Recrutement

Respecter la minimisation lors de la collecte des données

L’article 5.1.c du RGPD consacre le principe selon lequel : « les données à caractère personnel […] doivent être adéquats, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».

• Quant à leurs qualifications, par exemple le diplôme obtenu
• Quant à leurs expériences passées, par exemple le dernier poste occupé
• Quant à leurs compétences

Lorsque cela s’avère nécessaire au regard du poste proposé, certaines informations supplémentaires peuvent être également collectées. Par exemple, pour un poste nécessitant des déplacements fréquents, un recruteur aura la possibilité de demander si le candidat possède le permis de conduire.

Il est donc impératif d’écarter toute question qui sortirait de la sphère purement professionnelle. Sont donc proscrites toutes les questions qui porteraient sur la vie privée d’un candidat, par exemple sa situation familiale, sa volonté ou non d’avoir des enfants.

[1] Art. L1221-6 du Code du Travail

Fixer une durée de conservation limitée

Les recruteurs ont la possibilité de conserver les données personnelles de candidats dont les processus de recrutements n’auraient pas été concluants. Cette possibilité s’explique par le fait qu’un besoin de recrutement peut s’exprimer après avoir donné une réponse négative à un candidat.

Cependant, la durée maximale de conservation des données dans le cadre d’un recrutement est fixée à deux ans.

De plus, afin de garantir la conformité du processus, le responsable de traitement doit impérativement s’assurer du respect de deux éléments :

• Le candidat doit être mis en mesure de retirer son consentement à tout moment: dans le courriel l’informant de la conservation de ses données, il est impératif de formuler la possibilité pour lui de retirer son consentement.
• Si le candidat ne demande pas que ses données soient supprimées, une procédure automatique de suppression doit être mise en place en interne au bout de deux ans.

Bien entendu, afin de garantir votre conformité au RGPD, vous pouvez également fixer une durée de conservation inférieure à deux ans, par exemple une durée de 18 mois.

Choisir la base légale adéquate

Tout traitement de données personnelles doit se fonder, selon l’article 6 du RGPD, sur une ou plusieurs bases légales : il est important de choisir la base légale qui convient à la finalité pour laquelle vous collectez la donnée.

Lorsque la finalité d’un traitement est le recrutement de candidats, le responsable de traitement peut choisir les bases légales suivantes :

• L’intérêt légitime, qui peut justifier la constitution d’une CV-thèque. Cette base légale s’explique par l’intérêt, pour le responsable de traitement, de disposer d’une base de données de CV qu’il peut utiliser lorsqu’un besoin de recrutement s’exprime
• L’exécution d’une mesure précontractuelle: Cette base légale concerne notamment les traitements relatifs au suivi des candidatures et à la formalisation du contrat de travail lorsque le processus de recrutement d’un candidat a été concluant
• L’obligation légale: Cette base légale peut se justifier, par exemple, par l’obligation qu’ont les recruteurs de vérifier les titres de séjours lorsqu’ils embauchent des salariés étrangers

Veiller à la bonne information des candidats :

L’obligation d’information qui incombe aux recruteurs permet aux candidats de connaître, à la fois la raison de la collecte des différentes informations personnelles (par exemple, l’évaluation des aptitudes professionnelles) et de comprendre l’usage qui en sera fait et d’assurer la maîtrise de leurs données en facilitant l’exercice de droits.

Le recruteur doit donc informer les candidats dès lors qu’il traite des données à caractère personnel, peu importe la manière dont ces données ont été collectées.

Les modalités d’informations diffèrent selon que les données aient été recueillies :

• Directement auprès du candidat qui transmet son CV dans le cadre d’une candidature
• Indirectement, par exemple via des réseaux sociaux professionnels

Dès lors, les informations qui doivent être communiquées aux candidats sont les suivantes^[1] :

• L’identité et les coordonnées du responsable de traitement
• La finalité du traitement
• La base légale du traitement
• Le(s) destinataire(s) des informations recueillies
• La durée de conservation des informations
• Le cas échéant, l’existence d’un éventuel transfert de données vers un pays tiers
• L’existence et les conditions d’exercice de droit applicable

En plus de ces informations, lorsque les données personnelles des candidats ont été recueillies de manière indirecte alors le recruteur doit également informer le candidat sur :

• Les catégories de données personnelles collectées
• La source de provenance de ces données

[1] Article 13 du RGPD