In de wereld van online recruitment voltrekt zich een geruisloze machtsovername van persoonsgegevens. Waar het contact tussen een sollicitant en een werkgever tot voor kort werd beschouwd als een vertrouwelijk proces, hebben grote tech-platformen zoals Indeed, Stepstone/Totaljobs en Seek een ‘geitenpaadje’ gevonden om hun algoritmen te voeden: disposition data. Het opslaan van deze gegevens voor de volledige levensduur van een gebruikersaccount is niet alleen een strategische keuze voor deze platformen, maar vormt een fundamentele schending van de Algemene Verordening Gegevensbescherming (AVG), de richtlijnen van de Autoriteit Persoonsgegevens (AP) en de breed gedragen NVP Sollicitatiecode.
Wat is disposition data en waarom is het ‘het nieuwe goud’?
Disposition data – in het Nederlands ook wel aangeduid als ‘statusupdates van kandidaten’ – omvatten alle informatie die wordt gegenereerd gedurende het sollicitatieproces ná het moment van sollicitatie. Het gaat hierbij niet om de gegevens in het CV zelf, maar om de interactie: werd de kandidaat uitgenodigd voor een eerste gesprek? Is er een assessment afgenomen? Wat waren de redenen voor afwijzing? Is de kandidaat uiteindelijk aangenomen?
Voor platformen als Indeed is deze data essentieel. In hun eigen documentatie stellen zij dat het delen van deze data door werkgevers (via ATS-koppelingen zoals Indeed Apply) hen in staat stelt om “betere kwaliteits-sollicitanten te leveren”. In feite betekent dit dat de uitkomst van een sollicitatie bij Werkgever A wordt gebruikt om de algoritmen van Indeed te trainen, zodat zij de kandidaat bij Werkgever B anders kunnen rangschikken of zelfs kunnen wegfilteren. De kandidaat is hierbij geen klant, maar de grondstof voor een ‘data grab’ die onbedoelde (vanuit het perspectief van de kandidaat) en onzichtbare gevolgen kan hebben voor diens carrièrekansen.
De AVG en het principe van opslagbeperking
Het meest prangende juridische struikelblok voor de werkwijze van Indeed c.s. is het principe van opslagbeperking (Artikel 5 lid 1 sub e AVG). Dit artikel stelt dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.
Wanneer een werkzoeker solliciteert bij een specifieke werkgever, is het doel van de gegevensverwerking het vervullen van die specifieke vacature. Zodra de procedure is afgerond, vervalt de noodzaak om de gedetailleerde procesgegevens te bewaren. Indeed hanteert echter een ‘privacy’beleid waarbij deze data gekoppeld blijft aan het account zolang dit bestaat. Voor veel gebruikers betekent dit dat gegevens over een afwijzing van jaren geleden nog steeds in de systemen van Indeed circuleren en een impact kunnen hebben op het zoekresultaat.
Privacyverklaring, Statusupdates van kandidaten – Indeed
Dit maakt disposition data tot ‘forever data’. Het risico is dat een kandidaat die drie keer is afgewezen voor een bepaalde rol door het algoritme wordt gecategoriseerd als ‘niet geschikt’, waardoor toekomstige kansen proactief worden ingeperkt zonder dat de kandidaat dit weet of hier invloed op kan uitoefenen. Dit staat haaks op het recht van de betrokkene om niet te worden onderworpen aan besluiten die uitsluitend gebaseerd zijn op geautomatiseerde verwerking (Artikel 22 AVG), zeker wanneer de basis hiervoor verouderde en irrelevant geworden procesdata zijn.
Doelbinding en de ‘onvoorziene verwerking’
Naast de bewaartermijn is er het principe van doelbinding (Artikel 5 lid 1 sub b AVG). Gegevens moeten worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Een sollicitant deelt zijn gegevens met de intentie om een baan te krijgen bij bedrijf X. Dat Indeed deze data vervolgens ‘on the fly’ onderschept om de eigen commerciële algoritmen te verbeteren voor andere klanten, is een secundair doel dat vaak niet transparant wordt gecommuniceerd.
De Autoriteit Persoonsgegevens (AP) is hierover duidelijk: een verwerking is onrechtmatig als de betrokkene totaal niet kan verwachten dat de gegevens voor dat doel gebruikt zullen worden. Wanneer een recruiter in zijn Applicant Tracking System (ATS) een status aanpast, heeft noch de recruiter, noch de sollicitant de reële verwachting dat deze vertrouwelijke feedback direct in de database van een HR Tech-platform vloeit.
De NVP Sollicitatiecode als juridisch anker
De NVP Sollicitatiecode is in Nederland de morele en praktische standaard voor werving en selectie, waarnaar de AP verwijst bij de invulling van ‘goed werkgeverschap’ onder de AVG. De code is kraakhelder over de termijnen:
- Vier weken: Na afloop van de procedure moeten alle sollicitatiegegevens worden vernietigd.
- Eén jaar: Alleen met expliciete toestemming mag data langer worden bewaard (voor een talentpool).
Indeed negeert deze standaard volledig. Terwijl de werkgever – de juridische verwerkingsverantwoordelijke voor het sollicitatieproces – verplicht is de data na vier weken te wissen, claimt Indeed als ’tussenpartij’ het recht om de disposition data jarenlang vast te houden onder de noemer van hun eigen ‘privacy policy’. Dit creëert een juridisch schuifpaneel: de data die bij de bron (de werkgever) moet worden gewist, leeft voort in de ‘cloud’ van een HR-Tech platform. Hiermee wordt de bescherming die de NVP-code de sollicitant biedt, effectief buitenspel gezet door technologische integraties waar de sollicitant geen enkele grip op heeft.
Het failliet van het ‘Gerechtvaardigd Belang’
Indeed beroept zich bij het verzamelen van deze data vaak op het gerechtvaardigd belang (Artikel 6 lid 1 sub f AVG). Zij stellen dat zij dit belang hebben om hun diensten te verbeteren en fraude te voorkomen. Echter, bij het gebruik van deze grondslag moet er een afweging plaatsvinden tussen het belang van het bedrijf en de privacyrechten van het individu.
In het geval van disposition data slaat de balans door naar de sollicitant. Het risico op discriminatie door algoritmen, de ontransparante wijze van dataverzameling en het feit dat de data ‘eeuwig’ kan worden bewaard, weegt zwaarder dan het commerciële belang van Indeed om hun matching-software te optimaliseren. Bovendien ontbreekt het vaak aan een echte opt-out voor de sollicitant: wie niet akkoord gaat met de algemene voorwaarden van de vacaturesite, kan simpelweg niet solliciteren via de populaire ‘Easy Apply’ functie. Dit maakt de ‘keuze’ van de sollicitant tot een schijnkeuze.
Conclusie: Een digitale beerput
Het opslaan van disposition data door partijen als Indeed voor de levensduur van een account is een vorm van ‘datakolonialisme’. Gegevens die toebehoren aan de vertrouwelijke sfeer tussen werkgever en werknemer worden geconfisqueerd voor commercieel gewin, met negeerbeurt van de wettelijke bewaartermijnen en sectorale codes.
Zolang de AP niet actief handhaaft op deze specifieke ‘back-channel’ datastromen tussen ATS-systemen en vacatureplatformen, blijft de werkzoeker vogelvrij. De huidige praktijk maakt van online solliciteren een risicovolle onderneming waarbij een afwijzing vandaag, de blokkade voor een droombaan over vijf jaar kan betekenen. Het is tijd dat de richtlijnen van de AP en de NVP Sollicitatiecode niet alleen gelden voor de werkgever op de hoek, maar ook voor de tech-giganten die het proces faciliteren. Disposition data mag geen ‘forever data’ zijn en kan alleen met een vrijwillige, expliciete (= actieve opt-in), geïnformeerde en enkelvoudige actie van de werkzoeker worden gebruikt.
Nog wat aanvullende informatie:
AP pagina over het gerechtvaardigd belang: Hier legt de AP uit dat verwerking niet onverwacht mag zijn. https://www.autoriteitpersoonsgegevens.nl/themas/basisregels-privacy/rechten-van-betrokkenen/gerechtvaardigd-belang
AP richtlijnen over transparantie: De AP benadrukt dat organisaties “helder en begrijpelijk” moeten zijn over wat ze met data doen. Het verstoppen van een complexe ATS-koppeling in een privacyverklaring van tientallen pagina’s voldoet niet aan de eis van de AP dat informatie “gemakkelijk toegankelijk” moet zijn. https://www.autoriteitpersoonsgegevens.nl/themas/basisregels-privacy/privacyverklaring-en-informatieplicht
EDPB Guidelines on Legitimate Interest (06/2024): De AP hanteert deze Europese richtlijnen. Hierin staat expliciet (onder het kopje ‘Reasonable Expectations’) dat de relatie tussen de betrokkene en de verwerkingsverantwoordelijke bepalend is. Een sollicitant heeft een relatie met de werkgever, niet met de data-afdeling van een vacaturesite die feedback van die werkgever verzamelt.
Eerdere artikelen over dispisition data: