Cyber­verzekering voor HR- en recruitmentbureaus

In het kort

In uw systemen zitten cv's, motivatiebrieven, gespreksverslagen, assessmentrapporten, salariswensen en referentiechecks. Voor een kandidaat is het feit dát hij solliciteert al gevoelige informatie: komt dat bij zijn huidige werkgever terecht, dan is de schade zijn positie of zijn baan. Daar komt bij dat u vaak twee kanten bedient, de kandidaat en de opdrachtgever, en dat u met beide een andere afspraak over vertrouwelijkheid hebt. Een lek raakt die twee relaties tegelijk.

Wettelijk zit u op twee sporen. Voor kandidaatgegevens bent u meestal zelf verwerkingsverantwoordelijke, met bewaartermijnen die u moet vastleggen en naleven: in de regel kort na afronding van de procedure, langer alleen met toestemming. Voert u werk uit binnen de personeelsadministratie van een opdrachtgever, dan bent u daar verwerker en gelden de termijnen uit zijn verwerkersovereenkomst. Bij een datalek geldt de melding aan de Autoriteit Persoonsgegevens binnen 72 uur, en bij hoog risico ook de plicht om de betrokkenen zelf te informeren.

Let bijzonder op gezondheidsinformatie. Rond verzuim en re-integratie mag u als adviseur maar zeer beperkt gegevens vastleggen. Dat hoort bij de bedrijfsarts. Staat er toch medische informatie in uw dossiers, dan verzwaart dat zowel de acceptatie als de gevolgen van een lek. Verzekeraars vragen daar uitdrukkelijk naar en onjuiste antwoorden raken de mededelingsplicht van artikel 7:928 BW en de gevolgen daarvan in artikel 7:930 BW.