Wervingsplatforms en HR-software

• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act, Annex III employment
• Directive 2019/1152 on transparent working conditions

Wie moet aanwijzen

Leveranciers die buiten de Unie zijn gevestigd en wervings- of HR-systemen aanbieden aan werkgevers in de EU. De werkgever is meestal de verwerkingsverantwoordelijke en de leverancier een verwerker, maar elk gebruik van kandidaatgegevens voor modeltraining of benchmarking maakt de leverancier een verwerkingsverantwoordelijke voor dat doel en activeert zijn eigen verplichtingen.

Drempels en vrijstellingen

Geen GDPR-drempel. Onder de AI Act zijn systemen die worden gebruikt om te werven, aanvragen te filteren, kandidaten te evalueren, taken toe te wijzen of prestaties te monitoren hoog-risico onder Bijlage III, met verplichtingen die van toepassing zijn vanaf 2 augustus 2026.

Wat op het etiket moet

Niet fysiek. De identiteit van de vertegenwoordiger in de privacyverklaring en in de contractuele documentatie die aan werkgever klanten wordt gegeven. Waar AI wordt gebruikt, moeten kandidaten worden geïnformeerd en moet de werkgever in staat zijn de betrokken logica uit te leggen.

Marktplaatsvelden

EU-werkgevers vragen om de AI Act classificatie, de overdrachtsanalyse en de vertegenwoordiger in de aanbesteding, en ondernemingsraden in Duitsland, Oostenrijk en Nederland blokkeren vaak de inzet waar de antwoorden onbevredigend zijn.

Documentatie die u moet bewaren

Artikel 30 registraties, Artikel 28 verwerkingsvoorwaarden, de Artikel 27 aanwijzing, een gegevensbeschermingseffectbeoordeling die kandidaatprofilering dekt, bewaartermijnen die onsuccesvolle aanvragers van aangenomen kandidaten onderscheiden, en het overdrachtsmechanisme. Voor hoog-risico AI: technische documentatie, risicobeheer, gegevensbeheer dat vooringenomenheid aanpakt, logging en de conformiteitsbeoordeling.

Normen en tests

Evaluatie van vooringenomenheid en nauwkeurigheid is effectief vereist: de AI Act verplicht leveranciers om trainingsgegevens op vooringenomenheid te onderzoeken en nauwkeurigheidsniveaus te verklaren, en de antidiscriminatiewetgeving is onafhankelijk van toepassing.

Taalvereisten

Kandidaatgerichte informatie in de taal van de aanvragers, en werkgeversdocumentatie in de taal van de markt.

Vanaf wanneer

De vertegenwoordiger voordat de verwerking begint. AI Act hoog-risico verplichtingen vanaf 2 augustus 2026, met de werkgever als inzetter die ook verantwoordelijkheden heeft, waaronder het informeren van werknemers.

Bewaartermijn

Onsuccesvolle kandidaatgegevens alleen zo lang als nodig, wat verschillende autoriteiten interpreteren als zes tot twaalf maanden bij afwezigheid van een specifieke claimperiode. Onbeperkte talentpools zonder basis zijn een terugkerende bevinding.

Bij niet-naleving

Tot €20 miljoen of 4% van de omzet onder de GDPR, en tot €15 miljoen of 3% onder de AI Act voor hoog-risico verplichtingen. Discriminatieclaims lopen parallel via nationale arbeidsrechtbanken.

Wie handhaaft

Gegevensbeschermingsautoriteiten, AI Act markttoezichtautoriteiten, gelijkheidsinstanties en, in de praktijk, ondernemingsraden.

Waar de grens ligt

Geautomatiseerde afwijzing zonder menselijke betrokkenheid raakt Artikel 22 GDPR, dat uitsluitend geautomatiseerde beslissingen met juridische of vergelijkbaar significante effecten beperkt. Emotionele afleiding in interviews is verboden in de werkcontext onder Artikel 5 van de AI Act, zodat sommige producten die vandaag de dag op de markt worden gebracht niet wettelijk in de Unie kunnen worden verkocht.

Veelgestelde vragen

Wij zijn alleen een verwerker voor werkgevers — hebben we een vertegenwoordiger nodig?

Als je kandidaatgegevens verwerkt van mensen in de Unie en je hebt geen EU-vestiging, ja. En elk gebruik van die gegevens voor je eigen doeleinden maakt je een verwerkingsverantwoordelijke.

Is CV-screening hoog-risico?

Het filteren of rangschikken van aanvragen staat vermeld in Bijlage III, dus ja, met verplichtingen vanaf augustus 2026.