Waarom weegt de AVG zwaarder bij sourcing dan bij sollicitaties?
Wie solliciteert, geeft je zelf een cv en weet dat je het hebt. Bij sourcing verzamel je gegevens over mensen die niet weten dat je naar ze kijkt. Dat verandert drie dingen: je kunt niet leunen op de sollicitatie als context, je moet mensen zelf informeren en je hebt een grondslag nodig die werkt zonder dat ze vooraf betrokken waren.
Dat een LinkedIn-profiel openbaar is, maakt het niet vrij te gebruiken. De Autoriteit Persoonsgegevens zegt letterlijk dat de regels voor het opzoeken van sollicitanten op internet ook gelden voor openbare informatie, zoals een openbaar profiel op social media. Daarbij hoort ook: beperk je tot zakelijke informatie, zoals iemands LinkedIn-account.
Op welke grondslag mag je kandidaten sourcen?
Voor sourcing is de realistische grondslag bijna altijd gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Toestemming werkt niet, want je hebt nog geen contact met de persoon, en een overeenkomst is er ook nog niet.
Gerechtvaardigd belang is geen vrijbrief. Je moet kunnen laten zien dat je drie toetsen doorstaat, en dat vastleggen, bijvoorbeeld in een belangenafweging. De Europese privacytoezichthouders (EDPB) leggen de aanpak uit in Richtsnoeren 1/2024.
De drie toetsen toegepast op sourcing
Doe dit per soort sourcingactiviteit, niet één keer voor het hele bedrijf:
- Gerechtvaardigd belang. Een concrete vacature invullen, of als bureau de vacature van een opdrachtgever, is een echt en concreet belang. 'Voor de zekerheid een grote database opbouwen' is veel zwakker.
- Noodzaak. Heb je de gegevens van deze persoon nodig voor dat belang? Werkervaring en vaardigheden wel. Vakantiefoto's, politieke posts of gezondheidsinformatie niet.
- Belangenafweging. Verwacht een professional met een openbaar werkprofiel redelijkerwijs benaderd te worden voor een passende functie? Meestal wel. Verwacht die persoon geprofileerd te worden op al zijn online activiteit of jarenlang in een lijst te staan? Nee.
Wat vraagt de AVG bij elke sourcingstap?
Een sourcingworkflow raakt bij elke stap persoonsgegevens. Dit overzicht koppelt elke stap aan het AVG-punt dat daar het zwaarst weegt.
Hoe informeer je gesourcete kandidaten (artikel 14)?
Artikel 14 AVG gaat over gegevens die je niet van de persoon zelf kreeg. Je moet diegene binnen een redelijke termijn informeren, uiterlijk binnen een maand. Gebruik je de gegevens om contact op te nemen, dan uiterlijk op het moment van dat eerste contact. Bij sourcing is het eerste outreachbericht dus het logische moment.
Je hoeft geen privacyverklaring in een LinkedIn-bericht te plakken. Een korte zin met een link werkt goed, bijvoorbeeld: 'Ik vond je profiel op LinkedIn toen ik zocht naar iemand voor deze functie. Hoe we met je gegevens omgaan: [link]. Geen interesse? Laat het weten, dan verwijder ik je gegevens.'
Wat er in de privacyverklaring moet staan
Onder artikel 14 hoort onder meer deze informatie erbij:
- Wie je bent en hoe je bereikbaar bent (en je functionaris gegevensbescherming, als je die hebt).
- Het doel (deze vacature of vergelijkbare functies) en de grondslag, inclusief je gerechtvaardigd belang.
- Welke soorten gegevens je hebt en waar je ze vandaan hebt, bijvoorbeeld LinkedIn.
- Wie de gegevens ontvangt, zoals een opdrachtgever bij een bureau, en eventuele verwerkers.
- Hoe lang je de gegevens bewaart, of de criteria waarmee je dat bepaalt.
- De rechten van de kandidaat: inzage, correctie, verwijdering, bezwaar en een klacht bij de AP.
- Of er geautomatiseerde besluitvorming of profilering plaatsvindt, en wat dat betekent.
Hoe lang mag je gegevens van gesourcete kandidaten bewaren?
De AVG noemt geen vast aantal weken. Je mag gegevens niet langer bewaren dan nodig voor het doel, en je moet die termijn vooraf bepalen. Voor sollicitanten vindt de Autoriteit Persoonsgegevens het gebruikelijk dat je gegevens uiterlijk 4 weken na het einde van de procedure verwijdert. Met toestemming van de sollicitant noemt de AP een termijn van maximaal 1 jaar redelijk.
Voor gesourcete kandidaten is dat een bruikbaar ijkpunt. Een verdedigbare aanpak: bewaar gegevens zolang de vacature loopt plus een korte periode, verwijder mensen die niet reageerden of geen interesse hadden, en zet iemand alleen in een talentpool voor langere termijn als diegene daarmee instemt.
- Stel een bewaartermijn in per workflow, niet per recruiter.
- Verwijder waar mogelijk automatisch; handmatig opschonen schiet er vaak bij in.
- Leg toestemming voor langer bewaren vast met een datum, zodat je weet wanneer die afloopt.
- Denk aan kopieën in je ATS, spreadsheets, mailboxen en sourcingtools.
Is ranken met AI geautomatiseerde besluitvorming (artikel 22)?
Artikel 22 geeft mensen het recht niet onderworpen te worden aan een besluit dat uitsluitend op geautomatiseerde verwerking berust, waaronder profilering, als dat rechtsgevolgen heeft of hen in aanmerkelijke mate treft. Een kandidaat afwijzen puur op een score, zonder dat een mens meekijkt, kan daaronder vallen.
De AP legt bij online- en game-based assessments uit dat de uitkomst van een tool bepalend kan zijn voor het besluit van de werkgever, en dan als geautomatiseerd besluit telt. Zo'n besluit mag alleen onder strikte uitzonderingen, zoals noodzaak voor het sluiten van een overeenkomst of uitdrukkelijke toestemming. De AP merkt op dat vrij gegeven toestemming bij werving en selectie lastig is, door de ongelijke verhouding tussen werkgever en sollicitant.
Zo blijft ranken binnen artikel 22
Het veiligste ontwerp is een ontwerp waarin een mens echt beslist:
- Een recruiter beoordeelt de gerankte lijst en kan mensen toevoegen, weghalen of anders ranken.
- Elke score heeft een onderbouwing die de recruiter kan naleggen in het profiel.
- Niemand wordt alleen op basis van de score automatisch uitgesloten van een vacature.
- De menselijke controle is echt, geen doorklikken: de beoordelaar heeft tijd, informatie en bevoegdheid.
En de AI Act?
AI die kandidaten beoordeelt, is onder de AI-verordening ook hoog risico, met plichten die bovenop de AVG komen. Lees onze gids over de AI Act in werving en selectie voor de tijdlijn en de plichten van gebruikers.
Privacy by design in een autonome sourcingworkflow
De AVG naleven is makkelijker als de workflow het afdwingt, in plaats van dat elke recruiter eraan moet denken. In AIcruiters zijn toegang, gebruik en bewaartermijn van gegevens beperkt per workflow, en bepalen goedkeuringsregels wat automatisch gebeurt. Privacy en hosting bespreken we uitgebreid in de technische review; zie onze beveiligingspagina.
- Bewaartermijn en gegevensgebruik ingesteld per workflow.
- Uitlegbare ranking; jullie goedkeuringsregels bepalen of een recruiter de selectie checkt voordat er berichten uitgaan.
- Toon en regels voor outreach bepaalt het team; hoe de privacyzin in het bericht komt, stem je per implementatie af.
- Twijfelgevallen naar een mens, zie menselijke controle.
AVG-checklist voor kandidaten sourcen
Loop deze lijst door met je privacyfunctionaris om je sourcingproces te toetsen.
- 01
Leg je grondslag vast
Schrijf per sourcingactiviteit je belangenafweging uit, inclusief de afweging tegen de belangen van de kandidaat.
- 02
Beperk de gegevens
Bepaal welke profielvelden je verzamelt en sluit bijzondere persoonsgegevens uit, zoals gezondheid, religie of politieke voorkeur.
- 03
Werk je privacyverklaring bij
Noem sourcing expliciet: bronnen zoals LinkedIn, doel, ontvangers, bewaartermijn en rechten.
- 04
Informeer in het eerste bericht
Elk eerste bericht bevat een korte uitleg, een link naar de privacyverklaring en een makkelijke manier om af te haken.
- 05
Handel bezwaar snel af
Houd een blokkadelijst bij, zodat mensen die bezwaar maakten niet opnieuw benaderd worden door een collega of een tool.
- 06
Stel bewaartermijnen in en automatiseer ze
Bepaal per workflow hoe lang gegevens blijven en verwijder automatisch, ook exports en kopieën.
- 07
Houd mensen in de besluiten
Geen automatische afwijzingen op een score; recruiters beoordelen en kunnen de ranking overrulen.
- 08
Controleer je leveranciers
Sluit een verwerkersovereenkomst, check waar gegevens worden verwerkt en beoordeel of een DPIA nodig is voor ranking met AI.