of bij de verkeerde persoon kan belanden.
GDPRWise helpt organisaties rekruterings- en andere HR-verwerkingen te documenteren, inclusief de categorieën persoonsgegevens die ze gebruiken en de redenen waarom.
GDPRWise brengt je rekruteringsverwerkingen in kaart en toont welke persoonsgegevens, rechtsgrond en bewaartermijn bij elke stap horen.