Ruim een jaar geleden werd in de Recruitercode een aantal gedragsregels vastgelegd waar elke goede recruiter houvast aan kan hebben, en die verwachtingen wekt voor kandidaten én werkgevers. Maar wat staat er eigenlijk precies in die code? En wat betekent dat nou in de praktijk? Waar zitten de dilemma’s, de pijnpunten en de addertjes onder het gras? In een serie interviews gaan we daar de komende tijd nader op in, per onderdeel van de code. Met als tweede aflevering: de privacy van kandidaten.
De Recruitercode biedt houvast voor recruiter, kandidaat én werkgever.
Wat meldt de code eigenlijk over privacy van kandidaten? Vijf dingen:
- De Recruiter handelt in overeenstemming met de AVG.
- De Recruiter zorgt dat de kandidaat van wie zij persoonsgegevens verzamelt, wordt geïnformeerd over hoe de organisatie omgaat met persoonsgegevens.
- De Recruiter vraagt niet meer informatie dan noodzakelijk voor de beoordeling van geschiktheid van de kandidaat voor de vacature.
- De Recruiter maakt duidelijk aan een kandidaat dat alle verstrekte informatie, die verband houdt met het mogelijk toekomstig functioneren, gedeeld moet worden met de organisatie. De Recruiter deelt overige gegevens alleen na expliciete toestemming door de kandidaat en alleen voor datgene waar toestemming voor gegeven is.
- Zowel voor, tijdens als na de samenwerking met de organisatie gaat de Recruiter zorgvuldig en vertrouwelijk om met informatie, zodat de privacy van de kandidaat wordt gewaarborgd. Na einde van deze samenwerking verwijdert de Recruiter alle informatie van de kandidaat en/of organisatie conform wetgeving en richtlijnen van de organisatie.
(accentuering door redactie Werf&)
Ad 1: De AVG
Of het vaak misgaat met de AVG als het gaat om recruitment? Dat valt wel mee, denkt freelance recruiter Sander Smorenberg, sinds bijna anderhalf jaar verbonden aan de Recruitercode. ‘Ik kan me in elk geval geen nieuwsberichten voor de geest halen hierover, vanuit recruitmentperspectief. Wel datalekken natuurlijk, maar dat is echt iets anders, denk ik.’
‘We merken dat kandidaten het tegenwoordig een belangrijk onderwerp vinden.’
‘Wij merken tegenwoordig steeds meer dat kandidaten het een ontzettend belangrijk onderwerp vinden’, vult Nicole Jansen (JOIN Recruitment) aan. ‘Het is spannend om te solliciteren. Je wilt als kandidaat niet dat jouw informatie zomaar overal komt te liggen. Je krijgt er als recruiter steeds meer vragen over hoe je met de gegevens omgaat. Hoe bewaar je de gegevens? Wie heeft er inzage toe? Ik begrijp dat ook. Daarbij merk ik merk dat kandidaten ook steeds beter op de hoogte zijn van de wet- en regelgeving van AVG. Je merkt dat het onderwerp steeds meer leeft.’
‘Het is misschien niet het meest sexy onderwerp, maar je wekt er wel vertrouwen mee.’
Smorenberg: ‘In de huidige arbeidsmarkt is het ook echt wel een voordeel als je kunt laten zien dat je goed omgaat met de AVG. Je laat zien dat je de wetgeving serieus neemt, dat je anticipeert, dat je stabiel bent. Het is misschien niet het meest sexy onderwerp, maar je wekt er wel vertrouwen mee.’
Inge Brattinga (docent onderzoeker bij de Juridische Hogeschool, en als jurist bij VRF Advocaten gespecialiseerd in privacy): ‘Voldoen aan de AVG is niet iets wat je moet doen omdat het de wet is, je moet het doen omdat het als recruiter je businesscase is. Het gaat om vertrouwen. Als iemand vrijwillig jou zijn persoonsgegevens geeft, dan moet je daar zorgvuldig mee omgaan.’
Ad 2: De kandidaat informeren
Jansen: ‘Door het onderwerp vooraf telefonisch bespreekbaar te maken, ben ik veel vragen al voor. Het is belangrijk dat je aan het begin van de samenwerking al vertelt wat er met de gegevens van de kandidaat gebeurt. Dit is een standaard waarvan ik vind dat elke recruiter die zou moeten nastreven.’
Smorenberg: ‘Ik wil aan de voorkant zo transparant mogelijk zijn, en kandidaten bijvoorbeeld ook wijzen op hun recht om gegevens te laten verwijderen. Ik heb bij de NS gezeten, daar werd het ook wel aan kandidaten duidelijk gemaakt wat hun rechten waren. Het gaat er echter ook om dat je het intern goed inricht. Je kunt een mooi ATS hebben, en de kandidaat toestemming vragen, maar als vervolgens iemand intern gegevens van een kandidaat rondmailt, heeft het niet veel zin meer als die kandidaat daarna vraagt om zijn gegevens verwijderd te zien worden.’
‘Ik denk dat elke recruiter moet kunnen uitleggen wat er met iemands gegevens gebeurt.’
‘Bij de NS hadden we daar ook gewoon beleid op: verwijder nou eens alle cv’s die je nog in je mail hebt. In het ATS kun je privacy redelijk makkelijk automatiseren. Maar waar het om gaat is wat je erachteraan doet: je beleid en de persoonlijke motivatie om dat vol te houden.’
Brattinga: ‘Er is een verschil tussen op papier zetten en doen. Hoeveel werkgevers verwijzen kandidaten expliciet naar de privacyverklaring? Ik maak heel vaak mee dat gezegd wordt: ik ga toch geen toestemming vragen aan de kandidaat? Maar dat moet dus wel. Er is bewustwording nodig bij recruiters dat die kandidaat net zo goed je klant is als je opdrachtgever.’
Ad 3: Niet meer informatie dan noodzakelijk
Smorenberg: ‘Waar ik aan moet denken: we hadden in het verleden een werkenbij-site waarbij de kandidaat zijn of haar geboortedatum moest invullen. Maar was dat wel strikt noodzakelijk? Je mag het eigenlijk niet eens vragen nu, maar toch zie ik dat nog wel gebeuren. Bij een heel schaarse doelgroep snappen we nu allemaal: je moet de vragenlijst zo kort mogelijk houden. Meestal is alleen naam en 06 al genoeg. Maar als het om wat minder voor de hand liggende informatie gaat, denk ik dat het sowieso goed is om erbij te zetten waarom je het vraagt.’
‘Ik vind zelf ook zoiets als een naam van een kandidaat niet zo relevant.’
Jansen: ‘Ik vind zelf zoiets als een naam van een kandidaat ook niet zo relevant wanneer ik met een collega het profiel van een potentiële kandidaat bespreek. Het gaat eerder om: hoeveel jaar ervaring heeft iemand? Waar is iemand naar op zoek? Als recruiter vind ik dat het not done is om namen te noemen. Je praat gewoon niet over sollicitanten met naam en toenaam. Zelf benoem ik iemand eerder als ‘potentiële professional’ of ‘mogelijk geschikte kandidaat’.’
Smorenberg: ‘Je mag ook niets doen met de gegevens over het welzijn van iemand, tenzij diegene daar expliciete toestemming voor geeft. Als iemand open is over bijvoorbeeld zijn of haar beperkingen, dan kun je het vervolgens hebben over hoe je dat mag delen met anderen.’
Brattinga: ‘We hebben interviews gedaan met recruiters. Toen we vroegen wat ze eigenlijk wisten van de AVG bleef het angstvallig stil. Ik denk dat vooral dáár nog de grootste vooruitgang te boeken is, in kennis en de bewustwording.’
Ad 4: Alleen na expliciete toestemming
Jansen: ‘Ik heb recent een situatie meegemaakt waarin een kandidaat die al mocht starten alleen nog een screening moest laten doen. De klant had ervoor gekozen dit bij een derde partij te beleggen. Die kandidaat heeft toen gezegd: “dat is voor mij een reden om niet verder te gaan, ik wil niet dat mijn gegevens bij een derde partij komen die ik niet ken.” Dit is denk ik een mooi voorbeeld waarbij een kandidaat gebruik maakt van zijn recht.’
Smorenberg: ‘Privacy is ook: met wie deel je of iemand gesolliciteerd heeft? Zowel in- als extern? Soms is het voor de hand liggend, soms niet. Als iemand bij manager A heeft gesolliciteerd, en je benadert daarvoor referenten, kun je die dan zomaar met manager B delen? Ik denk dat je daarvoor ook weer expliciet toestemming van de kandidaat nodig hebt.’
‘Ik ben ervan overtuigd dat het in zeker 80% van de ATS-systemen niet klopt.’
Brattinga: ‘Ik ben ervan overtuigd dat het in zeker 80% van de ATS-systemen niet klopt. Soms zitten er 10.000 kandidaten in een database. Wat doe je daarmee? Heb je met hen de afgelopen 2 maanden contact gehad, behalve misschien het sturen van vacatures? Ik vraag me ook sterk af of je dat zou moeten willen. Op een of andere manier leeft nog altijd bij veel recruiters dat je database van kandidaten zo groot mogelijk moet zijn. Maar ik denk juist: liever zo actueel mogelijk. Daar heb je meestal veel meer aan. Bovendien verplicht de AVG je dat je gegevens altijd actueel zijn.’
Ad 5: Privacy waarborgen
Smorenberg: ‘Een sollicitatie is toch ook een soort momentopname. Als je iemand op de status “afgewezen” zet, hoe lang blijft iemand daar dan op staan? Of kun je hem of haar dan nog benaderen voor andere functies? Ook dat is een stukje privacy. Ik vind het bijvoorbeeld zelf niet normaal om jarenlang gegevens van kandidaten te bewaren als je er niets mee doet. Als je ze een nieuwsbrief stuurt, of een actieve talentpool beheert, dan is dat natuurlijk anders. Maar als je er niets mee doet en er geen enkel contact is, vind ik het zelf niet normaal als je als kandidaat na 5 jaar nog in de contacten van een organisatie staat.’
Jansen: ‘Het onderwerp leeft steeds meer, maar tegelijk zie je ook dat kandidaten er vaak soepel mee omgaan. Soms krijg ik bijvoorbeeld ongevraagd een kopie van hun paspoort of diploma’s opgestuurd. Ze zijn er niet altijd mee bezig. Ook omdat er geen voorbeelden zijn van datalekken, denk ik.’
‘Als ze gevraagd worden om een paspoort, denken veel kandidaten nog: hier, alsjeblieft, doe ermee wat je wil.’
Smorenberg: ‘Er is zeker heel veel ten goede veranderd. Maar tegelijkertijd is er ook nog wel een kans dat er nog dingen misgaan. Dat je gegevens in handen vallen van fraudeurs bijvoorbeeld. Dan heb je een probleem. Kandidaten zijn zich er ook niet altijd bewust van. Als ze gevraagd worden om een paspoort, denken er heel veel: hier, alsjeblieft, doe ermee wat je wil. Pas als iemand er schade door heeft geleden, zie je het bewustzijn groeien.’
Digital wallets
Jansen: ‘Iedereen weet inmiddels wel wat de AVG is. En we zien als branche ook echt wel de voordelen ervan. Maar ik zie nog wel ruimte voor verbetering. Ik zou sollicitanten dan ook willen oproepen kritisch te zijn, en vragen te stellen. Ik zou adviseren om niet je cv te delen als je niet weet bij welke klant die wordt gedeeld.’
‘Ik zou sollicitanten willen oproepen kritisch te zijn, en vragen te stellen.’
Brattinga: ‘Er zijn veel ontwikkelingen op het gebied van digital wallets, waarmee kandidaten weer echt beheerder worden van hun eigen gegevens. Tot die tijd zou ik investeren in de privacy life cycle, dus continu kijken naar hoe het gaat en waar je het kunt verbeteren ten aanzien van de verwerking van persoonsgegevens. Regelmatig een audit doen. Daar zit ook de basis van wat de AVG uiteindelijk bedoelt.’