Op 25 mei treedt de Algemene verordening gegevensbescherming (AVG) in werking. En voor de werkgevers en intermediairs die sollicitanten niet akkoord hebben laten gaan - al dan niet met terugwerkende kracht - met een ‘recruitment proof AVG’ statement, betekent het dat alle cv’s ouder dan 4 weken uit het systeem verwijderd moeten worden. Op basis van onderzoek van Intelligence Group is de voorzichtige inschatting dat vele honderden miljoenen cv’s moeten worden gewist of geanonimiseerd.

Belangrijkste onderzoeksresultaten

Uit het onderzoek naar het hebben van een ‘AVG recruitment proof privacy statement’ bij de top-100 meest favoriete werkgevers en top-25 grootste (uitzend)bureaus kwam naar voren:

• Dat 39% van de grootste werkgevers geen privacy statement hebben met daarin verwijzingen naar de verwerking van cv’s en/of sollicitanten en derhalve niet ‘AVG recruitment proof’ zijn.
• Bij 1 op de 3 werkgevers wordt geen privacystatement voorgelegd bij of wordt niet om toestemming gevraagd (opt-in) bij de sollicitant alvorens te solliciteren.
• 23 van de 25 grootste intermediairs hebben een privacy statement waarin wordt omgeschreven wat er met de cv’s gebeurt na sollicitatie zoals de bewaartermijn, echter bij één op de drie (33%) kan de sollicitant solliciteren, zonder dat zij akkoord moet gaat met het privacy statement.

Een 'AVG recruitment proof privacy statement'

De AVG heeft veel consequenties voor het vakgebied recruitment, met name om de privacy en rechten van kandidaten te garanderen. De algehele verwachting is dat het ongevraagd verspreiden van cv’s gaat stoppen na 25 mei 2018, gezien de boetes die de Autoriteit Persoonsgegevens gaat uitdelen.

De grootste problemen die Intelligence Group met dit onderzoek constateert zijn:

1. Dat bij heel veel werkgevers en intermediairs gesolliciteerd kan worden zonder dat een sollicitant akkoord hoeft te gaan met een privacy statement.
2. Dat sollicitanten akkoord gaan met het algemene privacy statement van het bedrijf, waarin niets wordt benoemd in relatie tot het cv en/of sollicitatie. De privacy statements zijn niet AVG recruitment proof.

Om te voorkomen dat alle cv’s die ouder dan een maand zijn (een maand wordt nu aangehouden o.b.v. de richtlijnen van de NVP die de Autoriteit Persoonsgegevens overneemt) verwijderd moeten worden, is het noodzaak dat sollicitanten akkoord zijn gegaan met het privacy statement dat verwijzingen maakt naar bewaar- en bezwaartermijn van sollicitanten. In dit privacy statement dienen expliciet de rechten van de sollicitant, de verwerking van zijn of haar cv, de bewaartermijn en de doeleinden van deze verwerking te worden vastgelegd. Dit betekent voor honderdduizenden werkgevers en vele duizenden intermediairs dat zij de personen die nu in database staan alsnog moeten vragen om toestemming. Zonder toestemming zal wissen of anonimiseren de enige oplossing zijn. Het anonimiseren is alleen relevant voor statistische doeleinden.

Goede privacy statements van bedrijven

Sollicitanten horen akkoord te geven op de bewaartermijn van het cv, de verspreiding van het cv, de verwerking van de gegevens uit het cv en voor welke doeleinden deze gegevens worden gebruikt. Het siert een privacy statement als er ook de rechten van de sollicitanten in staan, zoals het bezwaartermijn dat zij hebben en het recht van inzage aldus Intelligence Group. Een aantal privacy statements kunnen dan ook echt als voorbeeld dienen voor andere werkgevers, zoals de:

• privacy statement van Albert Heijn
• privacy statement van Randstad
• privacy statement van Landal Greenparks
• privacy statement van Booking.com

Advies

Een goed en relevant privacy statement zegt iets over de professionaliteit van het recruitmentproces. Met veel respect omgaan met de privacygegevens van een kandidaat reflecteert een sterk employer brand. Enkele adviezen zijn:

1. Solliciteer op je eigen site en check of er een privacy statement is. Bekijk ook of er niet meer informatie wordt gevraagd dan noodzakelijk is.
2. Check of het privacy statement ook van toepassing is op recruitment.
3. Check of er een Functionaris Gegevensbescherming aangesteld moet worden.
4. Zet het team van recruitment bij elkaar (incl. HR, IT, Legal etc.) en bespreek welke aanpassingen gemaakt moeten worden op de site en in het proces.
5. Neem het serieus en niet lichtzinnig, de boetes liegen er niet om (maximaal €20.000.000,- of 4% van de wereldwijde jaaromzet) evenals reputatie en employer brand schade.
6. Vraag aan iedereen van wie je de gegevens in je ATS wilt behouden vóór 25 mei opnieuw toestemming a.d.h.v. het nieuwe privacy statement.
7. Verplaats je eens in de sollicitant: zou jij -op basis van de getroffen maatregelen - het gevoel hebben dat jouw gegevens veilig en zorgvuldig verwerkt worden bij jouw bedrijf?