Nog 7 maanden. Op 25 mei 2018 moet elke organisatie die persoonsgegevens van EU-ingezetenen verwerkt, voldoen aan de General Data Protection Regulation (GDPR). Of in het Nederlands: de AVG (de ‘Algemene Verordening Gegevensbescherming’). Het gaat om ‘de belangrijkste wijziging in de regulering over data en privacy in 20 jaar’, aldus de EU zelf.
Recht op inzage van data
De nieuwe Europese regels leggen vast welke maatregelen organisaties moeten nemen om het gebruik van data van personen te beschermen. Dat geldt dus ook voor gegevens van sollicitanten en zelfstandigen die op een opdracht gereageerd hebben. De nieuwe wet introduceert ook een aantal nieuwe zaken. In de kern komt de regelgeving erop neer dat een persoon:
- actief toestemming moet geven dat zijn/haar gegevens worden verwerkt en gebruikt (dus bijvoorbeeld voor een sollicitatieprocedure), plus dat organisaties moeten uitleggen hoe dat gedaan wordt.
- het recht heeft volledig verwijderd te worden uit alle systemen van een organisatie waaraan ze die toestemming hadden gegeven of dat die gegevens overgezet worden naar een ander.
- het recht heeft om te kunnen opvragen welke gegevens een organisatie heeft verzameld over hen. Een kandidaat moet ook een een digitale kopie van de opgeslagen en gebruikte data kunnen opvragen.
Mogelijk zeer forse boetes
Met name de mogelijk zeer forse boetes maken organisaties nerveus over GDPR. Boetes kunnen oplopen tot 20 miljoen euro of 4 procent van de totale omzet van het bedrijf (!). Daarbij geldt een persoonlijke aansprakelijkheid van bestuurders, die ook strafrechtelijk vervolgd kunnen worden.
Kandidaatgegevens via schakels
In een branche waar kandidaatgegevens niet zelden via een aantal schakels gaan en waar vaak bij elke stap informatie over de kandidaat wordt toegevoegd, roept dit veel vragen op. Over de haalbaarheid, beheersbaarheid en verantwoordelijkheden. En hoe dit op te lossen. Op vrijdag 29 september gaat expert Will-Martijn Swaager in een kosteloos webinar verder in op dit zeer actuele thema. Dat doet hij samen met Hugo-Jan Ruts van ZiPconomy (foto), die zich erover verbaast dat het onderwerp nog zo weinig aandacht krijgt in de recruitmentwereld.
Waarom is GDPR nu juist voor de recruitmentwereld zo belangrijk?
Ruts: ‘Van alle persoonsgegevens die verwerkt worden is het cv wel een van de meest persoonlijke. Voor zelfstandigen komen daar nog eens gegevens bij zoals het bankrekeningnummer, BSN en de KvK-gegevens. Daarbij voegen recruiters vaak gevoelige informatie toe aan dat cv. Daar moet je vanaf nu dus heel bewust en zorgvuldig mee omgaan.
‘Je moet er niet aan denken dat kandidaten met deze wet in handen je eens lekker gaan terugpesten.’
Deze wet komt er in feite op neer dat persoonsgegevens eigendom zijn van die persoon. En dat is in deze tijd natuurlijk ook wel terecht. Maar het vraagt wel serieus aandacht. In elke procedure stel je mensen teleur. Je moet er niet aan denken dat kandidaten met deze wet in handen je eens lekker gaan terugpesten.’
Is het algemeen beleid rond persoonsgegevens niet voldoende?
‘Bescherm je het dataproces niet goed, dan riskeer je hoge boetes. Maar als je aan de andere kant wél allerlei voorzorgsmaatregelen neemt en je helemaal indekt, loop je het risico dat je kandidaten confronteert met allerlei verplichtingen en bureaucratie. Met het gevaar dat kandidaten al vroeg in het recruitmentproces afhaken. Ook dat wil je natuurlijk niet, zeker in een markt waar talent schaars is. Dit is dus geen onderwerp dat je sec aan je collega’s van de juridische afdeling moet overlaten.
‘Dit is geen onderwerp dat je sec aan je collega’s van de juridische afdeling moet overlaten.’
Wat dit onderwerp nog eens extra complex maakt, is dat er binnen recruitment vaak meerdere schakels zitten tussen een hiring manager en de kandidaat. Bij inhuur van zelfstandigen speelt dat nog meer. Gegevens gaan van een bureau naar een preferred supplier en dan via een MSP naar de recruitmentafdeling van een opdrachtgever, om vervolgens in de mailbox van de hiring manager te belanden. In elk stapje in de keten voegen we informatie toe aan de oorspronkelijke data.
Gegevens worden daarna verwerkt in een VMS, een ATS, een FMS, misschien nog een HR-systeem en in ieder geval nog in de financiële administratie. Op een of andere manier moet je in de hele keten ervoor zorgen dat je werkt conform de GDPR-regels. Met de verantwoordelijkheid dat je ook actief controleert dat een ketenpartner zijn zaken goed op orde heeft.’
Wat is jouw belangrijkste tip?
‘Een organisatie kan vaak niet af met een algemeen beleid. Rond recruitment spelen specifieke zaken. Dat wil zeggen dat je als verantwoordelijke voor recruitment intern aan de slag moet met je collega’s van andere afdelingen. Ook extern heb je te maken met een keten. Iedereen in die keten moet goed in gesprek en moet afspraken maken.
Voor de bureaus in de recruitment- en flexbranche is het al helemaal belangrijk om je zaken op orde te hebben. Anders is er een serieuze dreiging dat je je business kwijtraakt. Misschien niet omdat je snel een klacht aan je broek hebt, maar omdat je opdrachtgevers eisen én controleren dat je compliant bent en simpelweg geen zaken meer doen met die partijen die niet kunnen aantonen de GDPR-regels goed te hebben geïmplementeerd.
‘Het voordeel is: er is een groot gemeenschappelijk belang om dit met elkaar onder de knie te krijgen.’
Het voordeel is dat er een groot gemeenschappelijk belang is om dit punt met elkaar onder de knie te krijgen. Met eenmalig het proces herinrichten kom je een heel eind. Waarbij je ook moet beseffen dat bij enkele cruciale onderwerpen de precieze intenties van de wetgever nog niet helder zijn. Dat wordt pas na jurisprudentie duidelijker.’
Volg vrijdag het webinar
Op vrijdagmiddag 29 september gaat Hugo-Jan Ruts tijdens een gratis webinar over GDPR en het belang van privacy in recruitment en inhuur in gesprek met Will-Martijn Swaager van DCURE, expert op dit onderwerp. Registreren voor dat webinar kan hier. Benieuwd naar het volledige programma van de Webinar Week? Kijk dan hier.