AVG en het effect op Human Resources (HR)

De Algemene Verordening Gegevensbescherming (AVG) is een EU-gegevensbeschermingswet die op 25 mei 2018 in werking is getreden. De AVG vervangt de EU-gegevensbeschermingsrichtlijn uit 1995. Het versterkt de EU-regels voor gegevensbescherming door individuen meer controle te geven over hun persoonsgegevens en door nieuwe rechten voor individuen vast te stellen.
De AVG is van toepassing op alle bedrijven die de persoonsgegevens van EU-burgers verwerken, ongeacht waar het bedrijf is gevestigd. Dit omvat bedrijven die persoonlijke gegevens verzamelen, opslaan, gebruiken of delen.

De sancties voor het niet naleven van de AVG kunnen variëren, afhankelijk van de aard en de ernst van de overtreding. In het geval van het niet naleven van de regels voor het verwerken van persoonsgegevens bij het screenen van kandidaten, kan dit leiden tot een boete van de Autoriteit Persoonsgegevens, die de toezichthoudende autoriteit is op het gebied van de AVG in Nederland. De hoogte van de boete is afhankelijk van de omstandigheden van het geval, zoals de ernst van de overtreding en of er sprake is van opzet of grove nalatigheid. In ernstige gevallen kan een boete oplopen tot en met 20 miljoen euro of, in het geval van een bedrijf, tot 4% van de wereldwijde jaaromzet van het voorgaande boekjaar, afhankelijk van welk bedrag het hoogst is. Het is dus belangrijk om je aan de AVG te houden bij het screenen van kandidaten, om te voorkomen dat er sancties worden opgelegd.

Screening van werknemers is een gebied waarop bedrijven extra voorzichtig moeten zijn om te voldoen aan de AVG. Zo is er in 2021 bijvoorbeeld bij een vliegmaatschappij een boete uitgekeerd ter hoogte van €400.000 voor het niet goed beveiligen van persoonsgegevens. In deze blogpost bekijken we wat de AVG zegt over werknemersscreening en hoe bedrijven de wet kunnen naleven en toch hun zakelijke belangen kunnen beschermen.

Wat zijn de richtlijnen binnen recruitment/HR bij het toepassen van de AVG?  

Er is op grond van de AVG geen concrete bewaartermijn voor persoonsgegevens. Organisaties bepalen zelf hoe lang zij persoonsgegevens bewaren. Wel zijn er concrete bewaartermijnen in andere wetten waar organisaties zich aan moeten houden bijvoorbeeld op grond van belastingwetgeving. Zodra de bewaartermijn van persoonsgegevens voorbij is of de gegevens niet meer noodzakelijk zijn, dienen organisaties de gegevens te vernietigen. Bijvoorbeeld, het is gebruikelijk dat een organisatie uw sollicitatiegegevens uiterlijk 4 weken na het einde van de sollicitatieprocedure verwijdert. Een ander voorbeeld is dat uw werkgever uw loonbelastingverklaring en een kopie van uw identiteitsbewijs 5 jaar dient te bewaren nadat u uit dienst bent. 

De Algemene Verordening Gegevensbescherming (AVG) is van toepassing op HR in zoverre dat HR-afdelingen verantwoordelijk zijn voor het verwerken van persoonsgegevens van werknemers. Dit betekent dat HR-afdelingen zich moeten houden aan de regels die in de AVG zijn opgenomen voor het verwerken van persoonsgegevens, zoals het naleven van het doelbindingprincipe en het verstrekken van informatie over hoe persoonsgegevens worden verwerkt. HR-afdelingen moeten er ook voor zorgen dat persoonsgegevens op een veilige manier worden opgeslagen en verwerkt, en dat er voldoende maatregelen zijn genomen om de gegevens te beschermen tegen onrechtmatig gebruik.

In de recruitmentsector is er veel omloop van flexibele medewerkers en dus een constante vereiste om de AVG-wetgeving toe te passen. Organisaties kunnen de AVG als leidraad gebruiken om sollicitanten op twee manieren te screenen: ten eerste door het te gebruiken als een hulpmiddel om de geschiktheid van een sollicitant voor een functie te beoordelen; ten tweede door het te gebruiken als een manier om de identiteit en kwalificaties van een sollicitant te verifiëren.

Om sollicitanten te screenen dienen organisaties er rekening mee houden dat ze de persoonsgegevens van sollicitanten alleen mogen verzamelen en verwerken als ze daar een legitieme reden voor hebben. Het verzamelen van de geboortedatum van een sollicitant kan bijvoorbeeld nodig zijn om te bepalen of deze voldoet aan de minimumleeftijd voor een functie. Het verzamelen van religieuze overtuigingen van een sollicitant is echter alleen nodig als dit relevant is voor de functie in kwestie (bijvoorbeeld als een organisatie iemand zoekt voor een geloofsschool).

Organisaties moeten ook onthouden dat ze de uitdrukkelijke toestemming van een sollicitant moeten krijgen voordat ze hun persoonlijke gegevens verzamelen of verwerken - dit omvat het uitvoeren van achtergrondcontroles, zoals controles van strafregisters. Ten slotte dienen organisaties ervoor te zorgen dat ze voldoen aan alle andere aspecten van de AVG, zoals ervoor zorgen dat persoonlijke gegevens veilig worden bewaard en individuen informatie verstrekken over hun rechten onder de AVG.

Toepassen van de AVG wet- en regelgeving met betrekking tot het screenen?

De AVG is van toepassing op het screenen van kandidaten in zoverre dat het verwerken van persoonsgegevens van de kandidaten moet voldoen aan de regels die in de AVG zijn opgenomen. Dit betekent dat het screenen van kandidaten alleen mag plaatsvinden voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doelen, en dat de kandidaten vooraf geïnformeerd moeten worden over hoe hun persoonsgegevens zullen worden verwerkt. HR-afdelingen moeten er ook voor zorgen dat persoonsgegevens op een veilige manier worden opgeslagen en verwerkt, en dat er voldoende maatregelen zijn genomen om de gegevens te beschermen tegen onrechtmatig gebruik. 

Er zijn verschillende soorten gegevens die kunnen worden verwerkt bij het screenen van kandidaten, afhankelijk van het doel van het screenen en de informatie die nodig is om dat doel te bereiken. Dit kan bijvoorbeeld persoonsgegevens zijn zoals naam, adres, geboortedatum en contactgegevens, maar ook informatie over opleidingen, werkervaring en vaardigheden. In sommige gevallen kan het ook nodig zijn om bijzondere persoonsgegevens te verwerken, zoals gegevens over gezondheid of religieuze overtuigingen. Het is belangrijk om alleen die gegevens te verwerken die noodzakelijk zijn voor het doel van het screenen, en om de kandidaten vooraf te informeren over welke gegevens worden verwerkt en waarom.

Er zijn verschillende manieren waarop werkgevers deze gegevens van werknemers kunnen verzamelen. De meest veilige manier is om de werknemer een digitale- en beveiligde formulier in te laten invullen waarin om deze gegevens wordt gevraagd. De gegevens mogen dan ook tijdelijk bewaard worden en dienen verwijderd te worden als kandidaten niet door de screening komen. Hier is software voor om HR-medewerkers te helpen bij bewaken van de AVG-richtlijnen m.b.t. screening van kandidaten.