Het cv van een afgewezen kandidaat is geen onschuldige administratieve last. Het kan werkervaring, contactgegevens, demografische informatie, bewijsmateriaal van interviews, assessmentresultaten en aantekeningen van verschillende beslissers bevatten. Wanneer zo'n dossier in meerdere systemen blijft bestaan zonder een duidelijk doel of einddatum, creëert de organisatie een datagovernance-risico.
Deze richtlijn voor het bewaren van recruitmentdata is bedoeld voor grote organisaties die snel moeten kunnen handelen zonder de controle over kandidaatinformatie te verliezen. Het doel is niet om alles te verwijderen zodra een vacature is ingevuld. Het gaat erom de juiste gegevens te bewaren voor een gedocumenteerd zakelijk, juridisch en operationeel doel, en deze vervolgens consistent te verwijderen of te anonimiseren wanneer dat doel vervalt.
In Nederland en de bredere EU is de Algemene Verordening Gegevensbescherming (AVG) de leidraad voor de omgang met persoonsgegevens, inclusief die van kandidaten. Dit betekent dat organisaties niet alleen moeten voldoen aan de wettelijke bewaartermijnen, maar ook transparant moeten zijn over het 'waarom' en 'hoe' van gegevensverwerking. Met de opkomst van AI in recruitment wordt ook de governance van algoritmes en de data die deze voeden steeds belangrijker, wat extra eisen stelt aan zorgvuldig databeheer.
Waarom het bewaren van recruitmentdata een formeel beleid vereist
Recruitmentteams erven vaak versnipperde datapraktijken. Cv's staan in een applicant tracking system (ATS), interviewopnames worden opgeslagen in een assessmentplatform, managers bewaren aantekeningen in e-mail en inzendingen van bureaus blijven in gedeelde mappen staan. Elke bron kan verschillende toegangscontroles, bewaartermijnen en eigenaarschap hebben.
Die versnippering creëert drie praktische risico's. Ten eerste kunnen teams niet adequaat reageren op verzoeken van kandidaten om inzage, verwijdering of correctie van hun gegevens. Ten tweede kunnen ze gevoelige gegevens langer bewaren dan nodig, wat het risico vergroot bij een beveiligingsincident. Ten derde kunnen ze bewijsmateriaal te vroeg verwijderen en zo het vermogen verliezen om uit te leggen hoe een aanstellingsbesluit tot stand is gekomen.
Een goed onderbouwd beleid lost deze spanning op door elke categorie recruitmentdata te koppelen aan een doel, een bewaartermijn, een eigenaar en een verwijderingsactie. Het geeft hiring managers ook duidelijke richtlijnen: feedback hoort thuis in de geautoriseerde workflow, niet in persoonlijke inboxen of informele chatgesprekken.
De richtlijn voor het bewaren van recruitmentdata: begin met het doel, niet met een getal
Er is geen universele bewaartermijn die voor elke organisatie werkt. Vereisten verschillen per jurisdictie, functieprofiel, branche, collectieve arbeidsovereenkomst (CAO), procesrisico en de aard van de verzamelde gegevens. Amerikaanse organisaties moeten mogelijk bepaalde gegevens bewaren ter ondersteuning van gelijke kansen op werk, terwijl multinationale werkgevers ook rekening moeten houden met lokale privacywetgeving en beperkingen op grensoverschrijdende gegevensverwerking.
De juiste vraag is niet: 'Hoe lang mogen we kandidaatdata bewaren?', maar: 'Welk specifiek doel rechtvaardigt het bewaren van deze gegevens, en voor hoe lang?' Veelvoorkomende doelen zijn onder meer het beheren van een actieve sollicitatie, het verdedigen van een aanstellingsbesluit, het voldoen aan bewaarplichten, het overwegen van een kandidaat voor toekomstige functies met passende kennisgeving, en het onderzoeken van een klacht.
Definieer voor elk doel een periode die juridische, privacy- en HR-stakeholders kunnen ondersteunen. Een kandidaat die heeft gesolliciteerd op één functie, rechtvaardigt mogelijk een kortere bewaartermijn dan een kandidaat die zich heeft aangemeld voor een talentpool. Een gereguleerde functie kan langere documentatie vereisen dan een standaard bedrijfsvacature. Het beleid moet vermelden dat wettelijke bewaarplichten voorrang hebben op reguliere verwijderingsschema's.
Stel een recruitmentinventaris op die de werkelijke workflow weerspiegelt
Een beleid kan geen gegevens beheren die de organisatie niet heeft geïdentificeerd. Recruitmentafdelingen moeten kandidaatdata in kaart brengen, van het eerste contact tot de uiteindelijke afhandeling, inclusief systemen die worden beheerd door interne teams, externe bureaus en technologieleveranciers.
De inventaris moet onderscheid maken tussen gewone sollicitatiegegevens en informatie met een hoger risico. Een cv en sollicitatieformulier zijn niet gelijk aan een opgenomen video-interview, identiteitsdocumentatie, informatie over aanpassingen, vrijwillig verstrekte demografische gegevens of een door AI gegenereerd competentierapport. Deze gegevens kunnen verschillende gevoeligheden en toegangsvereisten met zich meebrengen.
Documenteer voor elke datacategorie de bron, het verwerkingsdoel, het bronsysteem, geautoriseerde gebruikers, de geografische opslaglocatie, de trigger voor bewaring en de verwijderingsmethode. De trigger voor bewaring is belangrijk. 'Twee jaar na verzameling' is vaak minder operationeel betrouwbaar dan 'twee jaar na sluiting van de vacature' of 'twee jaar na de laatste zinvolle interactie van de kandidaat'.
Een praktische inventaris omvat doorgaans ten minste de volgende categorieën:
- Sollicitaties, cv's, motivatiebrieven en communicatie van recruiters
- Interviewaantekeningen, gestructureerde scorekaarten, opnames en transcripten
- Assessmentresultaten, inclusief bewijs van competenties en persoonlijkheidsprofielen
- Vrijwillig verstrekte demografische gegevens, informatie over aanpassingen, recht op arbeid en achtergrondcontroles
- Talentpoolprofielen, verwijzingen, inzendingen van bureaus en ingetrokken sollicitaties
- Auditlogs met toegang, wijzigingen in scores, beslissingen en goedkeuringen
Stel bewaarregels op per kandidaatstatus en datagevoeligheid
Eén enkele, algemene bewaarregel is gemakkelijk te communiceren, maar vaak moeilijk te verdedigen. Betere beleidsregels maken gebruik van een beheersbaar aantal bewaarschema's op basis van status en gevoeligheid.
Voor actieve sollicitanten bewaart u de informatie die nodig is voor een eerlijk en efficiënt proces en om met de kandidaat te communiceren. Zodra een kandidaat is afgewezen, de sollicitatie is ingetrokken of de vacature is geannuleerd, begint de termijn te lopen volgens het gedocumenteerde bewaarschema. Als de organisatie die persoon wil behouden voor toekomstige vacatures, scheid dan dat doel van de afgesloten sollicitatie en verkrijg de vereiste toestemming of verstrek de vereiste kennisgeving.
Aangenomen kandidaten vereisen een duidelijke overdracht. Alleen de gegevens die nodig zijn voor onboarding en personeelsadministratie mogen worden overgebracht naar het personeelsdossier of HR-informatiesysteem. Interviewaantekeningen, rangschikkingsdocumenten en dubbele cv's mogen niet automatisch voor altijd met de werknemer meegaan, enkel en alleen omdat de persoon is aangenomen.
Gevoelige gegevens moeten strenger worden beheerd. Gegevens over aanpassingsbehoeften, officiële identificatienummers, documenten van antecedentenonderzoek en vrijwillig verstrekte demografische gegevens vereisen over het algemeen beperkte toegang en kunnen kortere of afzonderlijk gedefinieerde bewaartermijnen nodig hebben. Houd deze gegevens buiten het zicht van algemene hiring managers, tenzij er een duidelijke, geautoriseerde noodzaak is.
In Nederland en de bredere EU is de Algemene Verordening Gegevensbescherming (AVG) de leidraad voor het omgaan met persoonsgegevens. Dit betekent dat organisaties niet alleen moeten voldoen aan strenge eisen voor gegevensbeveiliging en -verwerking, maar ook transparant moeten zijn over hun beleid en de rechten van kandidaten moeten waarborgen. De opkomst van AI in werving en selectie voegt hier een extra laag van complexiteit aan toe, met toekomstige AI-governance wetgeving in het vooruitzicht die de noodzaak van robuust gegevensbeheer verder zal onderstrepen.
Behandel AI-beoordelingsbewijs als een beheerd record
AI-ondersteunde werving en selectie voegt nuttige bewijsstukken toe, maar creëert ook een nieuwe categorie van te beheren gegevens. Signalen voor cv-rangschikking, transcripten van interviews, gestructureerde scores, bewijs van competenties, modeluitkomsten, correcties door beoordelaars en vertaalresultaten kunnen allemaal relevant zijn voor een kandidaatverzoek, een interne audit of een betwisting van een beslissing.
Het antwoord is niet om elk ruw signaal voor onbepaalde tijd te bewaren. Het gaat erom vast te stellen welke bewijsstukken nodig zijn om de beslissing te verklaren en te verifiëren dat het proces naar behoren is verlopen. Een organisatie kan bijvoorbeeld de gestructureerde scorekaart van de kandidaat, opmerkingen van de beoordelaar, gebruikte criteria, beslissingsmotivatie en de audit trail bewaren voor een vastgestelde periode, terwijl een afzonderlijk schema wordt ingesteld voor tijdelijke verwerkingsbestanden.
Goed beheer vereist ook versiebeheer. Als beoordelingscriteria of scoringsmodellen wijzigen, moet de organisatie kunnen identificeren welke versie is gebruikt voor een specifieke campagne. Dit ondersteunt traceerbaarheid zonder teams te dwingen onbeperkt dubbele gegevens te bewaren.
Platforms zoals MIND Interview kunnen deze discipline ondersteunen door cv-analyse, bewijsmateriaal van asynchrone interviews, scoring, input van beoordelaars en uiteindelijke beslissingen binnen één controleerbare werkruimte te houden. De operationele winst is aanzienlijk: teams kunnen het aantal onbeheerde kopieën verminderen, terwijl geautoriseerde belanghebbenden rijkere bewijsstukken krijgen vóór een live interview.
Maak verwijdering afdwingbaar, niet wenselijk
Een bewaarbeleid faalt wanneer verwijdering afhankelijk is van het geheugen van een recruiter om oude vacatures op te schonen. Bedrijfsteams hebben automatisering, uitzonderingsbeheer en bewijs nodig dat het proces heeft plaatsgevonden.
Configureer systemen om records te markeren die de vervaldatum naderen, de verantwoordelijke eigenaar op de hoogte te stellen wanneer beoordeling vereist is, en in aanmerking komende gegevens te verwijderen of te anonimiseren volgens een terugkerend schema. Definieer of verwijdering betekent: onherstelbare wissen, verwijdering van directe identificatoren, archivering onder beperkte toegang, of een combinatie van deze acties. De definitie moet nauwkeurig zijn, want 'gearchiveerde' gegevens zijn nog steeds bewaarde gegevens.
Net zo belangrijk is het identificeren van uitzonderingen. Een juridische bewaarplicht, regelgevend onderzoek, klacht van een kandidaat, actief onderzoek of contractuele verplichting kan een tijdelijke opschorting van de normale verwijdering vereisen. Uitzonderingsrecords moeten de reden, de goedkeurende eigenaar, de reikwijdte, de startdatum en de beoordelingsdatum bevatten. Wanneer de opschorting eindigt, moeten de gegevens terugkeren naar de normale verwijderingsworkflow.
Leverancierscontracten verdienen dezelfde kritische blik. Bevestig hoe leveranciers van recruitmenttechnologie verwijderingsverzoeken verwerken, back-ups beheren, klantgegevens isoleren, klanten op de hoogte stellen van incidenten en auditbehoeften ondersteunen. Als een leverancier geen duidelijke antwoorden kan geven, kan de organisatie mogelijk niet voldoen aan haar eigen beleidsverplichtingen.
Wijs eigenaarschap toe aan HR, juridische zaken, privacy en IT
Gegevensbewaring is niet uitsluitend een verantwoordelijkheid van recruitment. Talent acquisition begrijpt de wervingsworkflow, maar juridische zaken interpreteert de bewaarplichten, privacy definieert de vereisten voor gegevensverwerking, IT en beveiliging beheren systeemcontroles, en inkoop beheert leveranciersverplichtingen.
Een werkbaar operationeel model wijst een beleidseigenaar toe, meestal binnen HR of privacy, naast systeembeheerders die de bewaarinstellingen configureren. Recruitment operations moet eigenaar zijn van de procesdocumentatie en manager training. Hiring managers moeten verantwoordelijk zijn voor het invoeren van beslissingsbewijs in goedgekeurde systemen en het vermijden van schaduwgegevens. Interne audit of compliance kan testen of het beleid werkt zoals beschreven.
Controleer het beleid minstens jaarlijks en telkens wanneer de organisatie een nieuwe beoordelingsmethode introduceert, uitbreidt naar een nieuwe jurisdictie, van leverancier verandert of een nieuwe categorie kandidaatinformatie begint te verzamelen. Groei door overnames is een andere veelvoorkomende aanleiding, omdat overgenomen teams vaak onbeheerde recruitmentarchieven met zich meebrengen.
Maak van gegevensbewaring een betere kandidaatervaring
Duidelijke bewaarregels zijn niet alleen een compliance-controle. Ze tonen respect voor kandidaten. Een beknopte privacyverklaring, een begrijpelijke uitleg over hoe lang gegevens mogen worden bewaard, en een betrouwbaar proces voor verzoeken kunnen het vertrouwen versterken, zelfs wanneer de kandidaat geen aanbod ontvangt.
Voor de wervende organisatie is de opbrengst even praktisch: minder redundante gegevens, snellere opvraging van beslissingsbewijs, minder onbeheerde bestanden en duidelijkere verantwoordelijkheid gedurende de gehele wervingscyclus. Het meest effectieve bewaarbeleid is degene die is ingebed in de recruitmentworkflow, waarbij elke beslissing wordt gedocumenterd, elk record een doel heeft en geen kandidaatgegevens worden bewaard simpelweg omdat niemand heeft besloten wat er vervolgens moet gebeuren.