AVG in recruitment: hoe lang mag je sollicitatiegegevens bewaren?
8 minuten leestijd
•
19 oktober 2026
Geschreven door:
Naomi Brandriet
Een afgewezen kandidaat mailt HR met een simpele vraag: verwijder mijn gegevens. HR zoekt het dossier op in AFAS en verwijdert het. Toch staat het cv ook nog in de mailbox van de hiring manager. Een teamleider heeft het in zijn downloadmap staan, en een vacaturesite bewaart het in een dashboard.
De bewaartermijn voor sollicitatiegegevens onder de AVG ken je waarschijnlijk al. Wat vaak ontbreekt, is zicht op waar al die gegevens staan. En wat je niet kunt vinden, kun je ook niet op tijd verwijderen.
Het korte antwoord: 4 weken, of 1 jaar met toestemming
In de AVG zelf staat geen vaste termijn. Wel geldt de regel van opslagbeperking. Je bewaart persoonsgegevens niet langer dan nodig voor het doel waarvoor je ze verzamelde. Zo legt Highberg het uit.
De Autoriteit Persoonsgegevens geeft daarbij een duidelijke richtlijn. Krijgt een kandidaat de baan niet, dan verwijder je de gegevens uiterlijk 4 weken na het einde van de procedure. Wil je ze langer bewaren, bijvoorbeeld voor een latere functie, dan vraag je toestemming. Een termijn van maximaal 1 jaar is dan redelijk.
De termijn begint overigens na het einde van de sollicitatieprocedure, dus niet op de dag dat het cv binnenkwam.
| Situatie | Hoe lang bewaren | Voorwaarde |
|---|---|---|
| Kandidaat afgewezen | Uiterlijk 4 weken na einde procedure | Geen |
| Kandidaat in je talentpool | Maximaal 1 jaar | Aantoonbare toestemming |
| Talentpool na 1 jaar | Opnieuw 1 jaar | Opnieuw toestemming vragen |
| Kandidaat aangenomen | Gegevens gaan naar het personeelsdossier | Andere wettelijke termijnen |
Afwijken van 4 weken mag, maar alleen met een goede reden
De 4 weken zijn een advies van de Autoriteit Persoonsgegevens. Je mag er gemotiveerd van afwijken. ICTRecht noemt als voorbeeld een termijn van 6 weken. Je moet dan wel laten zien waarom je die extra tijd nodig hebt.
Een grote afwijking, zoals een jaar, valt daar niet onder. Daarvoor heb je altijd toestemming van de kandidaat nodig. De kandidaat mag nee zeggen en die toestemming later ook weer intrekken. Vertel elke kandidaat vooraf welke termijn je hanteert.
Die toestemming moet je kunnen aantonen. Een vinkje dat niemand terugvindt, telt niet. Leg het vast bij het dossier van de kandidaat. Na een jaar vraag je het opnieuw, of je verwijdert de gegevens.
Aangenomen? Dan gelden andere termijnen
Wordt een kandidaat medewerker, dan horen de gegevens bij het personeelsdossier. Daar gelden termijnen uit andere wetten, zoals de belastingwet.
Een paar voorbeelden van MKB Servicedesk: de arbeidsovereenkomst bewaar je 7 jaar. Een kopie van het identiteitsbewijs bewaar je 5 jaar. De Rijksoverheid hanteert voor eigen sollicitanten die worden aangenomen 7 jaar na afloop van het contract.
Juist hier gaat het vaak mis. De sollicitatie loopt in het ene systeem, het personeelsdossier in AFAS. Dan moet iemand de gegevens overzetten. Wat in het eerste systeem achterblijft, valt onder geen enkel beleid.
Het echte risico zit in de plekken waar gegevens staan
Een termijn instellen is makkelijk. Het werk zit in hem overal naleven. Elke losse tool maakt een eigen kopie, met een eigen beleid of helemaal geen.
Bij een gemiddeld werving- en selectieproces staan kandidaatgegevens al snel op deze plekken:
- de mailbox van HR en van elke hiring manager die een cv doorgestuurd kreeg
- losse bestanden op laptops en in gedeelde mappen
- een extern ATS naast AFAS, met een eigen database
- de dashboards van vacaturesites en wervingsbureaus
- een Excel-lijst met “goede kandidaten voor later”
Wat dat kost, bleek bij sollicitatieplatform Homerun. Na een hack bleek dat de hacker gegevens had buitgemaakt die al lang verwijderd hadden moeten zijn. Dat meldde NPO Radio 1. De termijn was bekend, en toch stonden de gegevens er nog.
Met elke extra tool komt er een plek bij die je moet opschonen.
Hoe dit in de praktijk is ingericht, lees je op de pagina over beveiliging & AVG in Novi.
Zo houd je grip: kandidaatgegevens op één plek
Werk je met AFAS, dan heb je die plek al. Daar staan je personeelsdossiers, en daar regel je rollen, rechten en autorisaties. De logische stap is dat ook kandidaatgegevens daar blijven.
Kijk, zo werkt het bij Novi. Novi is een laag bovenop AFAS en verwerkt zelf geen gegevens. Alle kandidaatgegevens staan in AFAS, en het beheer en de autorisatie lopen via AFAS. Er is geen tweede database die je apart moet opschonen.
Wie wat ziet, regel je met de rollen en rechten die je al in AFAS hebt. Collega’s zien alleen de kandidaten die voor hen relevant zijn. Een hiring manager hoeft geen cv’s meer per mail te krijgen. Gebruikers kunnen persoonsgegevens altijd verwijderen of anonimiseren, zoals de AVG vraagt.
Gladior is gecertificeerd AFAS-koppelpartner. AFAS heeft de veiligheidsmaatregelen van de koppeling gecontroleerd en goedgekeurd.
Een bewaarbeleid dat werkt, in 4 stappen
- Leg je termijn vast. Kies 4 weken of een termijn die je kunt motiveren. Zet die termijn in je privacyverklaring voor sollicitanten.
- Vraag toestemming apart. Wil je een kandidaat in je talentpool houden, vraag dat dan los van de sollicitatie. Sla het antwoord op bij het dossier.
- Stop met kopieën buiten het systeem. Stuur geen cv’s meer als bijlage in de mail. Geef hiring managers toegang via hun rol, zodat het cv op één plek blijft.
- Plan het verwijderen vast in. Geef gegevens een bewaartermijn mee. Zo zie je welke dossiers weg moeten, zonder te zoeken.
Stap 3 bepaalt of de rest werkt. Zolang er kopieën rondgaan, is je bewaartermijn een belofte die je niet kunt nakomen.
Wil je weten hoe je werving en selectie in AFAS op één plek regelt? Bekijk hoe beveiliging & AVG in Novi werkt, of plan een gesprek met ons team.
-
Voor een open sollicitatie geldt dezelfde regel. Wil je de gegevens langer dan 4 weken bewaren, dan vraag je toestemming. Die geldt voor maximaal 1 jaar.
-
Zolang de selectie loopt, mag je de gegevens bewaren als je er een geldige grondslag voor hebt. Na afloop geldt de gewone termijn. Reageer op tijd op het verzoek en leg je antwoord vast.
-
Ja. De termijn geldt voor alles uit de procedure. Denk aan het cv, de motivatiebrief, referenties, mails met de kandidaat, een VOG en uitslagen van assessments.
-
Te lang bewaren is onrechtmatig. De Autoriteit Persoonsgegevens kan daar een boete voor opleggen.
