Sollicitatiegegevens bewaren: hoe lang mag dat na een afwijzing

Een vacature plaatsen levert al snel dertig tot honderd reacties op: cv's in de mail, sollicitatiebrieven via een formulier op de site, soms een los Whatsapp-bericht van iemand die de vacature via via hoorde. Één iemand krijgt de baan. De rest van de stapel blijft gewoon staan — in de inbox, in een map op de server, in het wervingssysteem als je dat gebruikt.

Dat gebeurt niet uit onzorgvuldigheid. Er is meestal simpelweg geen moment waarop iemand besluit: dit verwijderen we nu. De vacature is ingevuld, de aandacht gaat naar de nieuwe medewerker, en de cv's van de afgewezen kandidaten blijven ongemoeid liggen. Bij een bedrijf dat een paar keer per jaar werft, stapelt dat op tot een archief van persoonsgegevens zonder dat iemand een bewuste keuze heeft gemaakt om dat te bewaren.

Dat is het probleem: niet dat er kwaad opzet is, maar dat er geen proces is dat automatisch afsluit. Bij een klantfactuur is er een vast ritme — versturen, betalen, archiveren. Bij een sollicitatieprocedure eindigt het traject met een afwijzingsmail, en daarna gebeurt er niets meer met de data. Precies dat ontbrekende sluitstuk is waar de regels van de Autoriteit Persoonsgegevens (AP) over gaan.

De Autoriteit Persoonsgegevens is duidelijk over de hoofdregel. Op haar pagina over sollicitaties schrijft de AP: "Heeft u gesolliciteerd maar de functie niet gekregen? Dan is het gebruikelijk dat de werkgever uw gegevens uiterlijk 4 weken na het einde van de sollicitatieprocedure verwijdert." Bron: Autoriteit Persoonsgegevens — Sollicitaties.

Belangrijk om te weten: dit is geen harde wettelijke deadline met een artikelnummer erachter. Het is de praktische invulling die de AP geeft aan het opslagbeperkingsbeginsel uit de AVG — je mag persoonsgegevens niet langer bewaren dan nodig is voor het doel waarvoor je ze hebt verzameld. Voor een sollicitatie is dat doel simpel: beoordelen of iemand geschikt is voor de functie. Zodra die beoordeling klaar is en de functie is ingevuld, vervalt de grond om de gegevens te houden. De AP vertaalt dat naar vier weken als redelijke termijn.

Er is één uitzondering, en die moet je actief regelen: toestemming. Wil je een kandidaat die net niet werd aangenomen langer in beeld houden voor een volgende vacature? Dan vraag je daar expliciet toestemming voor. De AP noemt een jaar na afloop van de procedure als redelijke termijn voor die langere bewaring. Zonder die toestemming geldt gewoon de termijn van vier weken, ook als je zelf denkt dat iemand later nog interessant kan zijn.

De termijn geldt niet alleen voor het cv en de motivatiebrief. Volgens de AP valt alles wat tijdens de procedure over een kandidaat is verzameld eronder:

• de sollicitatiebrief of het ingevulde formulier
• het cv, inclusief eerdere werkgevers en opleidingen
• referenties en de correspondentie daarover
• diploma's en certificaten die zijn opgestuurd
• een eventuele Verklaring Omtrent het Gedrag (VOG)
• uitslagen van een assessment, psychologisch onderzoek of testtool
• aantekeningen die gespreksdeelnemers tijdens het sollicitatiegesprek hebben gemaakt

Dat laatste punt wordt in de praktijk vaak vergeten. Een leidinggevende die na afloop van een gesprek een paar regels typt in een notitie-app of onderaan een Word-document, heeft daarmee persoonsgegevens vastgelegd die onder dezelfde termijn vallen als het cv zelf. Diezelfde regel geldt voor een e-mailwisseling tussen collega's over een kandidaat ("wat vond jij van hem") — ook dat is data over een sollicitant en dus onderdeel van het dossier dat je na vier weken hoort op te ruimen.

De AP legt niet standaard een boete op omdat een cv na vijf weken nog in een mailbox staat — de vier weken zijn een richtlijn, geen stopwatch. Waar het wél misgaat, is wanneer een afgewezen sollicitant zelf vraagt om verwijdering van zijn gegevens en een bedrijf daar niets mee doet. Iedereen heeft op grond van de AVG het recht om dat te vragen, los van welke termijn een bedrijf zelf hanteert.

Dat dit geen theoretisch risico is, blijkt uit een boete die de AP in 2024 oplegde aan recruitmentbureau Ambitious People Group: 6.000 euro, omdat het bedrijf de gegevens van drie mensen niet had verwijderd nadat zij daar zelf om hadden gevraagd. Bron: Autoriteit Persoonsgegevens — Boete Ambitious People Group verwijderverzoeken, 5 juni 2024.

De les daaruit is niet dat vier weken op zichzelf een keiharde deadline is. De les is dat een bedrijf zonder proces om verwijderverzoeken te behandelen, kwetsbaar is zodra iemand er daadwerkelijk om vraagt. Wie geen idee heeft wélke cv's waar liggen — in een mailbox, bij een leidinggevende, in een gedeelde schijf — kan zo'n verzoek ook niet snel en volledig afhandelen. Dat is precies waar een opgeruimd sollicitatiearchief het verschil maakt.

Dit hoeft geen zwaar traject te zijn. Een paar concrete stappen die het verschil maken:

• Eén verzameldoos per vacature. Laat sollicitaties binnenkomen op één plek — een apart mailadres, een map of een vacaturemodule — in plaats van verspreid over de mailboxen van iedereen die bij de gesprekken zat.
• Zet de einddatum vast bij het sluiten van de vacature. Op het moment dat de functie is ingevuld, noteer je een vaste verwijderdatum vier weken later, bijvoorbeeld als agenda-item of taak. Zonder die datum gebeurt het gewoon niet.
• Vraag toestemming als je iemand wilt bewaren. Wil je een kandidaat een jaar in beeld houden voor een volgende functie, vraag dat dan expliciet en leg vast wanneer en waarvoor je toestemming hebt gekregen. Zonder die toestemming vervalt na vier weken ook deze data.
• Ruim ook de losse aantekeningen op. Een notitie in een chatgesprek of onderaan een document telt mee. Spreek met wie bij gesprekken zit af waar aantekeningen komen te staan, zodat je ze op hetzelfde moment kunt verwijderen als de rest van het dossier.
• Zorg dat een verwijderverzoek ergens binnenkomt. Eén vast e-mailadres of contactpersoon voor privacyverzoeken voorkomt dat een verzoek van een afgewezen sollicitant tussen wal en schip valt, zoals bij Ambitious People Group gebeurde.

Het kost geen ingewikkeld systeem om dit op orde te krijgen — vooral een vaste afspraak over wie na het sluiten van een vacature de verwijderdatum zet, en een plek waar verzoeken van kandidaten terechtkomen.