Kort antwoord: Onder GDPR en RODO bestaat er geen wettelijk vast aantal maanden voor elk cv. Artikel 5 zegt dat je gegevens alleen zo lang bewaart als nodig is voor het doel. Voor niet-weerhouden kandidaten raad ik aan maximaal 6 maanden te bewaren na afloop van het proces, voor kleine teams. Dat is mijn mening over hoe wij aanwerven, geen “de wet”. Poolse rechtbanken kunnen langere bewaring toestaan om een claim te verdedigen. Bewaring voor de talentpool is een andere klok en vereist toestemming.
Deze post is informatief. Het is geen juridisch advies. Raadpleeg een jurist in je land en voor jouw zaak.
Wat vereisen GDPR en RODO eigenlijk qua bewaring?
Ze vereisen eerst een doel, dan een gerechtvaardigde termijn, en daarna het wissen zodra dat doel is afgelopen.
Artikel 5 GDPR bepaalt de beperking van de opslag: bewaar persoonsgegevens in identificeerbare vorm niet langer dan nodig voor de verwerkingsdoeleinden. Je legt de termijn vast en je kunt aantonen waarom ze past. De ICO-gids over opslagbeperking van de Britse toezichthouder zegt hetzelfde in gewone taal: bewaar gegevens van niet-weerhouden sollicitanten niet langer dan je nodig hebt voor de termijn waarbinnen een claim kan worden ingediend, tenzij je een duidelijke zakelijke reden hebt.
RODO is gewoon de Poolse naam voor GDPR (Verordening (EU) 2016/679). Dezelfde verordening. Poolse werkgevers volgen ook de regels van het Arbeidswetboek voor dossiers van aangeworven werknemers.
De informatieplicht zoals ByteLaw die beschrijft, is hier praktisch: vermeld hoe lang je kandidaatgegevens verwerkt, met een concrete termijn of duidelijke criteria, in de vacature of het online sollicitatieformulier.
Waarom zijn er twee klokken voor sollicitaties?
Omdat het verdedigen van een claim en het opbouwen van een talentpool verschillende doelen zijn, met verschillende rechtsgronden.
| Doel | Gebruikelijke grondslag | Wat je mag doen | Klok |
|---|---|---|---|
| Gesloten vacature, mogelijke verdediging tegen discriminatie | Vaak gerechtvaardigd belang (art. 6(1)(f)) | Beperkte gegevens bewaren voor verdediging; ze niet hergebruiken om nieuwe functies aan te bieden | Polen: het NSA-arrest 2024 kan bewaring toestaan tot ongeveer de verjaringstermijn (vaak besproken als tot ~3 jaar). De praktijk in het VK ligt vaak in maanden. Mijn voorkeur voor kleine teams: maximaal 6 maanden. |
| Talentpool voor toekomstige functies | Toestemming (art. 6(1)(a)) | Alleen voor nieuwe functies contacteren als ze daarmee hebben ingestemd | De termijn die in de toestemmingstekst staat. Nosowski (verwant aan ByteLaw) behandelt toestemming voor toekomstige werving vaak als meestal niet langer dan ongeveer één jaar. |
| Lopende sollicitatie voor één job | Stappen richting een contract / wettelijke plichten, waar van toepassing | Die vacature doorlopen | Tot dat proces eindigt, daarna van doel wisselen of wissen |
Michał Nosowski op Wśród Danych gaat nog steeds uit van een strikte standaard: wis niet-weerhouden kandidaten snel na afloop van het proces. Daarna bespreekt hij het NSA-pad voor bewaring ter verdediging, en houdt hij de talentpool apart onder aparte toestemming.
Het NSA-arrest van 20 februari 2024 (III OSK 2700/22) is het Poolse mijlpaalarrest waar mensen naar verwijzen voor verdedigingsbewaring van niet-weerhouden sollicitanten. Verslaggeving in Gazeta Prawna legt uit dat werkgevers die gegevens mogen bewaren (niet vrij hergebruiken) voor mogelijke discriminatieclaims, tot ongeveer drie jaar. Mogen is het sleutelwoord. Het is geen zachte plicht om elk cv drie jaar te bewaren. Voor kleine teams geef ik nog steeds de voorkeur aan ≤6 maanden wanneer er geen lopend geschil is.
Welk schema raad ik een kleine werkgever aan?
Een kort schriftelijk schema dat je in je privacyverklaring kunt opnemen.
| Type gegevens | Mijn voorgestelde bandbreedte voor kleine teams | Opmerkingen |
|---|---|---|
| Niet-weerhouden sollicitant (deze vacature) | Maximaal 6 maanden na afloop van het proces | Mijn mening. Wis of anonimiseer eerder als je het verdedigingsvenster niet nodig hebt. Het Poolse recht staat langer toe, maar alleen voor verdediging. |
| Talentpool | Alleen met toestemming bij het solliciteren; termijn zoals vermeld (vaak maanden, in de praktijk vaak ≤1 jaar) | Geen toestemming betekent niet opgenomen in de pool. |
| Dossier van aangeworven werknemer (Polen) | Dienstverband plus 10 jaar erna voor aanwervingen na 2019 (gebruikelijk wettelijk traject) | Volg de regels op gov.pl / het Arbeidswetboek voor je cohort. |
| Vacature verwijderd in Canvider | Gerelateerde gegevens opruimen na 30 dagen | Productregel. |
| Discover People-previews in Canvider | Ongeveer 48 uur | Productregel. |
Als je in het VK en in Polen aanwerft, schrijf dan beide klokken in de kennisgeving. Doe niet alsof één getal alle doelen dekt.
Wanneer je later van tool wisselt, reist de bewaring met je mee. Zie hoe je van ATS wisselt zonder kandidaatgegevens te verliezen voor wat er netjes geëxporteerd wordt en wat niet. GDPR staat ook naast de regels voor AI-screening; dat behandelen we in EU AI Act en AI-aanwervingstools.
Wat doet Canvider met de bewaring van kandidaatgegevens?
We houden de twee klokken in het product strikt gescheiden.
- Zonder toestemming voor toekomstige kansen bij het solliciteren wordt de persoon niet opgenomen in de TalentPool. Dat betekent niet dat we de sollicitatie automatisch wissen.
- Delete Candidate is het volledig wissen.
- Een vacature die als Deleted is gemarkeerd, ruimt de gerelateerde gegevens na 30 dagen op.
- Discover People-previews blijven ongeveer 48 uur bewaard.
- Een klant vroeg ons om geen gegevens in niet-GDPR-diensten in te voeren. Canvider stuurt geen kandidaatgegevens naar niet-GDPR-diensten.
Als je een korte checklist wilt: vermeld de termijnen in de vacature of het formulier (het punt van ByteLaw), scheid de toestemming voor de talentpool van de sollicitatie zelf, wis ook uit e-mail en gedeelde mappen, en vraag lokaal juridisch advies wanneer er een claim opduikt.
Kortere bewaring met duidelijke doelen bouwt vertrouwen op bij kandidaten. Het houdt je wervingsstack ook eerlijk.
Veelgestelde vragen
Hoelang moet ik sollicitaties van niet-weerhouden kandidaten bewaren onder GDPR?
GDPR schrijft geen vast aantal maanden voor. Artikel 5 zegt dat je persoonsgegevens alleen zo lang bewaart als nodig is voor het doel. Voor kleine teams is mijn praktische aanbeveling maximaal 6 maanden na afloop van het wervingsproces voor niet-weerhouden kandidaten. Daarna wis je de gegevens of anonimiseer je ze, tenzij een lopend geschil langer nodig heeft. Dit is geen juridisch advies.
Verschilt RODO van GDPR voor cv's van kandidaten?
Nee. RODO is de Poolse naam voor dezelfde EU-GDPR-regels. Poolse werkgevers volgen ook de regels van het Arbeidswetboek, en de Poolse rechtspraak (NSA 2024) kan langere bewaring van gegevens van niet-weerhouden sollicitanten toestaan, puur om discriminatieclaims te verdedigen. Dat wordt vaak besproken als tot ongeveer 3 jaar. Voor kleine teams geef ik toch de voorkeur aan een kortere termijn van 6 maanden wanneer het doel dat toelaat.
Mag ik afgewezen kandidaten zonder toestemming in een talentpool bewaren?
Nee. Een talentpool voor toekomstige vacatures vereist een afzonderlijke toestemming onder artikel 6(1)(a). Gegevens bewaren om een claim over een gesloten vacature te verdedigen is een ander doel. Dat berust vaak op een gerechtvaardigd belang en is geen vrijbrief om mensen over nieuwe functies te mailen. Die twee klokken door elkaar halen is een veelgemaakte HR-fout.
Verwijdert Canvider sollicitaties automatisch wanneer iemand niet instemt met toekomstige kansen?
Nee. Zonder toestemming voor toekomstige kansen bij het solliciteren wordt de persoon niet opgenomen in de TalentPool. Dat is niet hetzelfde als de sollicitatie wissen. Volledig wissen gebeurt via Delete Candidate. Een vacature die als Deleted is gemarkeerd, ruimt de gerelateerde gegevens na 30 dagen op.