Rekrutering maakt snel gegevens aan: cv’s, gespreksnotities, mails, assessments en kandidaatprofielen. Zonder verwijderproces blijven die bestanden jarenlang verspreid over een organisatie staan.
De GDPR vraagt dat persoonsgegevens niet langer bewaard blijven dan nodig. Rekrutering heeft dus net zo goed een eindeproces nodig als een sollicitatieproces.
Begin bij het doeleinde
Er is geen enkel moment waarop alle sollicitatiegegevens altijd verwijderd moeten worden.
Vraag je af waarom je ze nog hebt.
Tijdens de procedure heb je informatie nodig om kandidaten te beoordelen en de procedure te beheren.
Daarna kan bepaalde informatie een beperkte periode bewaard blijven om een gerechtvaardigde reden, onder meer met het oog op mogelijke betwistingen. Ons artikel over hoelang je het cv van een kandidaat mag bewaren werkt dat venster verder uit.
Komt een kandidaat in een goed beheerde talent pool terecht, dan kan relevante informatie voor dat aparte doeleinde bewaard blijven.
Blijft er geen geldig doeleinde over, dan moeten de gegevens verwijderd of onomkeerbaar geanonimiseerd worden.
Niet elk document heeft dezelfde bewaartermijn
Een rekruteringsdossier kan veel bevatten:
- Cv
- Motivatiebrief
- Gespreksnotities
- Testresultaten
- Referentie-informatie
- Mailcorrespondentie
- Identiteitsdocumenten
- Interne scoreformulieren
Ga er niet van uit dat het volledige dossier intact moet blijven omdat één onderdeel bewaard moet worden.
Pas minimale gegevensverwerking toe gedurende de hele bewaarperiode.
Wat met de aangeworven kandidaat?
Wordt iemand aangeworven, dan wordt een deel van de rekruteringsgegevens relevant voor de arbeidsrelatie.
Dat betekent niet dat het volledige rekruteringsdossier automatisch deel wordt van het permanente personeelsdossier.
Neem over wat nodig is en verwijder wat geen doeleinde meer dient, behoudens gerechtvaardigde bewaarverplichtingen. Er is een aparte beslissing te nemen op het moment dat een sollicitant medewerker wordt.
Waar zitten sollicitatiegegevens verstopt?
Verwijderen mislukt vaak omdat organisaties enkel aan het centrale HR-systeem denken.
Controleer:
- Individuele mailboxen
- Gedeelde HR-mailboxen
- Mappen van hiring managers
- Gedeelde schijven
- Sollicitatiesystemen
- Portalen van rekruteringskantoren
- Assessmentplatformen
- Rekenbladen
- Gedownloade cv’s
- AI-tools die tijdens de rekrutering werden gebruikt
Verwijdert je officiële systeem kandidaten na een jaar terwijl managers onbeperkt kopieën bijhouden, dan werkt je bewaarbeleid niet.
Werk met verwijdermomenten
Bruikbare momenten zijn:
- Vacature afgesloten
- Kandidaat afgewezen
- Kandidaat aangeworven
- Bewaartermijn na de procedure verstreken
- Termijn in de talent pool verstreken
- Kandidaat trekt toestemming in waar die geldt
- Kandidaat oefent met succes zijn recht op vergetelheid uit, waar de wettelijke voorwaarden vervuld zijn
Automatisering helpt, maar moet correct ingesteld en getest zijn.
Leg verantwoordelijkheid vast
Iemand hoort te weten wie verantwoordelijk is voor de uitvoering van het bewaarschema.
Een praktisch bewaarbeleid voor rekrutering benoemt:
- De categorieën informatie
- De relevante doeleinden
- De bewaartermijnen of criteria
- De betrokken systemen
- De verantwoordelijke persoon of het verantwoordelijke team
- De methode van verwijdering of anonimisering
GDPRWise helpt organisaties bewaartermijnen vast te leggen voor hun verwerkingsactiviteiten en het beheer van rekruteringsgegevens verbonden te houden met het ruimere GDPR-proces.
GDPRWise legt voor elke rekruteringsverwerking een bewaartermijn en een verantwoordelijke vast, zodat verwijderen niet langer van iemands geheugen afhangt.