Vier weken, en geen dag langer: hoe lang je sollicitatiegegevens mag bewaren

Vier weken, en wat daar allemaal onder valt

De Autoriteit Persoonsgegevens gaat uit van maximaal vier weken na afloop van de sollicitatieprocedure. Dat is het kortste dat een Europese toezichthouder op dit punt hanteert, en het is niet vrijblijvend: wanneer een afgewezen kandidaat een klacht indient, is dit het eerste dat wordt gecontroleerd, omdat het zich zonder enig onderzoek laat vaststellen.

Wat vaak misgaat is niet de termijn zelf maar de reikwijdte. Het gaat om alle gegevens uit de procedure: het cv, de motivatiebrief, de aantekeningen van het gesprek, de uitkomst van een assessment en de e-mailwisseling met de kandidaat. Een organisatie die het cv netjes uit het systeem haalt en de gespreksverslagen in een gedeelde map laat staan, heeft de verplichting niet nageleefd — die verslagen zijn vaak de meest gevoelige stukken van het hele dossier.

De talentenpool is een tweede verwerking

Wil je een kandidaat bewaren voor toekomstige vacatures, dan mag dat tot maximaal één jaar, maar alleen als de kandidaat daar actief toestemming voor heeft gegeven. Actief betekent: gevraagd en beantwoord. Een vooraf aangevinkt vakje onder in het sollicitatieformulier is geen toestemming, en een kandidaat die nooit op het verzoek heeft gereageerd zit niet in de pool maar in een bestand zonder grondslag.

De pool is bovendien een andere verwerking dan de sollicitatie zelf: ander doel, andere grondslag, andere termijn. Wie hem in dezelfde tabel van het verwerkingsregister onderbrengt, laat de vier weken verdwijnen zonder dat iemand die beslissing heeft genomen.

• De termijn begint bij het EINDE VAN DE PROCEDURE, niet bij de afwijzing van de individuele kandidaat: een procedure die twee maanden doorloopt houdt ook de eerst afgewezen sollicitanten al die tijd in het dossier.
• Voor wie wordt aangenomen gaan de stukken over naar het personeelsdossier — maar niet alles: wat in het selectieproces rechtmatig is opgevraagd en voor de arbeidsrelatie niet nodig is, hoort te worden uitgesorteerd en niet meegenomen.
• De kopie van het identiteitsbewijs moet juist minstens vijf jaar na het einde van het kalenderjaar van uitdiensttreding worden bewaard. Het is de enige map in het dossier met een langere eigen termijn dan de rest.
• Kopiëren van een identiteitsbewijs door een partij die géén werkgever is — een uitzendbureau in de wervingsfase bijvoorbeeld — is een ander verhaal en meestal niet toegestaan.

Het praktische gevolg voor het verwerkingsregister: de rij «personeelsdossier» bestaat niet. Er zijn drie rijen, met drie termijnen en drie grondslagen, en wie ze samenvoegt heeft een register dat er compleet uitziet en voor twee derde niet klopt.