De kandidaat tekent het contract. De rekrutering is afgerond. Het is verleidelijk om de volledige sollicitatiemap in het personeelsdossier te schuiven en ze daar te laten staan.
Onder de GDPR (AVG) maakt iemand aanwerven niet automatisch elk rekruteringsgegeven noodzakelijk voor de rest van zijn tewerkstelling.
Rekrutering en tewerkstelling zijn verschillende doeleinden
Tijdens de rekrutering verwerk je informatie om te beoordelen of iemand moet worden aangeworven.
Zodra hij medewerker wordt, verschuiven je doeleinden.
Je hebt dan informatie nodig voor zaken als:
- Loonadministratie
- Personeelsbeheer
- Voordelen
- Werkplanning
- Prestatiebeheer
- Opleiding
- Wettelijke en reglementaire verplichtingen
- Beveiliging op de werkplek
Sommige rekruteringsinformatie blijft relevant. Andere niet. Ze als aparte verwerkingsactiviteiten in je register behandelen maakt dat onderscheid makkelijker vol te houden.
Bepaal voor elke personeelsverwerking het doeleinde en een passende rechtsgrond onder artikel 6 GDPR. Dat kan noodzakelijkheid voor de arbeidsovereenkomst zijn, een specifieke wettelijke verplichting of een gerechtvaardigd belang na een noodzakelijkheids- en belangenafweging. Het ondertekenen van het contract rechtvaardigt niet elk gebruik van sollicitatiegegevens. Beoordeel bij hergebruik voor een ander doeleinde de verenigbaarheid waar artikel 6, lid 4 dat vereist.
Wat mag naar het personeelsdossier?
Afhankelijk van de functie en de toepasselijke wetgeving kan dat gaan om:
- Identificatie- en contactgegevens
- Kwalificaties die relevant zijn voor de job
- Werkverleden waar dat nog nodig is
- Informatie die gebruikt werd om het contract voor te bereiden
- Bewijs van vereiste beroepskwalificaties
- Relevante rekruteringscorrespondentie
Dat informatie rechtmatig werd verzameld tijdens de rekrutering, rechtvaardigt op zich geen permanente bewaring.
Verifieer de identiteit waar nodig en registreer alleen de identificatiegegevens die noodzakelijk en rechtmatig toegelaten zijn voor personeelsbeheer of wettelijke aangiften. Controleer de toepasselijke lokale regels over identificatienummers en kopieën van identiteitsdocumenten; bewaar niet standaard een volledige kopie.
Gezondheidsgegevens en andere bijzondere categorieën vereisen zowel een rechtsgrond onder artikel 6 als een toepasselijke uitzondering onder artikel 9. Voor strafrechtelijke gegevens gelden artikel 10 en de toepasselijke wetgeving. Neem dergelijke informatie niet automatisch over in een gewoon personeelsdossier.
Wat bekijk je opnieuw?
Ga na of je nog nodig hebt:
- Informele notities van gespreksleiders
- Oude kandidaatrangschikkingen
- Verworpen ontwerpassessments
- Informatie over andere vacatures
- Overbodige kopieën van het cv
- Informatie uit onlinezoekopdrachten
- Testgegevens die hun doel gediend hebben
Geef de beoordeelde gegevens een van drie bestemmingen: het actieve personeelsdossier als ze nodig zijn voor de tewerkstelling, een afgeschermd archief als bewaring gerechtvaardigd is voor wettelijke verplichtingen of rechtsvorderingen, of verwijdering als er geen gerechtvaardigd doeleinde overblijft.
De rekruteringsrichtsnoeren van de CNIL onderscheiden actief gebruik van beperkte archivering als bewijs. Een mogelijke betwisting rechtvaardigt geen onbeperkte bewaring van het volledige sollicitatiedossier. Bewaar alleen noodzakelijk bewijs, beperk de toegang en leg de reden en termijn vast in je bewaarbeleid.
Verschillende gegevens kunnen verschillende termijnen vereisen. Aanwerving doet niet automatisch voor elk sollicitatiedocument een nieuwe bewaartermijn beginnen. Controleer de toepasselijke lokale vereisten en relevante verjaringstermijnen.
Actualiseer de privacyinformatie
Kandidaten kregen informatie over de rekruteringsverwerking.
Medewerkers hebben informatie nodig over de verwerking die tijdens de tewerkstelling plaatsvindt.
Dat kan gaan over loonadministratie, afwezigheidsbeheer, IT-systemen, toegangsbeheer, prestatiebeheer, opleiding, voordelen en andere personeelsprocessen, en daarvoor dient een privacybeleid voor personeel.
Bezorg de Staff Privacy Policy bij het verzamelen van nieuwe personeelsgegevens. Informeer de medewerker vóór hergebruik van bestaande gegevens voor een nieuw doeleinde over dat doeleinde en andere relevante details, voor zover die informatie nog niet werd verstrekt (artikelen 13 en 14 GDPR).
Leg doeleinden, rechtsgronden, ontvangers, bewaartermijnen of criteria, eventuele internationale doorgiften en rechten uit. Ga er niet van uit dat de kandidatenverklaring deze personeelsprocessen al dekt.
Actualiseer de toegangsrechten
Rekruteringsdossiers zijn soms toegankelijk voor gespreksleiders of externe rekruteerders die na afloop van de procedure geen toegang meer nodig hebben.
Herbekijk de rechten tijdens de onboarding en trek toegang in die niet langer nodig is. Denk ook aan rekruteringsplatformen, gedeelde mappen en kopieën in mailboxen. Laat de medewerker de actuele contactgegevens bevestigen voordat je ze overneemt.
Het beginsel blijft hetzelfde: persoonsgegevens horen alleen toegankelijk te zijn voor wie ze voor zijn rol nodig heeft.
Houd de overgang beheerst
Een bruikbare onboardingstap is:
- Bepaal welke rekruteringsgegevens nog nodig zijn en controleer of ze juist zijn.
- Leg het doeleinde en de rechtsgrond voor elk beoogd gebruik vast.
- Neem noodzakelijke gegevens over in het actieve personeelsdossier, archiveer alleen gerechtvaardigd bewijs met beperkte toegang en verwijder de rest.
- Pas per categorie de juiste bewaartermijn toe en verwijder overbodige kopieën.
- Trek achterhaalde rekruteringstoegang in en ken personeelstoegang toe volgens de rollen.
- Bezorg de Staff Privacy Policy op het vereiste moment.
GDPRWise scheidt rekrutering van personeelsverwerking in je register, zodat elk dossier het doeleinde en de bewaartermijn krijgt die erbij horen.