Gegevensbescherming bij sollicitatiedocumenten

Een sollicitatie is een ongewoon dicht pakket persoonsgegevens: een cv, getuigschriften, een motivatiebrief, vaak een foto, soms informatie over gezondheid of afkomst waar niemand om heeft gevraagd en die toch uit de stukken naar voren komt. Zij heeft een duidelijk begin – de ontvangst van de sollicitatie – en, anders dan veel gegevensverzamelingen, een wettelijk vereist einde. Wie sollicitaties ontvangt, verwerkt deze gegevens als verwerkingsverantwoordelijke en draagt de plichten van de AVG over de hele levenscyclus: van verzamelen via bewaren tot verwijderen. Dit artikel volgt dat pad chronologisch en ordent wat in elke fase juridisch geldt – met de nadruk op het punt dat in de praktijk het vaakst over het hoofd wordt gezien: het ordelijke einde van de bewaring.

• Een sollicitatie als gegevenspakket met een houdbaarheidsdatum
• Wat verzameld mag worden – en wat niet
• Op welke grondslag sollicitatiegegevens worden verwerkt
• De informatieplicht jegens sollicitanten
• Hoe lang stukken mogen blijven
  • Hoe lang mag ik sollicitatiegegevens bewaren?
• Talentpool: bewaren alleen met toestemming
• Veilig ontvangen en opslaan
• Bijzondere gevallen: foto en geautomatiseerde voorselectie
  • Is een sollicitatiefoto toegestaan of verplicht?
• De bewaring in één oogopslag
• Checklist: klaar om te verwijderen
• Conclusie

#Een sollicitatie als gegevenspakket met een houdbaarheidsdatum

Het beginsel dat de hele omgang met sollicitatiegegevens draagt, is de opslagbeperking uit artikel 5 AVG: persoonsgegevens mogen slechts zo lang worden bewaard als voor het doel noodzakelijk is. Bij een sollicitatie is dat doel eng omschreven – de beslissing over de vervulling van een functie. Is die beslissing genomen, dan vervalt voor afgewezen sollicitaties het oorspronkelijke doel, en mogen de gegevens niet onbeperkt blijven liggen.

Daarnaast geldt de minimale gegevensverwerking: al bij het verzamelen mag enkel worden vastgelegd wat voor de selectie werkelijk noodzakelijk is. Samen geven beide beginselen het sollicitatiedossier zijn levenscyclus – een begin dat beperkt is tot het noodzakelijke, en een einde dat niet aan het toeval wordt overgelaten. Wie die levenscyclus van meet af aan meedenkt, vermijdt de meest voorkomende klacht op dit terrein: stukken die jaren na een afwijzing nog in postvakken, schijven en wervingssystemen liggen.

#Wat verzameld mag worden – en wat niet

Aan het begin staat de vraag welke gegevens überhaupt mogen worden verzameld. De maatstaf is de noodzaak voor de concrete functie. Naam, contactgegevens, kwalificaties, werkervaring en getuigschriften zijn doorgaans noodzakelijk. Niet noodzakelijk – en daarmee niet toegestaan om te vragen – zijn gegevens die niets met de geschiktheid te maken hebben: burgerlijke staat, zwangerschap, religieuze of politieke overtuiging, vakbondslidmaatschap of gezondheidsgegevens zonder concrete band met de functie. Veel van deze kenmerken zijn tevens beschermd, zodat het verzamelen ervan niet alleen gegevensbeschermingsrechtelijk maar ook uit het oogpunt van gelijke behandeling gevoelig ligt.

Nauw met het verzamelen verbonden is de vraag welke vragen een werkgever mag stellen. Toegestaan zijn alleen vragen waarbij een gerechtvaardigd, verdedigbaar belang met het oog op de concrete functie bestaat. Bij een ontoelaatbare vraag – bijvoorbeeld naar een zwangerschap – hoeft de sollicitant niet naar waarheid te antwoorden, zonder dat hem daaruit een nadeel mag ontstaan. Deze arbeidsrechtelijke grens valt grotendeels samen met het gegevensbeschermingsbeginsel van noodzaak: wat niet gevraagd mag worden, mag ook niet worden verzameld en bewaard.

Bijzondere voorzichtigheid geldt voor de bijzondere categorieën persoonsgegevens op grond van artikel 9 AVG. De verwerking ervan is in beginsel verboden. Het probleem in de sollicitatiecontext is dat zulke gegevens vaak onbedoeld worden meegeleverd – bijvoorbeeld een aanwijzing voor een handicap in de stukken, of conclusies over afkomst en religie uit een foto. De Autoriteit Persoonsgegevens wijst er bovendien op dat een werkgever van sollicitanten geen sollicitatievideo mag eisen, omdat daaruit zulke bijzondere gegevens kunnen worden afgeleid. Verwerkingsverantwoordelijken moeten zulke gegevens niet actief verzamelen en, waar ze ongevraagd binnenkomen, ze niet ten grondslag leggen aan de beslissing.

#Op welke grondslag sollicitatiegegevens worden verwerkt

Elke verwerking heeft een rechtsgrondslag nodig. Voor sollicitaties ligt die het dichtst bij de aanloop naar een arbeidsverhouding: op grond van artikel 6, lid 1, onder b AVG is de verwerking rechtmatig wanneer zij noodzakelijk is om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen – en een sollicitatie is precies dat. Voor verwerkingen die daarbuiten vallen, kan het gerechtvaardigd belang onder f dragen, mits een afweging dit ondersteunt.

Nationale regels over werknemersgegevens kunnen in sommige landen detail toevoegen, maar hun verhouding tot de AVG is niet altijd uitgekristalliseerd. Het Hof van Justitie van de Europese Unie heeft geoordeeld dat algemene nationale clausules geen „specifiekere regel" in de zin van artikel 88 AVG vormen en daarom strijdig zijn met de rechtstreeks toepasselijke verordening, wat ruim geformuleerde nationale bepalingen op dit terrein onder druk heeft gezet. Het praktische gevolg is overal hetzelfde: wie de rechtsgrondslag zuiver wil documenteren, baseert de verwerking van sollicitatiegegevens primair op de precontractuele maatregel en toetst de actuele stand van het nationale recht, in plaats van enkel op een ruime bijzondere bepaling te vertrouwen.

Welke grondslag ook wordt gekozen, de verwerking moet beperkt blijven tot het sollicitatiedoel. Gegevens die in het kader van een sollicitatie zijn verzameld, mogen niet zonder meer voor andere doeleinden worden hergebruikt – zoals marketing of het opbouwen van een blijvend kandidaatprofiel. Een dergelijke doelwijziging zou op haar beurt een eigen grondslag vereisen. De rechtsgrondslag is daarmee niet alleen een vraag van het of, maar ook van het waarvoor.

#De informatieplicht jegens sollicitanten

Met het verzamelen ontstaat een plicht die in de dagelijkse wervingspraktijk vaak ondersneeuwt: het informeren van de betrokkene op grond van artikel 13 AVG. Zodra een onderneming een sollicitatie ontvangt, verwerkt zij persoonsgegevens en moet zij de sollicitant daarover inlichten – wie verantwoordelijk is, voor welk doel en op welke grondslag wordt verwerkt, hoe lang de gegevens worden bewaard en welke rechten er bestaan. Deze informatie moet beschikbaar zijn op het moment van verzamelen, niet pas op verzoek, en zij moet begrijpelijk en gemakkelijk toegankelijk zijn.

In de praktijk verdient een aparte privacyverklaring voor sollicitanten de voorkeur, los van de algemene privacyverklaring van de website. De meest voorkomende fout is sollicitanten zonder meer te verwijzen naar de algemene verklaring, die hun bijzondere geval – bewaartermijnen, talentpool, eventuele geautomatiseerde voorselectie – niet weergeeft. Een toegesneden privacyverklaring voor sollicitanten benoemt de bewaartermijn afhankelijk van de uitkomst, wijst op de vrijwilligheid van een foto en licht toe of en hoe AI bij de schifting wordt ingezet en dat een mens de eindbeslissing neemt.

De informatieplicht is geen doel op zich. Zij maakt de verwerking voor de betrokkene navolgbaar en is tegelijk de voorwaarde waaronder sollicitanten hun verdere rechten – inzage, rectificatie, wissing en bezwaar – überhaupt kunnen uitoefenen. Wie van meet af aan transparant is, vermijdt vragen en klachten en documenteert en passant de eigen rechtmatigheid. Transparantie aan het begin vergemakkelijkt zo het ordelijke einde.

#Hoe lang stukken mogen blijven

#Hoe lang mag ik sollicitatiegegevens bewaren?

Dit is de meest gestelde vraag – en een waarop geen starre wettelijke termijn bestaat. De AVG noemt geen concrete termijn, maar vereist verwijdering zodra het doel vervalt. De Autoriteit Persoonsgegevens hanteert hiervoor een duidelijke richtlijn: is een sollicitant afgewezen, dan is het gebruikelijk de gegevens uiterlijk vier weken na het einde van de sollicitatieprocedure te verwijderen. Dat geldt voor alle gegevens – cv, brief, gespreksnotities en e-mails. Met uitdrukkelijke, schriftelijke toestemming van de kandidaat mag de termijn worden verlengd tot ten hoogste één jaar, waarna opnieuw toestemming wordt gevraagd of wordt verwijderd.

De inordening is van belang: vier weken is een richtlijn, geen harde wettelijke termijn. Een gemotiveerde afwijking is toegestaan – een recruiter die nog enkele weken aanhoudt omdat de gekozen kandidaat in de proeftijd zit, heeft daarvoor een verdedigbaar argument. Een bewaring „voor de zekerheid" zonder grond is dat niet. Doorslaggevend blijft het doel: zolang een procedure loopt, mogen de stukken van alle sollicitanten daarvoor worden bewaard; is zij afgerond, dan begint voor de afgewezen sollicitaties de termijn waarna moet worden verwijderd.

Achter de korte termijn schuilt een tastbare reden. Elke extra maand waarin sollicitatiestukken worden bewaard, vergroot de hoeveelheid gevoelige gegevens die bij een beveiligingsincident zouden kunnen worden blootgelegd. Een bestand van oude, allang niet meer benodigde sollicitaties is een onnodig risico – het levert geen nut meer op, maar kan bij een datalek aanzienlijke schade aanrichten. Tijdige verwijdering is daarom niet alleen een plicht uit de opslagbeperking, maar ook een doeltreffende maatregel ter beperking van het risico.

#Talentpool: bewaren alleen met toestemming

Werkgevers willen vaak de stukken van veelbelovende, maar op dit moment niet passende sollicitanten voor toekomstige functies behouden. Dat is toegestaan, maar niet zonder voorwaarden. Omdat het oorspronkelijke doel met de afwijzing vervalt, heeft verdere bewaring een nieuwe grondslag nodig, en dat is in de regel de uitdrukkelijke toestemming van de betrokkene op grond van artikel 7 AVG. Deze toestemming moet vrijelijk, geïnformeerd en aantoonbaar zijn, en zij is te allen tijde intrekbaar.

In de uitvoering betekent dit: de betrokkene wordt gevraagd of haar stukken voor een begrensde periode in de talentpool mogen blijven; zij verneemt voor welk doel en hoe lang; en het intrekken is even eenvoudig als het geven. Een stilzwijgende of onbeperkte opname in een talentpool is niet toegestaan, en stilzwijgend verlengen evenmin. Een redelijke termijn is ten hoogste één jaar, waarna opnieuw toestemming wordt gevraagd of wordt verwijderd.

#Veilig ontvangen en opslaan

Hoe worden sollicitatiestukken veilig overgedragen en opgeslagen? Sollicitaties bevatten een opeenhoping van beschermenswaardige gegevens, en daarom vereist artikel 32 AVG een bij het risico passend beschermingsniveau – bij ontvangst zowel als bij opslag. De gangbare weg – de sollicitatie als onversleutelde e-mailbijlage naar een algemeen adres – is in meerdere opzichten hachelijk: de overdracht is slechts per deeltraject beschermd, de stukken blijven blijvend in het postvak liggen, en de kring van ontvangers is vaak groter dan nodig. Waarom e-mail hiervoor ongeschikt is, verdiept het artikel Persoonsgegevens veilig versturen: wat de AVG vereist; de omgang met de stukken als documenten behandelt Vertrouwelijke documenten veilig versturen – stap voor stap.

Beter is een beschermd ontvangstkanaal waarlangs sollicitanten hun stukken versleuteld indienen, zonder ze onbeveiligd per mail te versturen – bijvoorbeeld een veilig postvak (secure inbox) dat de inhoud beschermd ontvangt. Voor de daaropvolgende opslag gelden dezelfde beginselen: versleutelde opslag, een enge en bevoegde kring van toegang en – wanneer een wervingssysteem van een dienstverlener wordt gebruikt – een verwerkersovereenkomst op grond van artikel 28 AVG. Hoe minder kopieën er op hoe minder plaatsen bestaan, des te eenvoudiger wordt aan het einde het volledige verwijderen.

#Bijzondere gevallen: foto en geautomatiseerde voorselectie

#Is een sollicitatiefoto toegestaan of verplicht?

Een sollicitatiefoto is juridisch niet verplicht, en een werkgever mag er geen eisen. Zij is vrijwillig: sollicitanten mogen er een bijvoegen, maar hoeven dat niet. De reden ligt minder in de gegevensbescherming alleen dan in het samenspel met het gelijkebehandelingsrecht – een foto laat conclusies toe over kenmerken die voor de geschiktheid irrelevant en beschermd zijn. Wie de privacyvriendelijke weg kiest, maakt de foto niet tot een vereiste en gaat met een vrijwillig bijgevoegde foto terughoudend om.

Steeds vaker wordt AI bij de voorselectie ingezet – bijvoorbeeld om binnenkomende sollicitaties te schiften en te sorteren. Daarmee raakt de sollicitatieprocedure aan artikel 22 AVG, dat uitsluitend op geautomatiseerde verwerking gebaseerde besluiten met een aanmerkelijk gevolg beperkt. Een volledig geautomatiseerde afwijzing zonder menselijke betrokkenheid valt in dit domein en is slechts onder strikte voorwaarden toegestaan. Beslissend is een werkelijke, inhoudelijke menselijke controle, niet het louter bevestigen van een systeemaanbeveling. De verdere gegevensbeschermingsrechtelijke eisen aan de inzet van AI behandelt het artikel AI en gegevensbescherming: de juridische uitdagingen.

#De bewaring in één oogopslag

Het volgende overzicht ordent de typische constellaties en maakt zichtbaar dat de duur niet algemeen, maar naar aanleiding moet worden bepaald:

#Checklist: klaar om te verwijderen

De volgende korte lijst toetst of de omgang met sollicitatiegegevens over de levenscyclus standhoudt – met bijzondere aandacht voor het ordelijke einde:

• Is gedocumenteerd op welke rechtsgrondslag sollicitatiegegevens worden verwerkt?
• Worden bij het verzamelen alleen noodzakelijke gegevens vastgelegd, en worden bijzondere categorieën vermeden?
• Zijn bewaartermijnen per constellatie vastgesteld en onderbouwd?
• Bestaat er een verwijderroutine die na het verstrijken van de termijn betrouwbaar in werking treedt – over alle opslaglocaties heen?
• Is er voor de talentpool een vrijelijk gegeven, intrekbare toestemming?
• Worden sollicitaties via een beschermd kanaal ontvangen en versleuteld opgeslagen?
• Bestaat er bij gebruik van een wervingssysteem een verwerkersovereenkomst?

Blijft een punt open, dan hoort het te worden opgehelderd voordat de volgende sollicitatie binnenkomt.

#Conclusie

Gegevensbescherming bij sollicitatiestukken is minder een kwestie van afzonderlijke verboden dan een kwestie van de ordelijke levenscyclus. Aan het begin staat de beperking tot het noodzakelijke; in het midden een zuivere rechtsgrondslag en een passend beschermingsniveau bij ontvangst en opslag; aan het einde de tijdige en volledige verwijdering – of, waar gewenst en toegestemd, de bewuste overgang naar een talentpool.

Het beslissende en meest verwaarloosde punt is het einde. Een omschreven verwijderconcept dat na het verstrijken van de termijnen betrouwbaar in werking treedt, beschermt niet alleen de afgewezen sollicitanten, maar ook de werkgever – tegen het verwijt gegevens zonder doel en zonder grondslag te hebben bewaard. Wie de levenscyclus consequent tot het einde doordenkt, maakt van een wettelijke plicht een betrouwbare routine.