Sollicitanten screenen volgens de AVG: wat mag je als werkgever controleren?

Sollicitanten screenen mag in Europa onder de AVG, maar elke check heeft een eigen grondslag nodig, en voor een strafblad-check is meer nodig. Artikel 6 bepaalt of je de gegevens van een kandidaat überhaupt mag verwerken. Artikel 10 voegt voor strafrechtelijke gegevens een aparte toets toe: de verwerking moet zijn toegestaan op grond van Unie- of nationaal recht, of plaatsvinden onder toezicht van een overheidsinstantie.

Deze gids beschrijft de grondslag voor de zes checks waar werkgevers het vaakst naar vragen: identiteit, strafblad, referenties, opleiding, krediet en sanctielijsten. Je leest waarom toestemming bij werving zelden werkt en hoe je een screeningsproces inricht dat een toezichthouder doorstaat. Nationale regels verschillen, dus de landensectie aan het einde laat zien waar het lokale recht het beeld verandert.

Wat de AVG vereist voordat je kandidaten screent

Elke check moet twee toetsen doorstaan: er is een rechtmatige grondslag nodig op grond van artikel 6 en de beginselen van artikel 5 moeten worden nageleefd. Voor strafrechtelijke gegevens en gevoelige gegevens gelden daar nog extra regels bovenop.

Artikel 6: een rechtmatige grondslag voor elke check

Artikel 6, lid 1, noemt zes rechtmatige grondslagen. Bij pre-employment screening zijn er drie die het werk doen:

• Wettelijke verplichting (artikel 6, lid 1, onder c). Een wet schrijft de check voor. Voorbeelden zijn de controle van het recht om te werken, een verplichte verklaring omtrent het gedrag voor functies in de kinderopvang en integriteitsscreening die financiële toezichthouders eisen.
• Gerechtvaardigd belang (artikel 6, lid 1, onder f). Je hebt een reëel belang, zoals nagaan of een financieel directeur het diploma op zijn cv echt heeft. De check moet noodzakelijk zijn voor dat belang en de rechten van de kandidaat mogen niet zwaarder wegen. Leg deze afweging vast in een toets van het gerechtvaardigd belang (LIA).
• Maatregelen vóór een overeenkomst (artikel 6, lid 1, onder b). Dit omvat wat je nodig hebt om een aanbod te doen en de overeenkomst uit te voeren, zoals contact- en salarisgegevens. Extra screening valt hier niet onder.

De grondslag kies je per check, niet per kandidaat. Eén screening kan rusten op een wettelijke verplichting voor de identiteit, een gerechtvaardigd belang voor referenties en een nationale wet voor het strafblad.

Artikel 10: de extra toets voor strafrechtelijke gegevens

Artikel 10 bepaalt dat gegevens over strafrechtelijke veroordelingen en strafbare feiten alleen mogen worden verwerkt onder toezicht van een overheidsinstantie, of wanneer Unie- of nationaal recht dat toestaat met passende waarborgen. Een volledig register van veroordelingen mag alleen door een overheidsinstantie worden bijgehouden.

Voor een private werkgever betekent dit dat een gerechtvaardigd belang alleen nooit genoeg is voor een strafblad-check. Je hebt ook een nationale bepaling nodig die het toestaat. Daarom laten de meeste Europese landen strafrechtelijke checks lopen via een overheidsverklaring die de kandidaat zelf aanvraagt, zoals de Nederlandse VOG, het Duitse Führungszeugnis of de Britse DBS-check.

Artikel 10 reikt verder dan veel werkgevers denken. In 2021 oordeelde het Hof van Justitie van de EU dat "strafbaar feit" een Europees begrip is (zaak C-439/19). Dus ook gerechtelijke uitspraken, nieuwsberichten over vermeende misdrijven en online zoekresultaten over strafbare feiten zijn gegevens van artikel 10, niet alleen verklaringen over veroordelingen.

Artikel 9: gevoelige gegevens die je niet moet verzamelen

Artikel 9 verbiedt de verwerking van gezondheidsgegevens, ras of etnische afkomst, religie, politieke opvattingen, lidmaatschap van een vakbond, biometrische gegevens en gegevens over seksueel gedrag of seksuele gerichtheid, behoudens beperkte uitzonderingen. Een achtergrondcheck hoort deze categorieën niet te raken. Let hier op bij referenties, zoekopdrachten op social media en scans van identiteitsbewijzen.

De beginselen achter elke check

• Doelbinding en minimale gegevensverwerking (artikel 5). Voer alleen checks uit die relevant zijn voor de functie en verzamel alleen wat de check nodig heeft.
• Transparantie (artikelen 13 en 14). Vertel kandidaten vóór je begint welke checks je uitvoert, waarom, welke bronnen je gebruikt en hoe lang je de resultaten bewaart.
• Opslagbeperking (artikel 5). Verwijder screeninggegevens zodra je ze niet meer nodig hebt.
• Geen volledig geautomatiseerde afwijzingen (artikel 22). Een persoon moet een negatief resultaat beoordelen voordat het de uitkomst bepaalt.
• Gegevensbeschermingseffectbeoordeling (artikel 35). Een DPIA is verplicht bij grootschalige verwerking van gegevens van artikel 10, en veel nationale toezichthouders rekenen screening van werknemers tot risicovolle verwerking.
• Nationale arbeidsregels (artikel 88). Lidstaten kunnen specifieke regels stellen voor werknemersgegevens, dus het lokale recht kan strenger zijn dan de AVG.

Waarom toestemming zelden de juiste grondslag is

Toestemming voelt als de veilige keuze, maar bij werving is ze meestal niet geldig. Onder de AVG moet toestemming vrij gegeven zijn, en een kandidaat die de baan wil, kan niet echt weigeren.

Het Europees Comité voor gegevensbescherming (EDPB) zegt dat ook letterlijk. In zijn Richtsnoeren 05/2020 over toestemming staat dat de arbeidsrelatie een machtsonbalans creëert en dat toestemming van huidige of toekomstige werknemers waarschijnlijk niet vrijelijk wordt gegeven. Alleen in uitzonderlijke gevallen kunnen werknemers vrije toestemming geven.

Toestemming heeft nog twee zwakke punten. Een kandidaat kan haar op elk moment intrekken, waardoor een check halverwege stopt. En onder de AVG zelf voldoet toestemming niet aan artikel 10: voor een strafblad-check is nog steeds een wettelijke machtiging nodig. Sommige nationale wetten accepteren uitdrukkelijke toestemming als voorwaarde voor strafrechtelijke gegevens, maar door de machtsonbalans blijft ook dat kwetsbaar.

Wat je in plaats daarvan doet:

• Baseer elke check op een wettelijke verplichting of een gerechtvaardigd belang en leg vast waarom.
• Informeer de kandidaat duidelijk en vroeg. Vraag de kandidaat schriftelijk te bevestigen dat hij of zij de informatie heeft gelezen en noem dat een kennisname, geen toestemming.
• Laat de kandidaat zelf zijn of haar verklaring uit het strafregister aanvragen, zodat de gegevens je bereiken via de route die het nationale recht biedt.
• Toestemming heeft nog wel een beperkte plek. De gegevens van een afgewezen kandidaat bewaren voor toekomstige vacatures is een veelvoorkomend voorbeeld, omdat weigeren geen effect heeft op de lopende sollicitatie.

Screening sollicitanten: de grondslag per achtergrondcheck

Identiteit en recht om te werken

Grondslag: wettelijke verplichting (artikel 6, lid 1, onder c).

Werkgevers moeten vaststellen wie ze aannemen en, bij niet-EU-onderdanen, dat zij mogen werken. De Europese richtlijn werkgeverssancties (2009/52/EG) verplicht werkgevers te controleren of onderdanen van derde landen een geldige verblijfsvergunning hebben en een kopie te bewaren zolang het dienstverband duurt. Belasting- en salarisregels leggen eigen identificatieplichten op.

Let op bij nationale identificatienummers. Artikel 87 staat lidstaten toe het gebruik ervan te beperken, dus leg een nationaal ID-nummer alleen vast als een wet erom vraagt. Bewaar een kopie van het identiteitsbewijs alleen als een wet dat voorschrijft en maak velden die je niet nodig hebt onleesbaar waar de nationale regels dat toestaan.

Strafblad

Grondslag: wettelijke verplichting of gerechtvaardigd belang (artikel 6), plus een wettelijke machtiging op grond van artikel 10.

Dit is de check met de strengste regels. In de meeste landen is de rechtmatige route een verklaring die de kandidaat aanvraagt bij een overheidsinstantie, die het strafblad afweegt tegen de risico's van de functie. Voor sommige functies, zoals werken met kinderen, in het onderwijs of in de beveiliging, is de verklaring wettelijk verplicht.

Zoek zelf niet in gerechtelijke gegevens, nieuwsarchieven of op internet naar veroordelingen, tenzij het nationale recht dat toestaat. Denk eraan dat berichten over vermeende misdrijven ook gegevens van artikel 10 zijn. Als een screeningbureau strafrechtelijke gegevens voor je verwerkt, controleer dan of het de machtiging heeft die het nationale recht vereist. In Nederland heeft het bijvoorbeeld een vergunning nodig op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus.

Heeft een kandidaat in het buitenland gewoond, dan kan hij of zij meestal ook uit die landen een verklaring aanvragen. Leg vast dat de verklaring is getoond en wat de uitkomst was, in plaats van een kopie te bewaren, tenzij een wet de kopie voorschrijft.

Referenties

Grondslag: gerechtvaardigd belang (artikel 6, lid 1, onder f).

Referentiechecks worden over het algemeen geaccepteerd, mits je ze proportioneel houdt. Neem contact op met referenten die de kandidaat heeft genoemd, of laat de kandidaat het weten voordat je met anderen belt. Beperk je vragen tot functioneren en gedrag in de functie.

Vraag nooit naar gezondheid, ziekteverzuim, zwangerschap, vakbondslidmaatschap of andere gegevens van artikel 9. Ook de referent is een betrokkene, dus geef hem of haar basisinformatie over hoe je de antwoorden gebruikt. Bewaar een korte feitelijke samenvatting, geen volledig verslag.

Opleiding en diploma's

Grondslag: gerechtvaardigd belang (artikel 6, lid 1, onder f), of wettelijke verplichting voor gereglementeerde beroepen.

Het verifiëren van de diploma's en certificaten die een kandidaat opgeeft is proportioneel voor de meeste functies waarbij de kwalificatie ertoe doet. Bij gereglementeerde beroepen, zoals artsen, verpleegkundigen, advocaten en accountants, is het raadplegen van het officiële beroepsregister vaak een wettelijke plicht.

Controleer alleen de kwalificaties die de kandidaat heeft opgegeven of die de functie vereist. Verifieer ze bij de opleidingsinstelling of in een officieel register, niet in onofficiële databanken.

Krediet en financiële historie

Grondslag: gerechtvaardigd belang (artikel 6, lid 1, onder f), alleen voor een beperkte groep functies.

Een kredietcheck is de moeilijkst te onderbouwen check. Hij is verdedigbaar voor functies met echt financieel risico, zoals tekenbevoegdheid, omgang met contant geld, treasury of toegang tot klantgelden, en waar integriteitsregels voor de financiële sector gelden. Voor de meeste andere functies voldoet hij niet aan de noodzakelijkheidstoets.

In veel landen is toegang tot gegevens van kredietbureaus beperkt tot kredietbeslissingen, dus een werkgever mag ze mogelijk helemaal niet gebruiken. Is een check gerechtvaardigd, gebruik dan de smalste bron, zoals een openbaar insolventieregister, en zoek alleen naar bevindingen die voor de functie relevant zijn, niet naar een algemene kredietscore.

Sanctielijsten

Grondslag: wettelijke verplichting (artikel 6, lid 1, onder c), met gerechtvaardigd belang als terugvaloptie.

EU-sanctieverordeningen, zoals Verordening (EU) nr. 269/2014 van de Raad, verbieden het beschikbaar stellen van geldmiddelen of economische middelen aan personen op de lijst. Een salaris betalen aan een persoon op de lijst zou dat verbod schenden, dus nieuwe medewerkers screenen aan de hand van de geconsolideerde EU-sanctielijst is een gebruikelijke compliancestap.

De verordeningen schrijven de screening zelf niet voor, en daarom baseren sommige organisaties zich op een gerechtvaardigd belang. Dat is ook de grondslag voor het controleren van lijsten buiten de EU, zoals de Amerikaanse OFAC-lijst. Naamovereenkomsten leveren vaak valse treffers op, dus verifieer elke treffer met aanvullende identificatiegegevens voordat je handelt en wijs een kandidaat nooit af op een naamovereenkomst alleen.

Zo voer je een AVG-proof achtergrondcheck uit

• Stel een screeningprofiel per functie vast. Bepaal op basis van de risico's welke checks elke functie nodig heeft en schrijf op waarom. Een magazijnfunctie en een treasury-functie moeten niet dezelfde screening krijgen.
• Leg de grondslag van elke check vast. Noteer de grondslag van artikel 6, maak een LIA op waar je op een gerechtvaardigd belang steunt en benoem de nationale bepaling die de strafblad-check dekt.
• Voer een DPIA uit waar dat verplicht is. Screening op grote schaal, of grootschalige verwerking van gegevens van artikel 10, vraagt om een gegevensbeschermingseffectbeoordeling voordat je begint.
• Informeer kandidaten vroeg. Vermeld de screening in de vacaturetekst en geef een privacyverklaring over de checks, de bronnen, de bewaartermijnen en de rechten van de kandidaat.
• Screen laat in het proces. Check alleen de voorkeurskandidaat, bij voorkeur na een voorwaardelijk aanbod, zodat je geen gegevens verzamelt over mensen die je niet aanneemt.
• Gebruik officiële bronnen. Laat de kandidaat zelf zijn of haar verklaring uit het strafregister aanvragen en verifieer kwalificaties en sanctietreffers aan de hand van officiële registers en lijsten.
• Laat de kandidaat reageren. Deel elke negatieve bevinding en geef de kandidaat de kans om uitleg te geven voordat een persoon de beslissing neemt.
• Sluit een verwerkersovereenkomst af. Voert een screeningpartij de checks voor je uit, onderteken dan een verwerkersovereenkomst op grond van artikel 28. Controleer of de partij de benodigde nationale vergunning heeft en waar zij gegevens opslaat.
• Verwijder op tijd. Verwijder gegevens van afgewezen kandidaten kort nadat de procedure is afgesloten; de Nederlandse toezichthouder adviseert bijvoorbeeld vier weken. Bewaar bij nieuwe medewerkers alleen de uitkomst die nodig is in het personeelsdossier.
• Beperk de toegang. Geef alleen de mensen die de aannamebeslissing nemen toegang tot de screeningresultaten en bewaar ze veilig.

Landenregels: waar het nationale recht het beeld verandert

De AVG vormt het kader, maar artikel 10 en artikel 88 laten belangrijke keuzes aan de lidstaten. Het grootste verschil is hoe een strafblad-check werkt.

Ook de regels over kredietchecks, bewaartermijnen en voor welke functies screening nodig is, verschillen per land. Controleer de nationale regels voor elk land waar je werft.

In Nederland loopt de strafblad-check via de VOG, en de Autoriteit Persoonsgegevens (AP) adviseert gegevens van afgewezen kandidaten vier weken na afloop van de procedure te verwijderen. Lees meer over wat artikel 10 AVG betekent voor een VOG-check of over personeel screenen in Nederland.