Ook sollicitanten hebben recht op privacy bij verwerking van persoonsgegevens

Auteur: Helmi van Bergen, werkzaam als voorlichter/adviseur bij GrensInfoPunt Maastricht en als zelfstandig juridisch adviseur. Het artikel is geschreven op persoonlijke titel (info@juridiqua.nl) In mijn vorige artikel over &ldquo;Privacy van werknemers op de werkvloer&rdquo; schreef ik over de grondslagen van de verwerking binnen een arbeidsrelatie, de verplichtingen van de werkgever en de rechten van de werknemer. Echter voordat een arbeidsrelatie ontstaat zal de werkgever eerst op zoek gaan naar een nieuwe werknemer. De werkgever start een sollicitatieprocedure. Ook in deze voorfase van de arbeidsrelatie is de werkgever gehouden aan de AVG, de GDPR (Engels) of de DS-GVO (Duits). In dit artikel beschrijf ik de verwerking van persoonsgegevens in de sollicitatieprocedure vanuit de Nederlandse situatie. Indien er specifieke Belgische en Duitse(1) regelgeving en/of afwijkingen van toepassing zijn, zal dit worden aangegeven. Informatieverstrekking door werkgever aan sollicitant Een werkgever wil zeker bij het vervullen van een vacature graag weten met wie hij van doen heeft en of degene die voor die vacature solliciteert geschikt is voor de betreffende functie. Daarnaast heeft de sollicitant ook recht op bescherming van zijn persoonsgegevens. Om ook aan de AVG te voldoen zal de werkgever bij de sollicitatieprocedure voldoende informatie dienen te geven over de sollicitatieprocedure (artikel 5 lid 1 onder a AVG). Die informatie bestaat uit algemene informatie en specifieke op de vacature toegesneden informatie. De algemene informatie kan bijvoorbeeld in een sollicitatierichtlijn opgenomen worden, waarnaar verwezen wordt in de vacaturetekst. Hierin wordt onder andere vermeld welke persoonsgegevens worden verwerkt, met welk doel gegevens worden verzameld en verwerkt, doorlooptijden van de sollicitatie, mogelijkheid van screening en bewaartermijnen.(2) Persoonsgegevens Welke gegevens mogen gevraagd worden aan de sollicitant? Dit zijn in het algemeen persoonsgegevens, die betrekking hebben op de persoon, zijn opleiding en loopbaan. Daar zal de werkgever wel in acht moeten nemen dat hij geen bijzondere persoonsgegevens vraagt, zoals gezondheidsgegevens, ras en geloofsovertuiging. Deze laatste twee kunnen afgeleid worden wanneer op het CV een pasfoto wordt opgenomen. Verwerkingsgrondslag Elke gegevensverwerking heeft een grondslag nodig, dus ook de gegevensverwerking bij een sollicitatieprocedure. Doorgaans zal dat in deze procedure een gerechtvaardigd belang zijn (artikel 6, lid 1 onder f AVG), omdat u als werkgever graag een vacature vervuld wilt zien. Toestemming vragen aan de sollicitant kan ook (artikel 6, lid 1 onder a AVG) als grondslag dienen, echter omdat de relatie tussen de werkgever en de sollicitant als afhankelijk gezien wordt, dient hier voorzichtig mee worden omgegaan. Want volgens artikel 4 onder 11 dient die toestemming vrijelijk, specifiek, ge&iuml;nformeerd en ondubbelzinnig gegeven zijn. Een sollicitant zou zich &ldquo;gedwongen&rdquo; kunnen voelen om toestemming te geven, omdat hij de baan graag wil hebben. Screening Screening, het natrekken van de sollicitant en/of zijn gegevens mag niet zomaar gebeuren, dit kan namelijk een grote impact hebben op de privacy van de sollicitant. Het mag maar onder strikte wettelijke voorwaarden, die in de AVG en de UAVG staan:(3) De werkgever heeft een gerechtvaardigd belang voor de screening: dit moet rechtmatig zijn, maar ook aantoonbaar noodzakelijk zijn voor zijn bedrijfsactiviteiten. De screening is noodzakelijk. Dit houdt onder meer in dat de werkgever zijn doel niet op een andere manier of door een minder ingrijpend middel dan screening kan bereiken. De werkgever voldoet aan de informatieplicht. Dat betekent dat de werkgever de betreffende sollicitant of werknemer vooraf laat weten dat hij een screening uitvoert en achteraf wat de resultaten zijn. Dit kan de werkgever doen in de vacaturetekst, maar ook in de sollicitatiecode of privacyverklaring. De werkgever gebruikt de gegevens die hij uit de screening heeft verkregen niet voor een ander doel. De werkgever bewaart de gegevens niet langer dan noodzakelijk is voor het doel van de screening. De gegevens uit de screening zijn toereikend, ze doen ter zake en de werkgever verzamelt niet meer gegevens dan nodig. De gegevens worden goed beveiligd door de werkgever. De werkgever beoordeelt vooraf of hij een data protection impact (DPIA) moet uitvoeren, omdat screenen een gegevensverwerking is met een hoog privacyrisico. Daarnaast kan het voor een werkgever verleidelijk zijn om de sollicitant te screenen op sociale media; dit is echter niet toegestaan. Tenzij dit volgens de hierboven genoemde wettelijke voorwaarden gaat en de werkgever dit ook heeft gemeld in bijvoorbeeld de vacaturetekst. In Belgi&euml; bestaat er een screeningswet(4), die een uniforme procedure omvat om na te gaan wanneer een screening noodzakelijk is en wat er gescreend mag worden.(5) Het sollicitatiegesprek Nadat de sollicitatietermijn is afgelopen wordt er een keuze gemaakt uit de aangemelde sollicitanten en deze worden uitgenodigd voor het sollicitatiegesprek. En ook dit gesprek, in elk geval de informatie die tijdens dit gesprek verzameld wordt, is onderworpen aan de privacywetgeving. Maar ook mogen er tijdens dit gesprek bepaalde vragen NIET gesteld worden, zoals vragen naar de gezondheid van de sollicitant, zijn mogelijk ziekteverzuim bij zijn vorige werkgever en bij vrouwelijke sollicitanten mag niet gevraagd worden naar een mogelijke zwangerschap of kinderwens. Wel mag er gevraagd worden of er omstandigheden zijn die van invloed kunnen zijn op het functioneren van de sollicitant op de functie. De sollicitant hoeft dan niet de omstandigheden te noemen, maar wel dat die er mogelijk zijn. Mocht dat zo zijn, dan mag alleen de bedrijfsarts beoordelen of die betreffende omstandigheden de uitvoering van de functie kunnen belemmeren. Aanstellingskeuring Ook de aanstellingskeuring wordt gezien als een screening en mag alleen uitgevoerd worden als er noodzakelijke redenen zijn om dit uit te voeren. Deze aanstellingskeuring mag alleen door een bedrijfsarts worden uitgevoerd en voordat de bevindingen aan de werkgever worden gedeeld, dient de bedrijfsarts dit eerst met de sollicitant te bespreken. Besproken worden niet alleen de uitslag en bevindingen, maar ook of de resultaten van het onderzoek met de aanstaande werkgever mogen worden gedeeld. Bewaartermijnen en opschoning Nadat een van de sollicitanten is verkozen tot nieuwe werknemer zal er iets dienen te gebeuren met de (persoons-)gegevens van de overige sollicitanten. Dat wil zeggen dat er na een bepaalde periode deze sollicitatiedossiers vernietigd dienen te worden. Hiervoor moet een bewaartermijn worden bepaald. Een maand is vaak het minimum. Soms wil de werkgever de niet geselecteerde sollicitanten in portefeuille houden. Ook dat mag. Dan moet de werkgever dit aan de niet geselecteerde kandidaten vragen of zij dit willen en hiervoor een termijn aangeven. De kandidaat moet actief toestemming geven om in portefeuille te worden gehouden. Dat betekent dat dossiers van niet geselecteerde kandidaten na de bewaartermijn vernietigd dienen te worden. Dat betekent wel ALLE dossiers, dus niet alleen de dossiers van deze kandidaten bij Personeelszaken, maar ook de dossiers, die bij de mensen van de selectiecommissie aanwezig zijn. Conclusie Ook sollicitanten hebben in de sollicitatie- en selectieperiode en daarna recht op bescherming van hun persoonsgegevens. Ook hiervoor zal in de organisatie aandacht moeten zijn, zeker, maar niet alleen, waar het sollicitatiedossiers betreft. Vaak krijgen leden van een sollicitatiecommissie alle beschikbare informatie over alle sollicitanten toegestuurd. Tegenwoordig gebeurt dit vaak per mail en dit blijft dan in de mailbox zitten met alle mogelijke gevolgen van schending van deze persoonsgegevens. Het is daarom raadzaam om ook de gehele sollicitatieprocedure na te lopen op AVG-aspecten en op waar er extra bescherming van persoonsgegevens van sollicitanten nodig is.(6) Noten 1 In Duitsland wordt dit voornamelijk geregeld voor relaties tussen werknemers en werkgevers in arbeidsverhoudingen in artikel 26 BDSG. 2 Zie hiervoor ook de NVP Sollicitatiecode (versie 3-3-2020). 3 https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/werk-uitkering/screening#welke-eisen-stelt-de-privacywetgeving-aan-screening-4613. 4 Wet van 11 december 1998 tot oprichting van een beroepsorgaan inzake veiligheidsmachtigingen en veiligheidsadviezen, BS 7 mei 1999. 5 Zie hiervoor pagina 82 t/m 86 uit &ldquo;Privacy en gegevensbescherming van de werknemer in de private en publieke sector&rdquo; door Koen Naert. 6 Zie hiervoor ook artikel 88 AVG, dat aangeeft dat de lidstaten nadere regels kan stellen ter bescherming van de rechten en vrijheden van de rechten en vrijheden mbt de verwerking van persoonsgegevens van werknemers in het kader van de arbeidsverhouding.