Vraag: #Hilda, ik werk bij een wereldwijd werkend recruitmentbedrijf op de vestiging in Dubai. Wij bewaren c.v.'s van kandidaten die bij ons solliciteren.
Hoe lang mogen we de c.v.'s van Europese sollicitanten bewaren als straks eind mei de nieuwe privacywetgeving, de GDPR, in werking treedt?
Antwoord: een maand. Na die maand moet het automatisch gewist worden. Op straffe van een boete van twintig miljoen euro of 4% van de wereldwijde jaaromzet.
Als je het c.v. van Europeanen langer wilt bewaren dan die maand, heb je een privacy statement nodig met een recruitmenthoofdstuk. Dat hoofdstuk moet expliciet de bewaar- en bezwaartermijn van gegevens van sollicitanten benoemen, wie er toegang hebben tot het c.v. (je mag het niet meer zomaar naar klanten of prospects sturen) en andere "personal data", het recht van inzage van de sollicitant, en je moet het doel waarom het nodig is om het c.v. langer te bewaren benoemen.
De sollicitant moet expliciet toestemming geven voor dit privacy statement, een algemeen privacy statement is onvoldoende. Toestemming uit het verleden is ook niet voldoende.
Daarnaast mag je niet alle gegevens waar je naar vraagt zomaar bewaren. Hoe relevant is het om een desired salary, een asessment result of een employee referral langdurig te bewaren? Je moet kunnen laten zien dat je bij al die gegevens een belangenafweging hebt gemaakt.
Wil je hier meer over weten?
Stuur dan een e-mail naar hilda@dutchlawyerindeuae.nl