Waarom is dataretentie belangrijk bij een ATS?

Dataretentie is belangrijk bij een ATS omdat organisaties kandidaatdata niet onbeperkt mogen bewaren. Een goed retentiebeleid bepaalt welke gegevens worden bewaard, waarom dat gebeurt en wanneer deze worden verwijderd of geanonimiseerd. Dat helpt bij naleving van de AVG, verkleint beveiligingsrisico’s en voorkomt dat het ATS volloopt met oude en onbetrouwbare kandidaatprofielen. Het ATS moet daarom bewaartermijnen, toestemming, automatische verwijdering en verschillende regels per type kandidaat kunnen ondersteunen.

Inleiding

Een ATS verzamelt tijdens recruitment steeds meer gegevens. Naast cv’s en contactgegevens gaat het om beoordelingen, notities, communicatie en sollicitatiehistorie. Niet al deze informatie blijft onbeperkt nodig. Dataretentie zorgt ervoor dat organisaties vooraf bepalen hoelang gegevens beschikbaar blijven en wat er gebeurt wanneer de bewaartermijn afloopt.

Wat betekent dataretentie bij een ATS?

Dataretentie betekent het beleid voor het bewaren en verwijderen van gegevens. Bij een ATS gaat het bijvoorbeeld om sollicitaties, cv’s, kandidaatprofielen, gespreksnotities en gegevens in talentpools.

Een retentiebeleid bevat niet één termijn voor alle informatie. De juiste bewaartermijn hangt af van het doel waarvoor de gegevens worden verwerkt. Een kandidaat in een lopende procedure bevindt zich bijvoorbeeld in een andere situatie dan iemand die twee jaar geleden is afgewezen.

Het ATS moet daarom verschillende regels kunnen toepassen op verschillende soorten dossiers en procesfasen.

Waarom kun je kandidaatdata niet onbeperkt bewaren?

Een belangrijk beginsel uit de AVG is opslagbeperking. Persoonsgegevens mogen niet langer identificeerbaar worden bewaard dan noodzakelijk is voor het doel waarvoor ze worden verwerkt.

Dat betekent dat een organisatie niet simpelweg alle kandidaatprofielen kan bewaren omdat deze later misschien nog van pas komen. Er moet een duidelijk doel bestaan voor de verdere verwerking.

De Autoriteit Persoonsgegevens benadrukt daarnaast dat organisaties binnen hun privacybeleid moeten vastleggen wanneer persoonsgegevens worden gewist wanneer die termijn bekend is. Privacy by design betekent bovendien dat systemen zo worden ingericht dat gegevens niet langer worden bewaard dan noodzakelijk.

Welke bewaartermijn geldt voor sollicitanten?

Er bestaat niet één bewaartermijn die automatisch op ieder kandidaatdossier en iedere situatie van toepassing is. Organisaties moeten beoordelen waarom zij gegevens nog nodig hebben en welke grondslag daarvoor geldt.

In Nederland wordt bij reguliere sollicitatieprocedures vaak vier weken na afloop van de procedure als uitgangspunt gebruikt voor gegevens van niet-aangenomen kandidaten. Het ministerie van Algemene Zaken hanteert bijvoorbeeld vier weken zonder toestemming.

Wil de organisatie een kandidaat langer bewaren voor toekomstige vacatures, dan kan daar een andere situatie ontstaan. Algemene Zaken hanteert bij toestemming van de kandidaat bijvoorbeeld een termijn van maximaal één jaar.

Het belangrijkste is dus niet alleen de gekozen termijn. De organisatie moet kunnen uitleggen waarom zij de gegevens gedurende die periode bewaart.

Wat betekent dataretentie voor een talentpool?

Talentpools verdienen extra aandacht. Kandidaten in een talentpool nemen meestal niet meer deel aan een actuele sollicitatieprocedure. Hun gegevens worden juist bewaard omdat de organisatie later opnieuw contact wil kunnen opnemen.

Een ATS moet daarom ondersteunen dat een organisatie kan registreren waarom iemand in een talentpool staat en hoelang de gegevens mogen worden gebruikt. Wanneer toestemming wordt gebruikt, moet ook zichtbaar zijn wanneer deze is gegeven en wanneer opnieuw actie nodig is.

Na afloop van de gekozen termijn moet het systeem het profiel kunnen verwijderen, anonimiseren of aanbieden voor herbeoordeling.

Dataretentie verkleint ook beveiligingsrisico’s

Bewaartermijnen zijn niet alleen een privacyonderwerp. Hoe meer persoonsgegevens een organisatie bewaart, hoe groter de hoeveelheid informatie die bij een beveiligingsincident kan worden getroffen.

Een ATS met honderdduizenden oude kandidaatprofielen vormt een groter datarisico dan een systeem waarin gegevens structureel worden opgeschoond. RecruitmentTech adviseert daarom om bewaartermijnen te automatiseren en afgehandelde dossiers en werkprocessen periodiek op te schonen.

Data die niet meer nodig is en correct is verwijderd, kan bij een toekomstige hack of datalek ook niet meer worden buitgemaakt.

Oude gegevens verminderen de kwaliteit van het ATS

Ook vanuit recruitmentperspectief heeft onbeperkt bewaren nadelen. Kandidaten veranderen van werkgever, verhuizen, ontwikkelen nieuwe vaardigheden en krijgen andere loopbaanwensen. Een cv van jaren geleden geeft daardoor mogelijk een verkeerd beeld van de huidige situatie.

Grote hoeveelheden verouderde gegevens kunnen zoekresultaten, talentpools en AI-matching minder bruikbaar maken. Recruiters krijgen dan veel profielen te zien waarvan de informatie nauwelijks nog relevant is.

Een goed retentiebeleid helpt daarom niet alleen bij privacy, maar ook bij datakwaliteit.

Wat moet een ATS technisch ondersteunen?

Een organisatie moet het bewaarbeleid daadwerkelijk in het recruitmentsysteem kunnen uitvoeren. Handmatig honderden of duizenden kandidaatprofielen controleren is nauwelijks schaalbaar.

Let daarom bij een ATS op functies zoals:

verschillende bewaartermijnen per type kandidaat;
automatische verwijdering van verlopen dossiers;
anonimiseren van kandidaatprofielen;
registratie van toestemming;
meldingen voordat een bewaartermijn verloopt;
verlenging na een geldige nieuwe grondslag of toestemming;
rapportages over dossiers waarvan de termijn verloopt;
verwijdering van documenten, notities en correspondentie;
ondersteuning van verzoeken tot verwijdering;
logging van uitgevoerde verwijderacties.

Let ook op gekoppelde systemen

Het verwijderen van een kandidaat uit het ATS betekent niet automatisch dat alle kopieën verdwenen zijn. Gegevens kunnen ook aanwezig zijn in assessmentsoftware, CRM-systemen, mailboxen, exports, spreadsheets of andere gekoppelde toepassingen.

Een retentiebeleid moet daarom rekening houden met de volledige gegevensstroom. Controleer bij iedere belangrijke koppeling welke gegevens worden opgeslagen en hoe verwijdering wordt doorgegeven.

Dit is vooral belangrijk wanneer gegevens vanuit het ATS naar verschillende leveranciers worden doorgestuurd.

Dataretentie speelt een rol bij ATS-migraties

Een overstap naar een nieuw ATS is een logisch moment om het retentiebeleid opnieuw te bekijken. RecruitmentTech adviseert organisaties bij een migratie eerst te bepalen welke kandidaatdata nog relevant is en welke informatie verwijderd moet worden.

Alles uit het oude ATS overzetten lijkt eenvoudig, maar kan betekenen dat jaren aan verouderde persoonsgegevens opnieuw worden opgeslagen. Controleer daarom vóór de migratie welke lopende procedures, talentpools en historische gegevens daadwerkelijk moeten worden meegenomen.

Oude exports en tijdelijke migratiebestanden moeten na de overgang eveneens volgens afspraken worden verwijderd.

Praktijkvoorbeeld

Een organisatie gebruikt al acht jaar hetzelfde ATS. In het systeem staan tienduizenden kandidaten uit afgesloten procedures. Sommige kandidaten hebben ooit toestemming gegeven voor opname in een talentpool, maar er is niet geregistreerd wanneer die toestemming is gegeven.

De organisatie stelt een retentiebeleid op en richt verschillende categorieën in. Afgesloten dossiers zonder geldige reden voor verdere bewaring worden verwijderd. Actieve talentpools worden gecontroleerd en kandidaten krijgen waar nodig opnieuw de keuze om contact te houden.

Daarna voert het ATS de bewaartermijnen automatisch uit. Hierdoor neemt het aantal verouderde dossiers af en blijft beter inzichtelijk waarom kandidaatdata nog aanwezig is.

Checklist voor dataretentie in een ATS

Is voor iedere categorie kandidaatdata een doel vastgesteld?
Zijn passende bewaartermijnen vastgelegd?
Kan het ATS meerdere bewaartermijnen ondersteunen?
Kan toestemming inclusief datum worden geregistreerd?
Kan het ATS gegevens automatisch verwijderen of anonimiseren?
Worden ook documenten, notities en communicatie meegenomen?
Zijn talentpools opgenomen in het retentiebeleid?
Wordt rekening gehouden met gekoppelde systemen?
Worden tijdelijke exports en migratiebestanden verwijderd?
Worden bewaartermijnen periodiek opnieuw beoordeeld?

Veelgestelde vragen

Hoe lang mag een ATS kandidaatdata bewaren?

Dat hangt af van het doel en de grondslag van de verwerking. In Nederlandse sollicitatiepraktijken wordt na een afgesloten procedure vaak vier weken gebruikt wanneer er geen reden bestaat om gegevens langer te bewaren. Voor langere bewaring moet de organisatie een passende grondslag hebben.

Mag een kandidaat onbeperkt in een talentpool blijven?

Nee. Ook voor talentpools moet duidelijk zijn waarom en hoelang persoonsgegevens worden bewaard. De organisatie moet periodiek beoordelen of verdere bewaring nog noodzakelijk en toegestaan is.

Moet een ATS kandidaatdata automatisch verwijderen?

Automatische verwijdering is niet per definitie verplicht, maar maakt het veel eenvoudiger om een vastgesteld retentiebeleid consequent uit te voeren. Vooral bij grote kandidatenbestanden is handmatige controle foutgevoelig.

Kun je oude kandidaatdata anonimiseren in plaats van verwijderen?

Dat kan in bepaalde situaties nuttig zijn, bijvoorbeeld wanneer historische statistieken nodig blijven. De anonimisering moet dan wel zo worden uitgevoerd dat de gegevens niet meer tot een persoon kunnen worden herleid.