Le recrutement est un processus RH [1] crucial pour toute entreprise cherchant à trouver les meilleurs talents pour ses équipes.
Cependant, du fait du RGPD, en application depuis le 25 mai 2018 et de la sensibilisation croissante à la protection des données personnelles, les employeurs doivent également tenir compte de la sécurité et de la confidentialité des données des candidats. En effet, les acteurs du recrutement (employeurs, cabinet de recrutement, prestataires SIRH…) présentent une forte activité de collecte et de traitement de données personnelles, celles des candidats, afin de comparer leurs profils aux postes à pourvoir. Dans cet article, nous examinerons les enjeux de la protection des données des candidats, les données personnelles collectées lors du processus de recrutement, les obligations légales et les responsabilités des employeurs en matière de protection des données, les risques encourus en cas de violation de la protection des données, ainsi que les mesures à prendre pour protéger les données des candidats.
I. Données personnelles collectées lors du recrutement : Quels sont les principes de conformité du RGPD en matière de recrutement ?
Le Règlement général sur la protection des données (RGPD) énonce les principes de conformité que les entreprises doivent respecter lors de la collecte, du traitement et de la conservation des données personnelles. Le RGPD impose aux employeurs de recueillir, utiliser et stocker les données personnelles des candidats de manière légale, équitable et transparente, en ne collectant que les données nécessaires, en les maintenant précises et en les protégeant contre toute violation de sécurité.
La minimisation des données personnelles des candidats.
Le principe de minimisation implique que les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Les employeurs doivent ainsi collecter les données personnelles des candidats uniquement dans le cadre du processus de recrutement et pour des raisons légitimes, telles que l’évaluation de leur adéquation à un poste. Par exemple, il est interdit de demander à un candidat des informations sur ses parents, sa fratrie, ses opinions politiques, son état de santé, son projet de parentalité ou bien son appartenance syndicale.
L’obligation de transparence et de loyauté du recruteur.
Le recruteur est tenu par une obligation de transparence qui fait référence au droit à l’information du candidat. Le recruteur est tenu au traitement loyal des données qui concerne les modalités selon lesquelles elles sont collectées. Les employeurs doivent informer les candidats de la collecte de leurs données personnelles, les raisons pour lesquelles ces données sont collectées, comment elles seront utilisées et combien de temps elles seront conservées.
Le responsable du traitement devra fournir une information complète, claire et précise, afin que le candidat puisse :
connaître la raison de la collecte des différentes données ;
comprendre le traitement des données ;
assurer la maîtrise de ses données, faciliter l’exercice de ses droits.
La base légale du traitement de données.
La base légale d’un traitement est ce qui donne l’autorisation légale de sa mise en œuvre, ce qui permet au recruteur de faire la collecte et l’utilisation des données personnelles (CNIL).
Il existe 6 bases légales :
le consentement,
le contrat,
l’obligation légale,
la sauvegarde des intérêts vitaux,
l’intérêt public,
les intérêts légitimes.
Sauf hypothèse particulière, l’utilisation par un recruteur d’un dispositif de classement des candidatures engendrant des pratiques discriminatoires en lien avec l’âge, le sexe, l’origine, le handicap ou encore avec le lieu de résidence des candidats est illicite.
Toutefois, il est possible d’utiliser le lieu de résidence d’un candidat dans les cas où l’emploi exige de participer à un dispositif de garde ou d’astreinte. Dans ce cas le traitement répond à une exigence professionnelle essentielle, l’objectif est légitime et l’exigence proportionnée.
II. La durée de conservation des données collectées à des fins de recrutement.
Combien de temps le recruteur peut-il conserver les données d’un candidat non retenu ? Les employeurs doivent conserver les données personnelles des candidats pendant une période de temps limitée et ne pas les conserver plus longtemps que nécessaire.
En pratique, la conservation en base active, qui concerne l’utilisation des informations relatives aux candidats pendant le processus de recrutement en cours, est de 2 ans maximum sauf si le candidat demande l’effacement de ses données (CNIL).
L’intégrité et la confidentialité des données.
Les employeurs doivent prendre des mesures appropriées pour protéger les données personnelles des candidats contre la perte, le vol, l’utilisation abusive, l’accès non autorisé ou la divulgation.
Les droits relatifs aux données personnelles des candidats dans le cadre du recrutement.
Dans le cadre du recrutement, les candidats bénéficient de droits relatifs à leurs données personnelles. Ces droits doivent pouvoir être exercés sur simple demande, le candidat pouvant justifier de son identité par tout moyen. Si l’organisme dispose d’un site web proposant la création d’un compte candidat pour postuler à une offre d’emploi en ligne, il est recommandé de donner la possibilité aux candidats d’exercer leurs droits à partir de leur espace personnel. L’organisme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois (prolongeable une fois).
Ces droits sont les suivants :
Le droit à l’information :
Le droit à l’information prévoit que chacun a un droit de regard sur ses propres données, et sur les fins d’utilisation de leur collecte par un tiers. Dans le cadre d’un recrutement, le candidat doit être informé de l’identité du responsable du traitement, de l’objectif de la collecte de ses informations, du délai de conservation de ses données, des destinataires qui pourront consulter celles-ci (CNIL).
Le droit d’accès :
Le droit d’accès permet à un candidat de savoir si l’organisme de recrutement détient ses données personnelles (CV, lettre de motivation, coordonnées) et quel traitement leur est appliqué. Il pourra demander une communication transparente de ses données personnelles afin d’en vérifier le contenu (CNIL). Lorsqu’une demande d’accès porte sur les résultats d’un test, les données fournies au candidat doivent comprendre non seulement les résultats en tant que tels, mais également les éléments permettant de les interpréter.
Le droit à la rectification :
Le droit à la rectification prévoit que chacun peut faire rectifier, compléter, actualiser des informations à caractère personnel lorsque des erreurs, des inexactitudes ont été repérées. Un ancien candidat ayant donné son consentement pour que ses données soient conservées au sein d’une base de données de type « viviers de candidats » doit ainsi pouvoir rectifier son numéro de téléphone, son adresse en cas de changement ou encore l’obtention d’un nouveau diplôme (CNIL).
Le droit à l’effacement :
Le droit à l’effacement offre la possibilité au candidat de demander la suppression de ses données personnelles des bases du recruteur, si les données ne sont plus nécessaires au regard de l’objectif poursuivi par exemple (CNIL). Le candidat qui annonce au recruteur qu’il a déjà trouvé un emploi peut alors demander au recruteur l’effacement des données qui sont associées à sa candidature.
Le droit à la limitation du traitement :
Si le candidat conteste l’exactitude des données utilisées ou s’oppose au traitement de celles-ci opéré par le recruteur, ce dernier devra procéder à un examen de la demande du candidat. Le droit à la limitation du traitement permet de geler temporairement ses données personnelles pendant toute la durée de l’examen (CNIL).
Le droit à la portabilité des données :
Le droit à la portabilité rend possible pour le candidat de récupérer une partie de ses informations dans un format lisible par une machine (CNIL).
III. RGPD : les sanctions envisageables dans le cadre du recrutement.
Les professionnels du recrutement doivent respecter le RGPD. Le non-respect de ces droits peut en effet entraîner des répercussions négatives pour l’entreprise, telles que des sanctions financières mais aussi pénales ainsi qu’une perte de confiance des candidats.
Les sanctions financières.
Le RGPD prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (art. 82). Dans le cas où cette réparation ne serait pas effectuée, c’est aux autorités de contrôle nationales de veiller au respect du RGPD en imposant des amendes administratives (article 83). En France, c’est à la CNIL que revient cette responsabilité. En fonction de la nature et la gravité des faits, la CNIL a tout pouvoir pour imposer des amendes qui peuvent monter à 20 millions d’euros ou 4% du CA annuel mondial si la violation concerne les droits des personnes, un non-respect du consentement ou en cas de transfert non autorisé de données personnelles en dehors de l’Union Européenne.
Les sanctions pénales.
Outre, la protection des données personnelles assurée par la loi Informatique et Libertés de 1978 et règlement européen sur la protection des données (RGPD), les articles 226-16 et suivants du Code code pénal prohibe également le fait, par toute personne qui détient des données, de détourner ces informations de leur finalité. Le 15 juin 2021, le tribunal correctionnel de Versailles a condamné Ikea France au paiement d’une amende de 1 million d’euros et au versement de 300 000 euros de dommages et intérêts aux parties civiles. En janvier 2023, un ancien dirigeant de la filiale française, a vu sa peine réduite en appel à quatre mois de prison avec sursis et 20 000 € d’amende, pour “complicité de collecte de données personnelles”. Des centaines d’employés, entre 2009 et 2012, avaient été passés au crible, leur patrimoine, vie privée et antécédents judiciaires scrupuleusement épluchés.
Le risque d’image.
L’amende ou la condamnation pénale n’est pas forcément la sanction appliquée immédiatement par l’autorité compétente. La CNIL peut également prononcer des mesures alternatives comme la publication des sanctions au regard de la gravité du manquement en cause. On notera également que la régulation des relations numériques s’appuie de plus en plus sur la capacité nouvelle de l’individu à faire ses propres jugements et à s’associer volontairement pour les défendre avec des plateformes comme GlassDoor. Alors que l’image de marque de l’employeur est la clé du succès en matière de recrutement, la manière dont les réseaux sociaux se transforment parfois en jury populaire montre le « Name and Shame » peut être autrement plus coûteux pour l’entreprise qu’une sanction pécuniaire.
En fin de compte, il est essentiel d’appeler à une prise de conscience accrue de la part des acteurs du recrutement et la nécessité de protéger les données personnelles des candidats de manière responsable.
