“Vink dit vakje aan om toestemming te geven voor de verwerking van je cv.” Veel sollicitatieformulieren gebruiken zo’n formulering. Maar onder de GDPR is toestemming niet automatisch vereist telkens wanneer je sollicitantengegevens verwerkt.
Toestemming vragen waar een andere rechtsgrond beter past, maakt je rekruteringsproces zelfs onnodig ingewikkeld.
De lopende sollicitatie
Een kandidaat stuurt je een cv omdat hij wil dat je hem voor een job in overweging neemt.
Het verwerken van informatie die nodig is om op verzoek van de kandidaat stappen te zetten vóór het sluiten van een arbeidsovereenkomst kan de rechtsgrond vormen voor delen van de rekruteringsprocedure.
Andere activiteiten kunnen op een andere rechtsgrond steunen, zoals gerechtvaardigd belang of een wettelijke verplichting. De zes rechtsgronden in de GDPR hebben elk hun eigen voorwaarden, dus het loont om ze te vergelijken voor je kiest.
Het punt is dat GDPR-conformiteit niet betekent dat je voor alles toestemming vraagt.
Waarom is onnodige toestemming een probleem?
Toestemming heeft strikte voorwaarden.
Ze moet:
- Vrij gegeven zijn
- Specifiek zijn
- Geïnformeerd zijn
- Ondubbelzinnig zijn
Ze moet ook kunnen worden ingetrokken.
Zeg je een kandidaat dat het verwerken van zijn cv op toestemming steunt, terwijl je de rekruteringsprocedure realistisch niet kunt stopzetten nadat die toestemming is ingetrokken, dan moet je je afvragen of toestemming wel de juiste grond was.
Wat met het cv bewaren na een afwijzing?
Na een afwijzing gebeuren er twee verschillende dingen, en die hoor je te scheiden.
Korte bewaring die bij de procedure zelf hoort. Je mag bepaalde informatie een beperkte periode bijhouden om vragen of betwistingen over de rekruteringsbeslissing te behandelen. Dat steunt op je gerechtvaardigd belang om je te verweren, en het loopt zolang zo’n betwisting realistisch mogelijk is, niet onbeperkt. Zie hoelang je een cv mag bewaren.
Het cv bewaren om de kandidaat aan te spreken over toekomstige vacatures. Dat is een nieuw doeleinde, los van de job waarvoor hij solliciteerde, en het heeft een eigen rechtsgrond nodig.
De twee routes voor een talent pool
Er zijn twee rechtsgronden die hier werken. De Europese toezichthouders aanvaarden beide, naargelang de omstandigheden. Kies er bewust een en leg die vast.
Route 1: toestemming
Meestal de eenvoudigste optie voor een kmo. Op het moment van de afwijzing stel je de kandidaat een heldere vraag: mogen we je gegevens bijhouden om je te contacteren over toekomstige vacatures?
Wat het doet werken:
- De kandidaat kan zonder gevolgen nee zeggen, want de procedure waarvoor hij solliciteerde is afgerond. Net dat maakt de toestemming vrij, wat elders in een arbeidscontext vaak moeilijk te bereiken is.
- Vraag het los van al de rest, zonder voorafgevinkt vakje, en noteer het antwoord met de datum.
- Artikel 7, lid 3 vraagt dat intrekken even eenvoudig is als geven. Een uitschrijflink of een genoemde mailbox in elk bericht volstaat; een geschreven verzoek aan de hoofdzetel niet.
- Wordt de toestemming ingetrokken, dan valt de grond om het dossier bij te houden weg. Verwijder het.
Route 2: gerechtvaardigd belang
Even goed beschikbaar onder artikel 6, lid 1, f), en vaak de betere keuze als je doorlopend rekruteert en een echte pool wil opbouwen in plaats van individuele toestemmingen na te jagen.
Wat het vereist:
- Een belangenafweging, vooraf gemaakt en vastgelegd: je belang om toekomstige functies efficiënt in te vullen, of het bijhouden daarvoor noodzakelijk is, en of het opweegt tegen de belangen en redelijke verwachtingen van de kandidaat.
- Heldere informatie bij de afwijzing dat je zijn gegevens wil bijhouden, waarom, en hoelang.
- Een werkende weg om bezwaar te maken onder artikel 21. Bezwaar tegen deze verwerking moet je inwilligen; zodra iemand nee zegt valt er geen afweging meer te maken.
- Terughoudendheid in de omvang. Een recente kandidaat voor een functie waarvoor je regelmatig aanwerft, past comfortabel binnen zijn verwachtingen. Een cv van vijf jaar oud gebruiken voor niet-verwante vacatures niet.
Kiezen tussen beide
| Toestemming | Gerechtvaardigd belang | |
|---|---|---|
| Past bij | Occasionele aanwervingen, weinig kandidaten | Doorlopende rekrutering, een onderhouden pool |
| Werk vooraf | Een heldere vraag en een geregistreerd antwoord | Een gedocumenteerde belangenafweging |
| Controle kandidaat | Intrekking, die de verwerking beëindigt | Bezwaar, dat je moet inwilligen |
| Voornaamste risico | Mensen weigeren, dus de pool blijft klein | De afweging is nooit echt gemaakt |
Geen van beide routes overleeft wat werkgevers het vaakst doen, namelijk het cv bijhouden en later beslissen.
Vraag je toestemming, doe het dan goed
Vermijd:
- Voorafgevinkte vakjes
- Toestemming verstopt in algemene voorwaarden
- Meerdere niet-verwante doeleinden in één toestemming
- Zeggen dat toestemming niet kan worden ingetrokken
- Gegevens onbeperkt bijhouden na de toestemming
Leg het doeleinde van de talent pool apart uit, los van de sollicitatie zelf, en geef de kandidaat een duidelijke ja of nee.
Intrekken moet in de praktijk werken
Trekt een kandidaat zijn toestemming in, dan volstaat het vaak niet om hem uit één mailinglijst te halen.
Ga na of zijn informatie ook voorkomt in:
- Je sollicitatiesysteem
- HR-mailboxen
- Gedeelde mappen
- Rekruteringsbestanden
- Externe rekruteringsplatformen
Je proces moet ervoor zorgen dat de intrekking de betrokken systemen bereikt. Dezelfde discipline geldt wanneer iemand vraagt om zijn gegevens te wissen.
Kies de rechtsgrond voordat je de privacyverklaring schrijft
Vertrek niet van een toestemmingsvakje om daarna terug te redeneren.
Bepaal eerst de verwerkingsactiviteit en het doeleinde. Bepaal dan de passende rechtsgrond. Zorg er vervolgens voor dat je privacyverklaring voor kandidaten dat correct uitlegt.
GDPRWise helpt organisaties de doeleinden en rechtsgronden achter HR- en rekruteringsverwerkingen te documenteren, zodat je “toestemming voor alles” kunt vermijden.
GDPRWise koppelt elk rekruteringsdoeleinde aan een passende rechtsgrond, zodat je alleen toestemming vraagt waar toestemming echt thuishoort.