Kort samengevat

  • Volgens artikel 14 van de AVG moet je een gesourcete kandidaat binnen uiterlijk 30 dagen informeren over de gegevensverwerking.
  • Kandidaatgegevens mogen zonder expliciete toestemming maximaal 4 weken bewaard worden, en met toestemming maximaal 12 maanden.
  • AI Sourcing tools vereisen altijd een getekende verwerkersovereenkomst (DPA) met opslag binnen de Europese Economische Ruimte.
  • Leadstars combineert AI Sourcing met strikte datavalidatie en levert binnen de 7 dagen leveringsgarantie volledig conforme kandidaatprofielen op.

Het automatiseren van kandidaatsourcing met behulp van kunstmatige intelligentie biedt recruitment- en detacheringsbureaus enorme snelheidswinst. Binnen enkele seconden scannen algoritmes honderden publieke bronnen, verrijken ze contactgegevens en categoriseren ze vaardigheden. Tegelijkertijd brengt deze geautomatiseerde gegevensverwerking strikte juridische verplichtingen met zich mee onder de Algemene Verordening Gegevensbescherming (AVG). Wie zonder duidelijk beleid persoonsgegevens verzamelt, structureert en opslaat via AI-tools, loopt direct risico op datalekken, reputatieschade en sancties van de Autoriteit Persoonsgegevens.

Het waarborgen van privacy betekent niet dat AI sourcing onmogelijk wordt gemaakt. Het vereist wel dat recruiters en bureaudirecteuren begrijpen welke juridische grondslagen van toepassing zijn, hoe de informatieplicht werkt en op welke wijze softwarecontracten moeten worden ingericht.

De juridische grondslag voor AI sourcing

Elke verwerking van persoonsgegevens vereist een geldige wettelijke grondslag conform artikel 6 van de AVG. Bij actieve sollicitanten is er vaak sprake van toestemming of de voorbereiding op een overeenkomst. Bij passieve sourcing, waarbij AI-software publiek beschikbare data verzamelt van platforms zoals LinkedIn of GitHub, is die voorafgaande toestemming er niet.

Recruitmentbureaus baseren AI sourcing daarom doorgaans op de grondslag gerechtvaardigd belang. Om dit juridisch stand te laten houden, moet je aantonen dat het commerciële belang van het bureau opweegt tegen het privacybelang van de kandidaat. Dit betekent dat je alleen strikt noodzakelijke professionele gegevens verzamelt, zoals werkervaring, opleiding en zakelijke contactkanalen, en gevoelige privégegevens categorisch uitsluit van verwerking.

De informatieplicht en termijnen volgens artikel 14 AVG

Wanneer je gegevens niet rechtstreeks van de kandidaat zelf ontvangt, treedt artikel 14 van de AVG in werking. Dit artikel verplicht organisaties om de betrokkene te informeren over het feit dat er persoonsgegevens zijn verzameld en opgeslagen. Hierbij gelden strikte tijdslijnen:

  • Binnen maximaal 30 dagen na de eerste dataverzameling moet de kandidaat een privacykennisgeving ontvangen.
  • Als je eerder dan 30 dagen voor het eerst contact opneemt met de kandidaat, moet de privacyverklaring uiterlijk tijdens dat eerste contactmoment worden meegeleverd.
  • In het eerste bericht moet een duidelijke link staan naar het privacystatement en een laagdrempelige opt-out mogelijkheid om data direct te laten verwijderen.

Veel bureaus maken de fout door gesourcete profielen maandenlang in hun ATS te laten rusten zonder ooit contact op te nemen. Wordt de termijn van 30 dagen overschreden zonder dat de kandidaat is ingelicht, dan is de opslag van die gegevens direct in strijd met de AVG.

Bewaartermijnen voor gesourcete kandidaatdata

Data minimalisatie is een van de kernprincipes van de Europese privacywetgeving. Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. In de Nederlandse recruitmentpraktijk gelden de volgende richtlijnen:

  • Vier weken: de standaard bewaartermijn voor kandidaatgegevens na afronding van een specifieke procedure wanneer er geen vervolgcontact is of wanneer de kandidaat niet reageert op outreach.
  • Twaalf maanden (1 jaar): de maximale bewaartermijn indien de kandidaat expliciet toestemming heeft gegeven om opgenomen te blijven in de talentpool voor toekomstige vacatures.
  • Jaarlijkse verlenging: na afloop van 12 maanden moet actief om hernieuwde toestemming worden gevraagd; blijft een reactie uit, dan moeten de gegevens automatisch worden gewist of geanonimiseerd.

Verwerkersovereenkomsten en datalocatie bij AI-tools

Wanneer je externe AI-software gebruikt om profielen te scrapen, contactgegevens te verrijken of samenvattingen te genereren, treedt die softwareleverancier op als gegevensverwerker. Als recruitmentbureau blijf je de verwerkingsverantwoordelijke. Dit betekent dat eventuele overtredingen van de leverancier op jouw bord terechtkomen als je contractuele zaken niet hebt vastgelegd.

Controleer vooraf altijd of de softwareleverancier een Data Processing Agreement (DPA) aanbiedt waarin expliciet staat dat kandidaatdata niet wordt hergebruikt om openbare taalmodellen mee te trainen. Zorg er daarnaast voor dat de dataopslag plaatsvindt binnen de Europese Economische Ruimte (EER) of onder strikte doorgiftebepalingen zoals het EU-US Data Privacy Framework.

Menselijke tussenkomst bij AI-selectie en ranking

Artikel 22 van de AVG beschermt individuen tegen besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking wanneer die besluiten rechtsgevolgen hebben of de persoon in aanzienlijke mate treffen. Het automatisch afwijzen van kandidaten door een AI-algoritme zonder menselijke controle valt hier direct onder.

AI mag worden ingezet als hulpmiddel om honderden profielen te ordenen op basis van trefwoorden en vaardigheden, maar de definitieve beslissing om iemand wel of niet te benaderen of af te wijzen moet te allen tijde door een menselijke recruiter worden genomen (de zogeheten human-in-the-loop werkwijze).

Praktisch stappenplan voor een AVG-proof AI sourcing proces

Om compliant te sourcen zonder dat de productiviteit van recruiters daalt, richt je een gestandaardiseerd proces in:

  1. Stel een Data Protection Impact Assessment (DPIA) op voor de AI-tools die je organisatie gebruikt.
  2. Richt in het ATS een automatische trigger in die gesourcete profielen na 25 dagen signaleert als ze nog niet zijn benaderd.
  3. Voeg standaard een privacyalinea met een directe uitschrijflink toe aan de eerste e-mail of LinkedIn-outreach cadans.
  4. Verwijder profielen waarvan de bewaartermijn van 4 weken of 12 maanden is verstreken via geautomatiseerde opschoonregels.
  5. Documenteer alle verwerkingen nauwkeurig in het interne verwerkingsregister van je bureau.

Hoe Leadstars dit voor je oplost

Leadstars helpt uitzend-, detacherings- en recruitmentbureaus bij het schaalbaar en juridisch waterdicht aantrekken van kandidaten via de Job Acquisition Machine (JAM) en gerichte AI Sourcing campagnes. Wij richten geautomatiseerde wervingsfunnels in waarin privacywaarborgen, transparante kandidaatcommunicatie en datakwaliteit naadloos samenkomen, zodat jouw recruiters uitsluitend in gesprek gaan met geïnteresseerde en gekwalificeerde professionals.

Wil je jouw kandidaatwerving professionaliseren en schalen zonder juridische risico's? Plan een vrijblijvend strategiegesprek in met onze recruitment specialisten en ontdek hoe we binnen 7 dagen een meetbare kandidaatstroom voor jouw bureau realiseren.

Wil je verder lezen? Bekijk ook onze recruitment marketing diensten en de resultaten van onze klanten en de video's in onze kennisbank.

Veelgestelde vragen

Het verzamelen van openbare profielgegevens via AI sourcing valt onder de AVG zodra deze data direct herleidbaar is naar een natuurlijk persoon. Je mag deze gegevens verwerken op basis van een gerechtvaardigd belang, mits je de kandidaat binnen 30 dagen informeert en direct een opt-out mogelijkheid biedt.

Leadstars lost dit voor je op

Meer kandidaten of meer opdrachtgevers nodig? Wij bouwen je acquisitiemachine op basis van een retainer met resultaatgarantie op het afgesproken aantal leads, met levering binnen 7 dagen. Plan een vrijblijvend strategiegesprek en we laten precies zien hoe.

Plan een vrijblijvend gesprek