Een kandidaat die u vorig voorjaar aan twee klanten hebt voorgesteld, mailt op vrijdagmiddag: op grond van de AVG wil zij alle persoonsgegevens zien die u over haar hebt, met wie u die hebt gedeeld en hoe lang u ze bewaart. Haar cv staat in het Applicant Tracking System, gespreksnotities zitten in het notitieboek van een consultant, klantfeedback staat in drie mailwisselingen en één telefonische screening is in de chat samengevat. Dit artikel legt uit hoe u een inzageverzoek van een kandidaat beantwoordt vanuit uw Applicant Tracking System: waar de kandidaat recht op heeft, hoe u het verzoek vastlegt als werk met een eigenaar en een termijn, welke velden het antwoord snel maken, hoe u omgaat met notities waarin andere mensen voorkomen, en hoe u uw reactietijd meet met uw eigen gegevens. Het is praktische uitleg voor recruitmentteams, geen juridisch advies.
Per segment komt het verzoek anders binnen. Recruitmentbureaus moeten laten zien welke klanten een profiel hebben ontvangen. Uitzendorganisaties hebben grote pools met kandidaten die zich één keer inschreven en meerdere keren zijn geplaatst. Detacheerders bewaren opdrachthistorie en klantbeoordelingen jarenlang. Executive search-consultants hebben vertrouwelijke notities over mensen die nooit hebben gesolliciteerd. Interne recruitmentteams krijgen verzoeken van afgewezen sollicitanten die willen weten waarom.
Waarom inzageverzoeken misgaan als gegevens verspreid staan
- Niemand is eigenaar van het verzoek, dus de termijn van één maand verstrijkt terwijl de mail in een gedeelde inbox ligt
- Het antwoord bevat het cv en de profielvelden, maar mist gespreksnotities, scoreformulieren en klantfeedback die elders staan
- Het team kan niet zeggen welke klanten het profiel hebben ontvangen, omdat presentaties vanuit persoonlijke mailboxen zijn verstuurd
- De herkomst van het profiel is onbekend, zodat een kandidaat die nooit solliciteerde niet te horen krijgt waar u haar gegevens vond
- Notities over andere kandidaten of collega’s worden in het antwoord gekopieerd zonder dat iemand ze controleert
Een inzageverzoek is een test van uw administratie. Is het Applicant Tracking System de plek waar het kandidaatwerk gebeurt, dan is het antwoord grotendeels een export. Is dat niet zo, dan is het antwoord een zoektocht door elk hulpmiddel dat uw team ooit heeft gebruikt.
Waar de kandidaat recht op heeft
Op grond van artikel 15 AVG kan een kandidaat vragen of u persoonsgegevens van hem of haar verwerkt en, zo ja, om een kopie daarvan, met aanvullende informatie:
- Een kopie van de persoonsgegevens — profielvelden, cv en documenten, notities, gespreksuitkomsten, scoreformulieren, assessmentresultaten en berichten die over de kandidaat gaan
- De doeleinden — bijvoorbeeld de kandidaat voorstellen voor actuele vacatures of het profiel bewaren in een talentpool
- De ontvangers — de klanten, hiring managers of andere partijen met wie het profiel is gedeeld
- De bewaartermijn — hoe lang u de gegevens bewaart, of de criteria waarmee u dat bepaalt
- De bron — waar de gegevens vandaan komen als de kandidaat ze niet zelf heeft verstrekt, zoals een doorverwijzing, een vacaturesite of een professioneel netwerk
- Geautomatiseerde besluiten — of er geautomatiseerde besluitvorming met rechtsgevolgen of vergelijkbare aanzienlijke gevolgen plaatsvindt en, zo ja, nuttige informatie over de onderliggende logica; geautomatiseerde selectie- of rangschikkingssuggesties zijn het beschrijven waard, ook als een recruiter het laatste woord heeft
- De rechten van de kandidaat — rectificatie, wissing, beperking, bezwaar en het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens
Het antwoord moet zonder onredelijke vertraging komen en uiterlijk binnen één maand na ontvangst. Bij complexe of talrijke verzoeken mag die termijn met twee maanden worden verlengd, maar dan meldt u dat binnen de eerste maand aan de kandidaat, met de reden. De eerste kopie is kosteloos.
Waar het staat: een taak in het kandidaatdossier
Leg elk inzageverzoek in het Applicant Tracking System vast als taak in het kandidaatdossier, niet als mail die iemand nog eens wil beantwoorden. De taak heeft een paar velden nodig:
- Datum van ontvangst — de dag waarop het verzoek binnenkwam; daarmee start de termijn van één maand
- Aangewezen eigenaar — één persoon die het antwoord verzamelt, controleert en verstuurt; meestal de privacyverantwoordelijke of officemanager, niet de recruiter die het toevallig ontving
- Reactietermijn — berekend vanaf de datum van ontvangst en zichtbaar als volgende actiedatum, zodat het verzoek niet kan wegzakken
- Identiteitscontrole — hoe u hebt vastgesteld dat de aanvrager de kandidaat is, vastgelegd voordat er gegevens de deur uitgaan
- Verlenging — als u die gebruikt: de reden en de datum waarop de kandidaat is geïnformeerd
- Datum van verzending en wat is verstuurd — zodat u later kunt aantonen wat de kandidaat heeft ontvangen
Verzoeken komen ook telefonisch binnen, via een klant of in de inbox van een collega. Wie er een ontvangt, legt het dezelfde dag vast, ook als hij of zij niet de eigenaar is. De termijn begon toen de kandidaat het vroeg, niet toen de juiste persoon het opmerkte.
Welke velden het antwoord snel maken
Het meeste waar artikel 15 om vraagt, legt een gedisciplineerd team al vast. Elk veld hieronder maakt van een zoektocht een opzoekactie:
- Bron — een bron die bij de eerste sollicitatie is vastgelegd beantwoordt waar de gegevens vandaan komen
- Presentaties — elke presentatie aan een klant, verstuurd vanuit het Applicant Tracking System en gedekt door toestemming van de kandidaat vóór de presentatie, geeft u de lijst met ontvangers
- Bewaren — een bewaartermijn in het kandidaatdossier beantwoordt hoe lang u de gegevens bewaart
- Uitkomsten en redenen — een schriftelijke gespreksuitkomst, gestandaardiseerde afwijsredenen en een vastgelegde reden van terugtrekking laten zien wat er is besloten en waarom, in woorden die u wilt delen
- Eén dossier per persoon — dubbele dossiers samenvoegen betekent dat de export volledig is en u het tweede profiel van een collega niet mist
Dezelfde discipline helpt bij de verzoeken die vaak op een inzageverzoek volgen: een veld corrigeren, het gebruik beperken of het profiel wissen. Staan de gegevens in één dossier, dan is elk daarvan één wijziging in plaats van een zoektocht.
Notities waarin andere mensen voorkomen
Een kopie van de gegevens van de kandidaat mag de rechten en vrijheden van anderen niet aantasten. Recruitmentdossiers doen dat al snel: een shortlistvergelijking noemt andere kandidaten, een klantmail citeert een hiring manager, een gespreksnotitie noemt een referent bij naam. Voor verzending controleert de eigenaar de export en verwijdert of maakt onleesbaar wat over andere mensen gaat, terwijl wat over de kandidaat gaat blijft staan. Opmerkingen van interviewers over de kandidaat horen in de regel bij de gegevens van de kandidaat, dus schrijf ze alsof de kandidaat ze ooit leest. Dat is hoe dan ook een goede gewoonte.
Zet een korte interne notitie bij de taak met wat is weggelakt en waarom. Stelt de kandidaat vragen over het antwoord, dan kunt u uw afweging laten zien in plaats van die te reconstrueren.
Veelgemaakte fouten om te vermijden
- Alleen het cv sturen — de kandidaat vroeg om alle persoonsgegevens, inclusief notities, uitkomsten en ontvangers
- Geen identiteitscontrole — een volledig profiel sturen naar een mailadres dat u nooit eerder zag, is een datalek in wording
- Termijn in iemands hoofd — zonder datum in het dossier wordt een drukke maand ongemerkt twee
- Notities buiten het Applicant Tracking System — persoonlijke bestanden en chatsamenvattingen vallen er ook onder; ze maken u alleen trager en minder volledig
- Om een reden vragen — de kandidaat hoeft niet uit te leggen waarom hij of zij de gegevens wil zien
- Wissen tijdens het verzoek — dossiers verwijderen nadat een verzoek binnen is en voordat u hebt geantwoord, lijkt op informatie achterhouden; beantwoord eerst het verzoek en pas daarna de bewaartermijn toe
Vragen die teams stellen
- Moeten interne notities erbij? — Notities over de kandidaat zijn persoonsgegevens en vallen eronder; verwijder gegevens over andere mensen, niet de notities over de aanvrager
- De klant heeft het profiel ook. Wie antwoordt? — U antwoordt voor de gegevens die u zelf hebt, noemt de klant als ontvanger en laat de kandidaat weten dat hij of zij de klant ook om diens gegevens kan vragen
- Mogen we een link sturen in plaats van een bestand? — Een beveiligde download of een eigen inzageomgeving is prima als de kandidaat het volledige antwoord echt kan openen; leg in de taak vast wat is verstrekt
- En een kandidaat die nooit solliciteerde? — Dezelfde regels gelden; juist daarom telt een vastgelegde bron bij benaderde profielen
Meet het met uw eigen gegevens
Tel in uw eigen gegevens: hoeveel inzageverzoeken per kwartaal binnenkwamen, hoeveel kalenderdagen er zaten tussen ontvangst en antwoord, hoeveel antwoorden een verlenging nodig hadden, hoe vaak gegevens van buiten het Applicant Tracking System moesten worden verzameld, en hoeveel verzoeken werden gevolgd door een verzoek tot correctie of wissing. Vermeld bij elk cijfer het aantal verzoeken waarop het is gebaseerd. Vergelijk uzelf niet met branchegemiddelden; uw eigen tellingen laten zien waar uw administratie onvolledig is.
Zo begint u
- Maak een taaktype inzageverzoek in het kandidaatdossier met datum van ontvangst, eigenaar, termijn, identiteitscontrole, verlenging en datum van verzending
- Wijs één eigenaar aan voor privacyverzoeken en één vervanger voor vakanties
- Schrijf een korte checklist: identiteit bevestigen, dossier exporteren, ontvangers, bron en bewaartermijn toevoegen, controleren op gegevens van anderen, versturen, vastleggen
- Zet notities en klantfeedback die nog in persoonlijke bestanden staan in het kandidaatdossier
- Bekijk elk afgerond verzoek één keer: wat was lastig te vinden, en welk veld had het makkelijk gemaakt
Een inzageverzoek is een controle van uw administratie die u niet had gepland
Een kandidaat die om zijn of haar gegevens vraagt, vraagt eigenlijk of uw team weet wat het bewaart. Leg het verzoek vast in het dossier, geef het een eigenaar en een termijn, antwoord vanuit het Applicant Tracking System en bewaar het bewijs van wat u hebt verstuurd. Bekijk het product of plan een demo — wij laten u zien hoe kandidaatdossiers, bronnen, presentaties en bewaartermijnen in BoldATS voor uw segment worden ingericht. Hoe BoldATS zelf met persoonsgegevens omgaat, leest u in onze privacyverklaring.