Een ATS en de AVG-wetgeving

Toch blijkt juist dat uitgangspunt in de praktijk nog regelmatig voor verwarring te zorgen. Hoe lang mag je een cv bewaren? Mag je een goede kandidaat benaderen als er over een jaar een passende vacature ontstaat? Is een talentpool wel toegestaan? En waarom vragen zoveel sollicitatieformulieren eigenlijk om een verplicht akkoord op de privacyverklaring? 

In dit artikel leggen we uit hoe het zit. Niet vanuit juridisch jargon, maar vanuit de dagelijkse praktijk van recruitment. 

Een sollicitatie is niet langer eigendom van de werkgever 
Wie al wat langer in het HR-vak werkt, zal het herkennen. Vóór de invoering van de AVG werd een sollicitatie vaak gezien als iets dat bij de werkgever terechtkwam. Een cv verdween in een ordner, later in een map op de server of in een database. Misschien kwam die kandidaat ooit nog eens van pas. 

Dat voelde destijds heel normaal. Sterker nog de norm je cv moet op 2 A4-tjes passen komt vanuit de bewaar gedachte in een archief kast.  

Met de komst van de AVG is dat fundamenteel veranderd.
Een cv, motivatiebrief of portfolio blijft eigendom van de kandidaat. Als werkgever ontvang je die gegevens uitsluitend om een sollicitatie te kunnen beoordelen. Niet om ze onbeperkt te bewaren of later opnieuw te gebruiken wanneer dat jou goed uitkomt. De kandidaat houdt de regie. 

Dat klinkt misschien als een klein verschil, maar het is misschien wel de grootste verandering die de AVG heeft gebracht. De wet draait namelijk niet om bewaartermijnen of vinkjes. De kern is zelfbeschikking. De kandidaat bepaalt wat er met zijn persoonsgegevens gebeurt en hoe lang jij die mag bewaren. Wanneer je vanuit dat uitgangspunt naar recruitment kijkt, worden veel AVG-vragen ineens een stuk logischer.  

Hoe lang mag je sollicitatiegegevens bewaren?
Dit is waarschijnlijk de vraag die het vaakst wordt gesteld. En gelukkig is het antwoord vrij duidelijk. Wanneer een sollicitatieprocedure is afgerond en een kandidaat niet wordt aangenomen, mogen de sollicitatiegegevens zonder aanvullende toestemming nog maximaal vier weken worden bewaard. Daarna moeten de gegevens worden verwijderd. Dat is geen vrijblijvende richtlijn, maar het uitgangspunt van de AVG. 

De gedachte daarachter is eenvoudig. De sollicitatieprocedure is afgerond. Het doel waarvoor je de gegevens hebt ontvangen, bestaat niet meer. Dan is er ook geen reden meer om de gegevens te bewaren. Toch zien we in de praktijk nog regelmatig Excel-bestanden, mailboxen of oude ATS-systemen waarin sollicitaties van drie, vijf of zelfs tien jaar oud terug te vinden zijn. Dat is niet alleen onnodig. Het is ook niet toegestaan. 

Langer bewaren? Alleen met toestemming 
Natuurlijk kan het voorkomen dat je een kandidaat niet hebt aangenomen, maar wel graag in beeld houdt voor de toekomst. Dat mag. Sterker nog, een goed opgebouwde talentpool kan voor zowel werkgever als kandidaat heel waardevol zijn. Maar dan moet de kandidaat daar wel bewust mee instemmen. 

Die toestemming moet vrij gegeven worden, specifiek zijn en duidelijk maken waarvoor de gegevens worden gebruikt. Minstens zo belangrijk is dat je ook vertelt hoe lang je de gegevens bewaart. In onze ogen is één jaar daarbij een mooie en zorgvuldige termijn. Daarna vraag je opnieuw of de kandidaat nog opgenomen wil blijven in je talentpool. Blijft een reactie uit of geeft iemand geen nieuwe toestemming, dan verwijder je de gegevens. Dat sluit veel beter aan bij de gedachte van de AVG dan kandidaten jarenlang ongemerkt in een database laten staan. 

Open sollicitaties vormen een uitzondering 
Open sollicitaties verdienen een iets andere benadering. Iemand neemt immers zelf het initiatief om belangstelling te tonen voor jouw organisatie, terwijl er misschien nog helemaal geen vacature is. Juist deze kandidaten zijn vaak bijzonder interessant voor de toekomst. Wanneer een kandidaat zijn gegevens stuurt, dan geeft die daarmee aan benader mij voor mogelijk interessante rollen in de toekomst. Daarmee is een redelijke bewaartermijn voor een open sollicitatie bijvoorbeeld maximaal twee jaar.. Daarna vraag je opnieuw toestemming om de gegevens nog een jaar te mogen bewaren. 

Op die manier blijft je talentpool actueel én houdt de kandidaat zelf de regie. Een talentpool is daarmee geen digitaal archief, maar een bestand van mensen die bewust hebben aangegeven dat zij graag in contact blijven. Dat is een belangrijk verschil. 

Een privacyverklaring is geen toestemming 
Veel recruitmentsystemen tonen onder het sollicitatieformulier een verplicht vinkje. “Ik ga akkoord met de privacyverklaring.” Zonder dat vinkje kan de kandidaat niet solliciteren. Persoonlijk vind ik dat een opmerkelijke ontwikkeling. Een privacyverklaring is namelijk bedoeld om kandidaten te informeren. Je legt uit welke gegevens je verwerkt, waarom je dat doet, hoe lang je ze bewaart en welke rechten de kandidaat heeft. Daar vraag je in feite geen toestemming voor. Sterker nog, als organisatie bén je verplicht die informatie te geven. Door een kandidaat verplicht akkoord te laten gaan voordat hij überhaupt kan solliciteren, ontstaat een vreemde situatie. 

Eigenlijk zeg je dan: “Wij vinden jouw privacy heel belangrijk, maar als je onze privacyvoorwaarden niet accepteert, kun je geen gebruik maken van deze sollicitatieprocedure.” Juridisch zal daar verschillend over worden gedacht, maar persoonlijk vind ik dat niet passen bij de geest van de AVG. De AVG is juist bedoeld om mensen een vrije keuze te geven. Niet om die keuze afhankelijk te maken van deelname aan een sollicitatieprocedure. 

Vergeet de verwijdertermijn niet 
Opvallend genoeg besteden veel organisaties veel aandacht aan het verzamelen van sollicitaties. Maar veel minder aan het verwijderen ervan. Juist daar gaat het vaak mis. Wanneer een procedure is afgerond en er is geen toestemming om gegevens langer te bewaren, moeten die gegevens na vier weken verdwijnen. Heb je afgesproken dat gegevens één jaar bewaard blijven? 

Dan verwijder je ze na dat jaar. 
Heb je een open sollicitatie twee jaar bewaard? Dan vraag je opnieuw toestemming of verwijder je de gegevens. Dat klinkt eenvoudig. Maar wanneer je tientallen vacatures per jaar hebt en honderden sollicitaties verwerkt, wordt dat handmatig al snel een uitdaging. Daarom is het verstandig om bewaartermijnen niet afhankelijk te maken van Outlook-herinneringen of Excel-lijstjes. Een goed ATS bewaakt deze termijnen automatisch en helpt recruiters om op tijd actie te ondernemen. Niet omdat de software dat wil. Maar omdat je kandidaat daar recht op heeft.  

De AVG gaat niet alleen over bewaren 
Nog een misverstand. Veel mensen denken dat de AVG vooral gaat over bewaartermijnen. Eigenlijk gaat de wet over iets veel fundamentelers. De kandidaat houdt zeggenschap over zijn eigen persoonsgegevens. Dat betekent ook dat iemand moet kunnen weten welke gegevens je bewaart. Dat iemand gegevens moet kunnen aanpassen wanneer die niet meer kloppen. En dat iemand moet kunnen vragen om zijn gegevens te verwijderen. Moderne ATS-systemen kunnen daar een belangrijke bijdrage aan leveren. 

Binnen Tool2Match beschikken kandidaten bijvoorbeeld over een eigen kandidaat omgeving. Daar kunnen zij zelf hun gegevens bekijken, aanpassen of verwijderen. Niet omdat het een handige extra functionaliteit is, maar omdat het perfect aansluit bij de gedachte achter de AVG: de regie ligt bij de kandidaat. Technologie ondersteunt daarmee niet alleen recruiters. Ze ondersteunt vooral de rechten van sollicitanten. 

Privacy en een goede candidate experience gaan hand in hand 
Soms wordt de AVG gezien als een beperking. Alsof privacyregels recruitment alleen maar ingewikkelder maken. Wij kijken daar anders naar. 

Werkgevers die zorgvuldig omgaan met persoonsgegevens, gaan meestal ook zorgvuldig om met kandidaten. Ze communiceren duidelijk. Ze leggen uit waarom ze gegevens vragen. Ze maken heldere afspraken. En misschien nog wel belangrijker: ze komen die afspraken ook na. Dat is precies wat kandidaten verwachten. Een goede candidate experience begint daarom niet bij het eerste sollicitatiegesprek. Die begint op het moment dat iemand besluit zijn persoonsgegevens aan jouw organisatie toe te vertrouwen. 

Vertrouwen is belangrijker dan een bewaartermijn 
Natuurlijk moet je de wettelijke regels kennen. Je moet weten wanneer je gegevens moet verwijderen. Wanneer je toestemming nodig hebt. En hoe je een talentpool AVG-proof opbouwt. Maar uiteindelijk gaat de AVG over iets dat veel belangrijker is dan vier weken, één jaar of twee jaar. 

Vertrouwen. 
Een kandidaat geeft jou zijn cv, werkervaring, opleidingen en soms zelfs persoonlijke motivatie in de hoop op een nieuwe toekomst. 

Ga daar zorgvuldig mee om. 
Niet alleen omdat de wet dat van je vraagt. Maar omdat het laat zien wat voor werkgever je bent. En misschien is dat wel de belangrijkste les van de AVG. Goede werkgevers bewaren persoonsgegevens niet omdat het kan. Ze bewaren ze alleen zolang de kandidaat dat wil. Dat is niet alleen juridisch zorgvuldig. Het is ook precies de aandacht en het respect die je als toekomstige werkgever wilt uitstralen.