Is jouw online recruitmentproces GDPR-proof?

Wie online rekruteert, is verplicht om zich te houden aan de GDPR – de General Data Protection Regulation of Privacywetgeving. Welke concrete gevolgen heeft deze vernieuwde privacywetgeving voor online recruitment? Hier lees je alles over GDPR voor online recruitment.

Sinds 2018 is een aangepaste Algemene Verordening Persoonsgegevens van kracht, de AVP/GDPR. Dat betekent dat wie een website bezoekt, een nieuwsbrief wil ontvangen of zich online inschrijft voor een evenement ook expliciete toestemming moet geven voor het gebruik van gegevens zoals zijn naam, e-mailadres of telefoonnummer. Een opt-in, dus.

Ook bij online rekruteren verzamelen organisaties heel wat persoonlijke – en gevoelige – informatie van kandidaten. Denk maar aan contactgegevens, opleidingen, cv’s of resultaten van testen. Zij zijn dan verplicht om de kandidaat duidelijk te informeren over welke persoonsgegevens voor welke doeleinden worden gebruikt. GDPR voor online recruitment, het is iets waar je dus best rekening mee houdt.

Data verzamelen, gebruiken en bewaren: vraag toestemming

Allereerst: beperk de informatie die je over een kandidaat verzamelt tot wat relevant is voor het rekruteringsproces. Verzamel je persoonlijke gegevens van een kandidaat, dan moet je daarvoor als onderneming in de eerste plaats altijd uitdrukkelijk toestemming vragen. Wil hij later zijn toestemming intrekken, dan moet het bedrijf dat ook toestaan en alle data van die persoon wissen. Dat noemen we een opt-out. 

Om te bewijzen dat je organisatie voldoet aan de GDPR, moet je bijhouden hoe en wanneer een sollicitant zijn toestemming heeft gegeven, net als voor welk wervingsproces hij die toestemming gaf. Zo moet elke kandidaat expliciet akkoord gaan met de plaats waar je zijn gegevens opslaat, wie toegang heeft tot zijn gegevens en hoe de onderneming zijn gegevens zal verwerken. Dat kan heel eenvoudig door hen te vragen een vakje aan te vinken of een digitale handtekening te zetten waarin zij verklaren dat zij het privacybeleid hebben gelezen en de onderneming toestemming geven om hun gegevens te gebruiken. Zorg daarom voor een link naar het privacybeleid.

Ook als je zelf op zoek gaat naar geschikte kandidaten – via LinkedIn of Google, bijvoorbeeld – moet je hen toestemming vragen voor het gebruik van hun gegevens. En ook wie al in je database zit, moet jou de expliciete toestemming geven om zijn gegevens te blijven bewaren en gebruiken. Dat kan via een e-mail met een link naar de opt-in. 

Een duidelijke privacyverklaring

Zorg voor een duidelijk privacybeleid, waarin je uitlegt hoe de onderneming informatie van kandidaten verzamelt, bewaart, gebruikt en beschermt. Ook het recht op een opt-out of een vraag om de gegevens in te kijken moet makkelijk terug te vinden zijn. Met een link op de sollicitatiepagina kan een kandidaat het privacybeleid van je onderneming snel bekijken. 

Wat zet je minimaal in de privacyverklaring:

• De naam en contactgegevens van je onderneming
• De uitleg dat alle informatie die de kandidaten ingeven op elk moment kan worden opgevraagd door hen en dat je ze alleen gebruikt voor wervingsdoeleinden. 
• Een overzicht van de informatie die de onderneming zal verzamelen
• Welke personen nog inzage krijgen in de persoonlijke gegevens, zoals de hiring manager, recruiter of collega’s van hr.
• Hoelang de onderneming de gegevens zal bewaren
• Informatie over de bescherming van de data

Let op: dit is maar een korte samenvatting. Neem contact op met een juridisch adviseur om de privacyverklaring van je onderneming te controleren.

Informeer, beveilig en anonimiseer

Verandert er iets aan het privacybeleid van de onderneming, dan ben je opnieuw verplicht om alle kandidaten daarvan op de hoogte brengen. Ook moeten ze de kans krijgen om zich uit te schrijven, hun gegevens in te kijken of ze aan te passen. GDPR voor online recruitment vraagt dus om een goede automatisering en organisatie.

Heb je de geschikte match gevonden, kan je de niet-geselecteerde kandidaten vragen of je hun gegevens mag bewaren in een database. Vertel er dan ook duidelijk bij met welke doeleinden je die informatie bewaart, hoe lang je dat wil doen en hoe je de data beveiligt.

Je kan nog een stapje verder gaan en kiezen om de dataverwerking van het rekruteringsproces te automatiseren met een document management system (DMS). Dat is een digitale opslagplaats voor alle metadata van de onderneming, dus ook van alle online sollicitaties. Het grote voordeel is dat de informatie in die DMS beveiligd is én makkelijk kan worden teruggevonden.
En er zijn nog meer voordelen aan:

• Je anonimiseert het recruitmentproces, waardoor de kans op unconscious bias vermindert.
• Je kan kandidaten elke keer automatisch vragen om akkoord te gaan met aanpassingen aan het privacybeleid van je onderneming.
• Je kan de bewaartermijn van data aanpassen, zodat die na het verstrijken van die termijn automatisch verwijderd wordt.

En ook op andere – minder expliciete – manieren kan je kandidaten verzekeren dat hun gegevens veilig zijn, bijvoorbeeld door een SSL-certificaat op je website te plaatsen. Daarmee geef je aan dat de data beveiligd wordt en niet kan worden onderschept. Een website met een SSL-beveiliging scoort ook hoger in Google. Win-win, dus!

Conclusie: transparantie en de juiste automatisatie zijn fundamenteel

De GDPR-wetgeving naleven is niet alleen een wettelijke verplichting, maar ook een belangrijk onderdeel van vertrouwen opbouwen én je goede reputatie als recruiter en organisatie behouden. Het is van cruciaal belang dat we ons allemaal bewust zijn van de manier waarop we gegevens verzamelen, gebruiken en opslaan. Als recruiter ben je verantwoordelijk voor de persoonlijke informatie van je sollicitanten en kandidaten. Het is aan recruiters en organisatie om ervoor te zorgen dat deze gegevens veilig en in overeenstemming met de GDPR worden behandeld.

Om ervoor te zorgen dat we voldoen aan de GDPR-wetgeving, moeten we ervoor zorgen dat we transparant zijn over welke gegevens we verzamelen, waarom we deze verzamelen en hoe we deze gebruiken. We moeten ook zorgen voor de veilige opslag en het beheer van deze gegevens. Daarbij is de gemakkelijkste weg om ervoor te kiezen enkel de gegevens te bewaren die strikt noodzakelijk zijn voor het recruitmentproces.