Documenten van sollicitanten en personeel veilig verzamelen

Verzamel documenten van sollicitanten en medewerkers in fasen. Vraag per fase alleen wat op dat moment nodig is, stuur iedereen naar één vaste uploadplek, beperk de inzage tot de HR-medewerkers die die stap uitvoeren en verwijder de tijdelijke kopie zodra het resultaat in het officiële HR- of salarissysteem staat.

In Nederland is het verschil tussen de fasen heel concreet. Van een sollicitant mag je volgens de Autoriteit Persoonsgegevens geen kopie, scan of foto van het identiteitsbewijs vragen. Treedt diezelfde persoon in dienst, dan moet je juist een kopie in je loonadministratie opnemen.

Haal de vier fasen uit elkaar

De grootste praktische winst zit in het loslaten van één map "sollicitatiedocumenten". Een cv voor de selectie, een diploma voor een voorwaardelijk aanbod en de gegevens voor de loonheffingen hebben elk een ander doel, een ander publiek en een andere bewaarregel. Maak per fase een kort, eigen verzoek.

Fase	Doel	Nu opvragen	Toegang	Einde van de tijdelijke ontvangst
Sollicitatie	Ervaring en geschiktheid beoordelen	Cv, motivatie en alleen het werk dat voor de functie echt nodig is. Geen kopie-ID en geen BSN.	Recruiters en leden van de selectiecommissie	Niet aangenomen: gegevens verwijderen volgens je sollicitatieregel. Wel door: alleen het nodige meenemen naar de volgende fase.
Voorwaardelijk aanbod	Een afgesproken controle afronden	Alleen het bewijs voor die ene controle, zoals een diploma dat voor de functie vereist is	Benoemde HR-medewerkers of een aangewezen screeningsbureau	Uitkomst vastleggen in het goedgekeurde systeem en overbodige werkkopieën verwijderen
Indiensttreding	Personeels- en loongegevens aanleggen	Ondertekende formulieren, de gegevens voor de loonheffingen en de kopie van het identiteitsbewijs	HR en salarisadministratie, elk met een omschreven taak	Wat bewaard moet worden in het HR- of loonsysteem zetten, daarna de ontvangstkopie verwijderen
Dienstverband of vertrek	Een concrete wijziging of uitdiensttreding afhandelen	Alleen de documenten voor die gebeurtenis	Het team dat die gebeurtenis afhandelt	Taak afsluiten, verplichte stukken in het officiële systeem bewaren en tijdelijke inzendingen verwijderen

Dit is een werkschema, geen volledige documentenlijst. Arbeidsrecht, fiscale regels en eisen voor bepaalde beroepen verschillen per functie. Laat de eigenaar van het proces de wettelijke grond bevestigen voordat een document aan het verzoek wordt toegevoegd.

Sollicitatie: laten zien in plaats van kopiëren

De AP noemt een aantal gegevens die je tijdens een sollicitatieprocedure meestal niet mag verwerken: bijzondere persoonsgegevens, gegevens over de gezondheid, strafrechtelijke gegevens, het burgerservicenummer en een kopie van het identiteitsbewijs. Wil je de identiteit van een sollicitant controleren, laat dan het originele identiteitsbewijs zien.

Volgens dezelfde AP-pagina is het gebruikelijk om gegevens van een afgewezen sollicitant uiterlijk 4 weken na het einde van de procedure te verwijderen. Geeft de sollicitant toestemming om langer te bewaren, bijvoorbeeld voor een latere vacature, dan vindt de AP maximaal 1 jaar redelijk.

Een uploadlink voor sollicitaties hoort dus geen veld "kopie paspoort" te hebben. Zet in het verzoek wat de sollicitant niet moet uploaden.

Indiensttreding: de kopie hoort in de loonadministratie

Bij indiensttreding draait de regel om. Artikel 28 van de Wet op de loonbelasting 1964 verplicht de werkgever om de identiteit van een werknemer vast te stellen met een geldig identiteitsdocument en daarvan de aard, het nummer en een afschrift in de loonadministratie op te nemen.

Het Handboek Loonheffingen 2026 van de Belastingdienst werkt dit uit. Je stelt de identiteit vast voordat de werknemer bij je gaat werken en maakt een goed leesbare kopie van een geldig identiteitsbewijs. Op de kopie moeten alle persoonsgegevens van het origineel staan. Staat het BSN op de achterkant, zoals bij paspoorten en identiteitskaarten vanaf 2014, dan kopieer je ook de achterkant. Kopieën van het identiteitsbewijs bewaar je ten minste 5 kalenderjaren na het einde van de dienstbetrekking.

De AP-pagina over het identiteitsbewijs bij werk bevestigt die termijn en voegt een praktisch punt toe: het BSN moet herkenbaar op de kopie staan.

Dat heeft twee gevolgen voor je ontvangstproces:

De ontvangstkopie is niet de wettelijke kopie. Een tijdelijke uploadplek met een verwijderdatum is geen loonadministratie. Zet de verplichte kopie in het salarissysteem of personeelsdossier en laat de tijdelijke versie daarna verlopen.
Een gemarkeerde of doorgestreepte kopie is hier niet altijd bruikbaar. Veel mensen strepen hun BSN door voordat ze een kopie delen. Voor de loonadministratie moet het BSN juist leesbaar zijn. Leg dat in het verzoek uit, zodat de nieuwe medewerker niet twee keer hoeft te uploaden.

Meer over wat er wel en niet op een kopie hoort, staat op de pagina over kopieën van identiteitsbewijzen.

Bouw elk verzoek rond één beslissing

Begin elk verzoek met de beslissing die het ondersteunt. "Bevestigen dat de kandidaat het werk kan doen" is nog te breed. "Bevestigen dat de kandidaat het certificaat heeft dat nodig is om deze machine te bedienen" is concreet genoeg om te toetsen welk bewijs echt nodig is.

Leg per gevraagd document vast:

Het doel en de grondslag die de werkgever gebruikt
Waarom een minder ingrijpend stuk niet volstaat
In welke fase het nodig is
Wie het beoordeelt en wat die persoon vastlegt
Of het origineel in een officieel dossier moet
Wanneer de ontvangstkopie wordt verwijderd

Kan het team deze velden niet invullen, zet het verzoek dan stil. Documenten "voor de zekerheid" opvragen levert informatie op die iemand moet beveiligen, verantwoorden en later weer opruimen.

De beginselen van minimale gegevensverwerking en opslagbeperking in artikel 5 van de AVG vragen om gegevens die toereikend, ter zake dienend en beperkt zijn tot wat nodig is, en die niet langer herleidbaar worden bewaard dan nodig. Andere wetten, zoals de Wet op de loonbelasting, kunnen voor bepaalde stukken een langere bewaarplicht opleggen. Daarom hebben de ontvangstkopie en het officiële dossier elk een eigen eindpunt.

Geef heldere informatie en één route

Het verzoek komt van een herkenbaar contactpersoon binnen het bedrijf en legt uit:

Welk document of welke pagina's je vraagt
Waarvoor de werkgever ze gebruikt
Wie ze mag bekijken
De uploaddeadline en de toegestane bestandsformaten
Wanneer de ontvangstkopie naar verwachting wordt verwijderd
Waar de privacyverklaring van de werkgever staat
Hoe iemand een inzending kan corrigeren of intrekken

Gebruik een vaste uploadlink, niet het persoonlijke mailadres van een recruiter. Een apart e-mailadres kan dienen als uitwijkmogelijkheid. Vertel de afzender dan wel dat er kopieën achterblijven in zijn map Verzonden items of bij zijn e-mailprovider. Houd onderwerpregels neutraal en zet er geen diagnose, screeningsuitkomst, bestandsnaam of ander gevoelig detail in.

De bredere werkwijze voor gevoelige documenten zonder e-mailbijlagen bevat een verzoeksjabloon dat je voor werving kunt aanpassen.

Houd de inzage dicht bij de beslissing

Een leidinggevende heeft misschien de sollicitatie en de gespreksnotities nodig, maar geen identiteitsbewijs, bankgegevens of verblijfsdocument. De salarisadministratie heeft de goedgekeurde gegevens voor de loonheffingen nodig, niet het hele selectiedossier. IT heeft een naam en een startdatum nodig en geen van beide documentensets.

Werk met persoonlijke accounts en geef toegang aan de kleinste groep die de taak kan uitvoeren. Vermijd een gedeelde login als "HR algemeen". Werk je met een extern werving- en selectiebureau of een screeningsbureau, leg dan vast welke organisatie voor welke stap verantwoordelijk is, wat zij ontvangt en hoe de overdracht eindigt.

Met de checklist voor minimale toegang tot klantdocumenten scheid je bekijken, originelen downloaden, bewaartermijnen wijzigen, verwijderen en gebruikersbeheer. Dezelfde methode werkt voor sollicitantdocumenten, ook al gaat het om een arbeidsrelatie en niet om klantwerk.

Behandel gevoelige controles als apart proces

Gegevens over gezondheid of een handicap, lidmaatschap van een vakbond, biometrische gegevens en sommige diversiteitsgegevens kunnen onder de AVG bijzondere persoonsgegevens zijn. Voor strafrechtelijke gegevens gelden eigen regels. Een controle met dit soort gegevens vraagt meer dan een veilige uploadpagina: de werkgever moet een geldige grondslag hebben, eventueel een wettelijke uitzondering, goede informatie aan de betrokkene, toegangsbeperking en een bewaarregel.

Stop deze bestanden niet in de algemene ontvangstroute omdat hetzelfde team ook andere sollicitatiedocumenten behandelt. Gebruik een dienst en een overeenkomst die voor die categorie zijn goedgekeurd.

Sunset Docs staat bijzondere persoonsgegevens, strafrechtelijke gegevens, biometrische gegevens voor unieke identificatie en gegevens van kinderen standaard niet toe, tenzij dat apart schriftelijk is overeengekomen. Dat speelt bij functies met een medische keuring, een screening of sollicitanten jonger dan 18. Voor die documenten is de standaarddienst niet de juiste route.

Dezelfde beperking geldt voor volledige betaalkaartgegevens, wachtwoorden, authenticatiegeheimen en privésleutels. Ook een bankafschrift laat vaak meer zien dan de salarisadministratie nodig heeft. Vraag liever om het rekeningnummer op een goedgekeurd formulier dan om een volledig afschrift, als het proces dat toelaat.

Noem documentontvangst geen identiteitsverificatie

Een foto van een paspoort ontvangen bewijst niet wie het bestand heeft geüpload, of het document echt is en of het bij de persoon achter de link hoort. Bestandscontrole en een malwarescan beantwoorden andere vragen.

Het Handboek Loonheffingen staat toe dat je de identiteit van een werknemer digitaal en op afstand vaststelt, maar het is aan de werkgever om aan te tonen dat dat zorgvuldig is gebeurd. Dat is een aparte controle met een eigen methode, geen bijproduct van een upload. Leg de uitkomst vast die het proces vraagt en bewaar geen extra kopieën zonder reden.

Sunset Docs ontvangt toegestane bestanden en maakt ze klaar voor beoordeling. Het verifieert niet de identiteit van de afzender of de juistheid van een document.

Sluit de ontvangst af zonder verplichte stukken kwijt te raken

Tijdelijke ontvangst eindigt met een expliciete overdracht:

De aangewezen beoordelaar controleert de inzending.
Hij legt de uitkomst vast in het werving-, HR- of salarissysteem.
Moet een origineel bewaard blijven, zoals de kopie van het identiteitsbewijs, dan zet een bevoegde persoon het in dat goedgekeurde systeem.
Lokale downloads en werknotities worden van laptops en gedeelde mappen verwijderd.
De tijdelijke ontvangstkopie wordt verwijderd, of de vastgelegde verwijderdatum loopt af.
Alleen een minimale auditregel blijft over, zonder de inhoud van het document.

Gebruik een korte verwijderdatum nooit om een wettelijke bewaarplicht te omzeilen. Maak de ontvangstomgeving ook niet het permanente dossier omdat een ander systeem een langere bewaartermijn heeft.

In Sunset Docs krijgt elke inzending bij binnenkomst een verwijderdatum, bijvoorbeeld na 7 of 30 dagen, en bevoegde gebruikers kunnen eerder verwijderen. Teamleden zien standaard pagina's met watermerk in de browser, niet het originele bestand. Heeft de salarisadministratie het origineel nodig, dan kan de eigenaar het downloaden toestaan, en dat wordt gelogd. Versleutelde databaseback-ups vervallen binnen 30 dagen, dus verwijderen is niet hetzelfde als direct uit elke back-up verdwijnen. De pagina over beveiliging beschrijft de maatregelen en de grenzen.

Sjabloon voor een verzoek aan een nieuwe medewerker

Wil je het volgende document uploaden via de link van ons bedrijf?

{uploadlink}

We hebben het nodig voor {concreet doel, bijvoorbeeld de loonadministratie bij je indiensttreding}. Upload {exact document, pagina's of gegevens} vóór {datum}. {Functie of team} beoordeelt het.

Voor de loonadministratie moeten alle gegevens op de kopie leesbaar zijn, ook je burgerservicenummer. Streep dat dus niet door.

De tijdelijke kopie in deze uploadomgeving wordt op {datum of termijn} verwijderd. Moeten we een stuk wettelijk bewaren, dan zetten we het in ons HR- of salarissysteem volgens de bewaartermijn in {link naar privacyverklaring}.

Gebruik deze link niet voor gezondheidsgegevens, strafrechtelijke gegevens, gegevens van kinderen, betaalkaartgegevens of inloggegevens. Neem contact op met {contactpersoon} als het gevraagde document zulke gegevens bevat of als je het op een andere manier wilt aanleveren.

Voor een verzoek aan sollicitanten laat je de alinea over het burgerservicenummer weg en vervang je die door: "Upload geen kopie van je identiteitsbewijs." Pas de regel over uitgesloten gegevens aan de goedgekeurde dienst en het werkelijke proces aan. Beloof geen verwijderdatum die botst met een bewaarplicht van de werkgever.

Veelgestelde vragen

Mogen we bij de sollicitatie al om een kopie van het identiteitsbewijs vragen?

Nee. Volgens de AP mag je van sollicitanten geen kopie, scan of foto van het identiteitsbewijs vragen of maken. Wil je de identiteit controleren, laat de sollicitant dan het origineel tonen. Pas bij indiensttreding heb je een kopie nodig voor de loonadministratie.

Mag de leidinggevende de onboardingdocumenten inzien?

Alleen als hij een omschreven taak heeft waarvoor die informatie nodig is. Leidinggevende zijn is op zich geen reden om loongegevens, een identiteitsbewijs of andere administratieve stukken te zien.

Hoe lang bewaren we gegevens van afgewezen sollicitanten?

De AP noemt het gebruikelijk om ze uiterlijk 4 weken na het einde van de procedure te verwijderen, of maximaal 1 jaar als de sollicitant toestemming geeft om langer te bewaren. Leg je eigen regel vast en houd de tijdelijke uploadkopie los van het selectiedossier.

De nieuwe medewerker heeft zijn BSN doorgestreept. Is de kopie dan bruikbaar?

Voor de loonadministratie niet. Volgens de Belastingdienst en de AP moeten alle persoonsgegevens op de kopie staan en moet het BSN herkenbaar zijn. Vraag via dezelfde route om een nieuwe upload en verwijder de onbruikbare versie.

Moeten we ook een kopie maken van uitzendkrachten of gedetacheerden?

Meestal niet. Volgens Ondernemersplein controleert een inlener het originele identiteitsbewijs en neemt hij de persoonsgegevens over in zijn administratie, zonder een kopie te bewaren. De uitlener is de werkgever en bewaart de kopie. Komt de ingeleende kracht van buiten de Europese Economische Ruimte of Zwitserland, dan moet je wel 5 jaar een kopie bewaren.

Kan Sunset Docs personeelsdossiers permanent bewaren?

Nee. Sunset Docs is tijdelijke documentontvangst, geen HR-archief, personeelsdossier, loonadministratie of dienst voor identiteitsverificatie. Zet stukken die bewaard moeten blijven in het goedgekeurde systeem van de werkgever voordat de ontvangstkopie verloopt.