De AVG voor uitzendbureaus: ID-kopieën, privacyverklaringen en opdrachtgevers

Bij een vestiging van een uitzendbureau in Eindhoven typt een compliance officer “paspoort” in de zoekbalk van de gedeelde mailbox van recruitment. Tussen de resultaten staan kandidaten die zich vorig voorjaar hebben ingeschreven en nooit een dienst hebben gedraaid. In de spreadsheet van de planner zit een tabblad met foto’s die iemand op een drukke maandag erin heeft geplakt. Elke kopie is om een reden gemaakt. Niemand heeft vastgelegd hoe lang ze bewaard mogen worden.

Gaat een kandidaat van het uitzendbureau naar de opdrachtgever, dan gaan de gegevens mee. Elke kopie is een extra plek waar de Algemene verordening gegevensbescherming (AVG) eist dat de gegevens juist en beveiligd zijn en niet langer worden bewaard dan nodig is (artikel 5, lid 1, onder d tot en met f). Dit artikel behandelt de kandidaatgegevens van een uitzendbureau onder de AVG en het Nederlandse recht, vóór en na indiensttreding. Bij elk punt geven we aan of het gaat om geldend recht, officiële uitleg of onze eigen lezing, en aanbevolen waarborgen markeren we als goede praktijk.

Wie mag een kopie van het identiteitsbewijs van een kandidaat bewaren, en hoe lang?

Dat hangt af van wie de kopie bewaart, in welke fase dat gebeurt en welke nationaliteit de uitzendkracht heeft.

Mag een uitzendbureau een kopie van het identiteitsbewijs van een kandidaat bewaren?

Ja, maar vóór indiensttreding slechts kort. Artikel 7c van de Waadi (Wet allocatie arbeidskrachten door intermediairs) is geldend recht:

Vier weken is een maximum, geteld vanaf het moment dat de kopie in de administratie is opgenomen en niet vanaf het einde van de inschrijving. Een kopie van vorig voorjaar, van iemand die nooit een dienst heeft gedraaid, zou al vernietigd moeten zijn.

De Autoriteit Persoonsgegevens (AP) voegt daar twee punten aan toe. Een kandidaat mag het burgerservicenummer (BSN) op de kopie onleesbaar maken, omdat het uitzendbureau het bij inschrijving niet mag vastleggen. En een uitzendbureau mag geen kopie maken van het identiteitsbewijs van een zzp’er die via het bureau een opdracht aanneemt. Volgens onze lezing sluit dat aan bij een opdracht van een echte zelfstandige, omdat artikel 7c gaat over mensen die onder toezicht en leiding van een opdrachtgever worden geplaatst, of die via bemiddeling aan een arbeidsovereenkomst worden geholpen. Is een “zelfstandige” opdracht in feite zo’n plaatsing, dan kan artikel 7c alsnog gelden.

Wat verandert zodra de kandidaat in dienst treedt bij het uitzendbureau?

De regels van de loonbelasting vervangen de regel van vier weken. Artikel 28, lid 1, onder f, van de Wet op de loonbelasting 1964 geldt voor een werknemer die loon uit tegenwoordige dienstbetrekking ontvangt. Volgens onze lezing gaat de uitzondering in artikel 7c daarom pas in wanneer iemand daadwerkelijk bij het uitzendbureau in dienst treedt, en niet bij de inschrijving. De AP zegt hetzelfde.

De details staan in artikel 7.5 van de Uitvoeringsregeling loonbelasting 2011 (geldend recht):

De Rijksoverheid en Ondernemersplein gebruiken dezelfde regel met kalenderjaren. De kortere formulering van de AP, de duur van het dienstverband plus vijf jaar, is een vereenvoudiging; houd je aan de formulering van de regeling. De algemene bewaartermijn van zeven jaar voor fiscale gegevens (Algemene wet inzake rijksbelastingen, artikel 52, lid 4) geldt alleen als de belastingwetgeving geen andere termijn stelt. Volgens onze lezing is artikel 7.5, lid 4, die andere termijn.

In de praktijk betekent dit volgens onze lezing van deze teksten:

Werkgevers die zelf mensen aannemen: volgens de AP mag een werkgever het originele identiteitsbewijs van een sollicitant bekijken, maar het tijdens de sollicitatie niet kopiëren, scannen of fotograferen. Welke controles al vóór het aanbod kunnen, lees je in Kandidaten voor de werkvloer verifiëren: wat mag je vóór het aanbod al controleren?

Mag de opdrachtgever een kopie van het identiteitsbewijs van een uitzendkracht bewaren?

Meestal niet, volgens de uitleg van de overheid. De Rijksoverheid zegt dat een bedrijf dat een uitzendkracht inleent, het originele identiteitsbewijs zelf controleert voordat het werk begint. Dat bedrijf mag er geen kopie van bewaren, omdat het uitzendbureau de werkgever is. Ondernemersplein voegt toe dat de opdrachtgever de persoonsgegevens van de uitzendkracht vastlegt. We hebben geen wet gevonden die deze algemene controle voor uitzendkrachten uit de EER en Zwitserland voorschrijft, dus beschouw dit als uitleg. Over de eigen controles en boetes van de inlener lees je meer in Uitzendkrachten inlenen: ketenaansprakelijkheid, controles en Wav-boetes.

De uitzondering geldt voor een uitzendkracht van buiten de EU, de EER en Zwitserland. Op grond van de Wav (Wet arbeid vreemdelingen) moet het uitzendbureau ervoor zorgen dat de opdrachtgever bij aanvang van het werk onverwijld een kopie van het identiteitsbewijs van de uitzendkracht ontvangt. De opdrachtgever stelt aan de hand daarvan de identiteit vast, neemt de kopie op in de administratie en bewaart die tot ten minste vijf jaar na het einde van het kalenderjaar waarin het werk eindigde (artikel 15, lid 1 tot en met 4, geldend recht).

Stuurt een uitzendbureau toch een scan van het identiteitsbewijs van een uitzendkracht uit de EER door, dan heeft de opdrachtgever een kopie die hij volgens de uitleg niet hoort te bewaren.

Waar mag een uitzendbureau bij de inschrijving om vragen?

Alleen wat het nodig heeft om de kandidaat te plaatsen. Voor elk gebruik van gegevens is een grondslag uit artikel 6, lid 1, AVG nodig, zoals maatregelen op verzoek van de kandidaat vóór het sluiten van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. De gegevens moeten beperkt blijven tot wat noodzakelijk is (artikel 5, lid 1, onder c).

Toestemming is zelden de juiste grondslag. Volgens de AP zijn sollicitanten afhankelijk van de organisatie, waardoor hun toestemming niet vrij is gegeven. Het Europees Comité voor gegevensbescherming (EDPB) noemt het problematisch om je te baseren op de toestemming van huidige of toekomstige werknemers, al is dat niet in elk geval uitgesloten.

Wat een uitzendbureau volgens de AP bij de inschrijving niet mag doen (officiële uitleg):

Bewaartermijn van kandidaatgegevens: geen enkele wet stelt een termijn vast voor de kandidatenpool van een uitzendbureau. De AVG-regel is dat gegevens niet langer worden bewaard dan nodig is (artikel 5, lid 1, onder e); bepaal dus een termijn en leg die vast. Voor de eigen sollicitanten van een werkgever is de uitleg van de AP dat de gegevens meestal binnen vier weken na afloop van de procedure worden verwijderd, of met toestemming van de sollicitant tot maximaal een jaar worden bewaard.

Wat moeten kandidaten volgens de AVG te horen krijgen, en van wie?

Elke verwerkingsverantwoordelijke moet de kandidaten informeren. Een verwerkingsverantwoordelijke bepaalt, alleen of samen met anderen, waarom en hoe persoonsgegevens worden verwerkt (artikel 4, punt 7); een verwerker verwerkt gegevens ten behoeve van een verwerkingsverantwoordelijke (artikel 4, punt 8).

Het uitzendbureau, bij het verzamelen: wie het is, waarom het de gegevens gebruikt, op welke grondslag, en wie ze ontvangt, waaronder opdrachtgevers bij naam of categorie (artikel 13, lid 1).

De opdrachtgever, binnen een maand: een opdrachtgever die de gegevens ontvangt en verwerkingsverantwoordelijke is, moet de kandidaat zelf informeren, ook over de herkomst van de gegevens. Dat moet uiterlijk binnen één maand gebeuren, of bij het eerste contact of de eerste verstrekking als dat eerder is (artikel 14, lid 2, onder f, en lid 3).

Dekt de privacyverklaring van het uitzendbureau ook de opdrachtgever? Alleen waar en voor zover de kandidaat de informatie die de opdrachtgever moet geven al heeft (artikel 14, lid 5, onder a). Europese richtsnoeren over transparantie, onderschreven door het EDPB, stellen dat de uitzonderingen in artikel 14 eng moeten worden uitgelegd, en dat een verwerkingsverantwoordelijke die zich beroept op wat iemand al weet, moet kunnen aantonen dat dit zo is. Door de opdrachtgever als ontvanger te noemen, weet de kandidaat nog niet wat de eigen doeleinden, de bewaartermijn en de contactgegevens van de opdrachtgever zijn. Volgens onze lezing hoort de opdrachtgever meestal zelf een korte privacyverklaring te geven, bijvoorbeeld bij de ID-controle vóór de eerste dienst.

Goede praktijk: een uitzendbureau kan de privacyverklaring van de opdrachtgever meegeven met de praktische gegevens over de dienst, in lijn met wat het onderzoekspaper van Radius Hire uit 2026 over overdrachten bij werving voor de werkvloer voorstelt: één verklaring per overstap.

AVG-rollen bij uitzendbureaus: wie is verantwoordelijk voor kandidaatgegevens?

Dat hangt af van wat elke partij in de praktijk bepaalt. Volgens het EDPB bepalen de feitelijke activiteiten de rol, niet het etiket in een contract (Richtsnoeren 07/2020, punt 12). Drie patronen passen bij het werk van uitzendbureaus:

Goede praktijk: leg per gegevensstroom tussen het uitzendbureau en de opdrachtgever de rol vast, en controleer of beide privacyverklaringen op elkaar aansluiten.

Wat moet het uitzendbureau aan de opdrachtgever doorgeven?

Alleen wat de opdrachtgever nodig heeft voor de plaatsing (AVG, artikel 5, lid 1, onder b en c). Voor een eerste dienst stelt het onderzoekspaper van Radius Hire voor om de dag ervoor de praktische gegevens te sturen: een namenlijst, de starttijd en tijdsloten voor de ID-controle en de introductie. Voor een uitzendkracht uit de EER of Zwitserland hoort daar geen ID-kopie bij.

Veranderen geautomatiseerde beoordelingen of AI-tools de regels?

Ja, als geen mens het besluit neemt. Volgens artikel 22 AVG mag een kandidaat niet worden onderworpen aan een besluit dat uitsluitend is gebaseerd op geautomatiseerde verwerking en dat rechtsgevolgen voor de kandidaat heeft of de kandidaat anderszins in aanmerkelijke mate treft. Volgens de AP treft een volledig geautomatiseerde score die over een sollicitatie beslist, de sollicitant bijna altijd in aanmerkelijke mate. Voor een werkgever of uitzendbureau noemt de AP twee routes: het besluit is noodzakelijk om een overeenkomst te sluiten, of de kandidaat geeft uitdrukkelijke toestemming, wat volgens de AP minder voor de hand ligt. De kandidaat kan dan menselijke tussenkomst krijgen, een standpunt naar voren brengen en het besluit aanvechten (artikel 22, lid 3), en moet daar vooraf over worden geïnformeerd.

Er is geen sprake van een geautomatiseerd besluit, zegt de AP, als een bekwaam persoon de uitkomst in de praktijk kan wijzigen of overrulen. Iemand die de score altijd moet volgen, telt niet mee.

Wanneer is een gegevensbeschermingseffectbeoordeling (DPIA) nodig? Bij een verwerking die waarschijnlijk een hoog risico meebrengt, met name bij een systematische en uitgebreide geautomatiseerde beoordeling, waaronder profilering, waarop besluiten met aanmerkelijke gevolgen worden gebaseerd (artikel 35, lid 3, onder a). Op de verplichte DPIA-lijst van de AP staan onder meer profilering, zoals het beoordelen van werkprestaties, en zwarte lijsten met wangedrag van werknemers die worden gedeeld met derden, met uitzendbureaus als voorbeeld. In andere gevallen is de vuistregel van de AP dat een DPIA nodig is als twee of meer van de negen criteria van de Europese toezichthouders van toepassing zijn. De Europese AI-verordening (AI Act) voegt daar aparte regels aan toe, die buiten dit artikel vallen: zie de AI Act bij werving en selectie.

Hoe verminder je het aantal ID-kopieën?

Tel ze eerst. Het onderzoekspaper van Radius Hire behandelt ID-kopieën anders dan elk ander onderdeel van de kostentabel: “Geen kostenpost: tel het aantal en streef naar minder”.

Stappen die als goede praktijk gelden, ontleend aan de whitepaper:

Hoe Radius helpt

Radius Hire is een AI-wervingsplatform voor functies op de werkvloer, gebouwd in Amsterdam voor uitzendbureaus en werkgevers die werven voor de werkvloer. Het is gebouwd om sollicitanten te sourcen, te interviewen en te verifiëren, terwijl een mens elke wervingsbeslissing neemt. In het Radius ATS staan WhatsApp- en e-mailconversaties, notities, het gesprek, aanbiedingen en contracten in één kandidaatdossier, en beheren uitzendbureaus de aanvragen van elke opdrachtgever in één omgeving, met rechten per team. Elke controle behoudt de bron en de datum, en kandidaatgegevens worden gehost in de EU. Zo heeft je team één plek om te kijken wanneer je telt waar kandidaatgegevens staan. Welke kopieën je bewaart, en hoe lang, blijft jouw beslissing.