Wat artikel 10 van de AVG werkelijk betekent voor HR-screening

HR-screening omvat vaak meer dan alleen een eenvoudige identiteitscontrole. Wanneer een functie een beoordeling van strafrechtelijke veroordelingen of delicten vereist, voegt artikel 10 van de AVG een strikte extra laag toe bovenop de gebruikelijke wettelijke grondslag voor analyse. In de praktijk betekent dit dat werkgevers gegevens over een strafblad niet op dezelfde manier mogen behandelen als gewone cv- of referentiegegevens (artikel 10 van de AVG, 2018).

Artikel 10 verbiedt geen background checks, maar beperkt wel de manier waarop ze mogen worden uitgevoerd. Voor HR-teams is de echte vraag niet alleen "Mogen we dit controleren?", maar vooral "Op welke wettelijke basis, met welk doel en met welke waarborgen?".

Wat artikel 10 zegt

Artikel 10 van de AVG heeft betrekking op “persoonsgegevens betreffende strafrechtelijke veroordelingen en delicten of daarmee verband houdende veiligheidsmaatregelen” en stelt dat verwerking op grond van artikel 6, lid 1, alleen mag plaatsvinden onder toezicht van een officiële instantie of wanneer dit is toegestaan door het recht van de Unie of van een lidstaat met passende waarborgen. Het stelt ook dat een volledig register van strafrechtelijke veroordelingen alleen mag worden bijgehouden onder toezicht van een officiële instantie.

Deze formulering is belangrijk omdat er een hogere drempel wordt gelegd dan bij gewone HR-verwerking. Zelfs als een werkgever een rechtmatige grondslag heeft op grond van artikel 6, is dat op zich niet voldoende voor gegevens over strafbare feiten.

Waarom HR-screening anders is

Bij werving en selectie willen werkgevers vaak de betrouwbaarheid controleren, klanten beschermen of voldoen aan sectorspecifieke verplichtingen. Deze doelen kunnen legitiem zijn, maar artikel 10 vereist meer dan een zakelijke reden. De ICO stelt dat gegevens over strafbare feiten alleen mogen worden verwerkt als er een officiële bevoegdheid is of een nationale wettelijke bepaling die dit toestaat.

Het Europees Comité voor gegevensbescherming (EDPB) legt ook uit dat legitieme belangen onder artikel 6(1)(f) niet automatisch gelden en zorgvuldig moeten worden beoordeeld, waarbij de noodzaak en de rechten van de sollicitant in aanmerking moeten worden genomen. Met andere woorden: "we willen het weten" is geen wettelijke grondslag en "het helpt bij de werving" is op zichzelf niet voldoende.

Wanneer screening is toegestaan

Artikel 10 maakt screening niet per definitie illegaal, maar de werkgever moet eerst de juiste wettelijke route bepalen. In veel Europese landen is deze route gekoppeld aan nationale wetgeving, gereguleerde sectoren of specifieke functie-eisen. De ICO merkt op dat werkgevers voor gegevens over strafbare feiten nog steeds een wettelijke grondslag volgens artikel 6 moeten hebben en, afzonderlijk, een voorwaarde volgens artikel 10, zoals officiële bevoegdheid of toestemming op grond van de nationale wetgeving.

Voorbeelden van functies waarbij screening waarschijnlijk gerechtvaardigd is, zijn functies met betrekking tot kinderen, gereguleerde financiële functies, functies met een veiligheidsgevoelig karakter of functies waar de lokale wetgeving screening uitdrukkelijk toestaat of vereist. Het precieze antwoord hangt af van het land, de functie en de betrokken gegevens.

Veelvoorkomende HR-fouten

Een veelvoorkomende fout is het vertrouwen op toestemming als een allesomvattende oplossing. In de arbeidsverhouding is toestemming vaak zwak vanwege de machtsongelijkheid tussen werkgever en kandidaat, en het is meestal geen betrouwbaar alternatief voor een echte wettelijke grondslag.

Een andere fout is het vragen om een verklaring omtrent het strafblad "voor het geval dat". De ICO waarschuwt dat u niet meer gegevens over strafbare feiten mag verzamelen dan nodig is, en dat grootschalige verwerking of toegangsbeslissingen kunnen leiden tot een DPIA-vereiste.

Een derde veelgemaakte fout is het beschouwen van een externe screeningleverancier als de wettelijke eigenaar van het proces. De werkgever blijft verantwoordelijk voor de rechtmatige grondslag, transparantie, minimalisering en bewaring van beslissingen.

Checklist voor naleving

Gebruik deze checklist voordat u HR-screening met gegevens over strafbare feiten start of bijwerkt:

• Bepaal of de gegevens daadwerkelijk gegevens over een veroordeling of strafbaar feit betreffen in de zin van artikel 10.
• Bevestig de wettelijke grondslag van artikel 6 voor de bredere screeningactiviteit.
• Verifieer de voorwaarde van artikel 10 op basis van lokale wetgeving of officiële bevoegdheid.
• Documenteer de noodzaak en proportionaliteit, met name als u zich beroept op legitieme belangen voor de gerelateerde verwerking.
• Voer een gegevensbeschermingseffectbeoordeling (DPIA) uit wanneer de screening een hoog risico met zich meebrengt of wordt gebruikt om de toegang tot een functie of voordeel te bepalen.
• Werk privacyverklaringen bij met duidelijke, functiespecifieke transparantie.
• Minimaliseer de verzamelde gegevens en bewaar ze alleen zo lang als nodig is.
• Zorg voor robuuste waarborgen, waaronder toegangscontrole en menselijke toetsing, wanneer beslissingen van invloed zijn op kandidaten.

Praktisch voorbeeld

Een fintechbedrijf wil een kandidaat screenen voor een klantgerichte financiële functie. Als de functie gereguleerd is en de lokale wetgeving een antecedentenonderzoek toestaat, kan het bedrijf relevante gegevens verwerken. Het heeft echter nog steeds een wettelijke grondslag, een geldige voorwaarde volgens artikel 10, een duidelijk doel en een gedocumenteerde DPIA nodig als het risico hoog is. Als het bedrijf in plaats daarvan om een volledig certificaat vraagt "voor de zekerheid", is dat waarschijnlijk overdreven en moeilijker te rechtvaardigen onder de beginselen van gegevensminimalisatie en artikel 10.

Wat HR-managers moeten onthouden

Artikel 10 is geen obstakel voor verantwoord screenen; het is een vangrail. Het dwingt HR-teams om nauwkeurig te zijn over het doel, de wettelijke bevoegdheid, de noodzaak en de proportionaliteit voordat ze gegevens over strafrechtelijke veroordelingen of overtredingen raadplegen.

Voor compliance-gedreven werving is dat een goede zaak. Het helpt organisaties overmatige gegevensverzameling te voorkomen, het juridische risico te verlagen en meer verdedigbare screeningprocessen te ontwikkelen voor gereguleerde werving.

Bronnen

• GDPR Article 10 text.
• EDPB Guidelines 1/2024 on Article 6(1)(f) legitimate interests.
• ICO guidance on criminal offence data.