Comment gérer les données des candidats avec le RGPD

Le RGPD impose des règles strictes pour protéger les données personnelles des candidats lors des recrutements. Voici les points essentiels pour assurer une mise en conformité RGPD et éviter des sanctions :

• Collecte limitée : Ne recueillez que les informations nécessaires (CV, diplômes, etc.) et évitez les données sensibles (situation familiale, religion).
• Transparence : Informez les candidats via une notice claire (finalités, durée de conservation, droits).
• Sécurisation : Limitez l’accès aux données aux seules personnes impliquées et utilisez des outils conformes.
• Durée de conservation : Maximum 2 ans pour les candidats non retenus, sauf mise à jour ou accord spécifique.
• Droits des candidats : Gérez rapidement les demandes d’accès, de rectification ou d’effacement.
• Documentation : Maintenez un registre des traitements et réalisez des analyses d’impact si nécessaire.

En appliquant ces pratiques, vous respectez vos obligations tout en renforçant la confiance des candidats. Passons maintenant aux détails.

Bases légales et transparence dans le traitement des données candidats

Avant de collecter des données sur les candidats, il est crucial de définir la base légale du traitement. Sans une base clairement établie, le processus de recrutement peut être compromis.

Les bases légales applicables aux données candidats

Le RGPD propose plusieurs bases légales, toutes équivalentes en droit. Le choix de la base dépend uniquement de la finalité du traitement.

Pour les opérations courantes comme la réception de CV, le tri ou la convocation à un entretien, la base des mesures précontractuelles (article 6.1.b) est la plus adaptée. En répondant à une offre, le candidat initie un processus précontractuel.

L’intérêt légitime (article 6.1.f) permet également d’évaluer les compétences d’un candidat, à condition que cet intérêt ne porte pas atteinte aux droits fondamentaux. Quant à l’obligation légale (article 6.1.c), elle s’applique pour des vérifications spécifiques, comme un titre de séjour ou un casier judiciaire, dans certains métiers.

Le consentement est réservé aux usages secondaires, tels que la constitution d’un vivier de talents. Ce consentement doit être libre, spécifique, éclairé et univoque. Concernant les données sensibles (état de santé, appartenance syndicale, convictions religieuses), leur traitement est interdit sauf exception (article 9 du RGPD), comme le consentement explicite du candidat.

Le choix de la base légale influence directement les droits des candidats. Voici un tableau récapitulatif des droits selon chaque base :

* Le candidat peut retirer son consentement à tout moment.
** L’effacement est possible si le traitement devient illicite ou non nécessaire.

Il est indispensable de documenter le raisonnement ayant conduit au choix d’une base légale, afin de pouvoir le justifier en cas de contrôle par la CNIL. Ce choix facilite également la mise en conformite RGPD et la rédaction d’une notice d’information conforme.

Données candidats : rédiger une notice d’information conforme au RGPD

La transparence exige de fournir une notice d’information claire et détaillée aux candidats dès la collecte de leurs données. Cette notice peut être publiée dans la section « Recrutement » du site web, incluse dans l’offre d’emploi ou envoyée dans l’accusé de réception automatique après une candidature.

Pour respecter le RGPD, la notice doit inclure :

• L’identité du responsable de traitement (nom et coordonnées de l’entreprise)
• La finalité et la base légale du traitement (ex. : gestion des candidatures sur la base de mesures précontractuelles)
• Les destinataires des données (RH, managers concernés, cabinets de recrutement éventuels)
• La durée de conservation (généralement 2 ans après le dernier contact pour les candidats non retenus)
• Les droits des candidats et les modalités pour les exercer
• Le droit de saisir la CNIL en cas de litige
• Les coordonnées du DPO, si un délégué a été désigné

Si des outils algorithmiques sont utilisés pour trier ou évaluer les candidatures, cela doit être spécifiquement mentionné dans la notice.

Le rôle du DPO est essentiel pour garantir cette transparence.

Données candidats : le rôle du DPO dans la transparence du recrutement

Au-delà de définir les bases légales et de rédiger la notice d’information, le DPO joue un rôle central dans l’application du RGPD tout au long du processus de recrutement. Il ne se limite pas à un rôle administratif : il doit intervenir dans toutes les étapes, de la définition des bases légales à la mise en place des procédures d’exercice des droits.

Les coordonnées du DPO doivent être facilement accessibles aux candidats, que ce soit dans la notice d’information, sur la page recrutement ou dans les accusés de réception. Le DPO est le point de contact pour toute demande d’accès, de rectification ou de suppression des données.

La CNIL recommande d’intégrer le DPO en amont de tout projet impliquant de nouveaux outils RH, comme des solutions de tri automatisé ou des plateformes d’entretien en visioconférence. Cette approche, appelée privacy by design, garantit que la protection des données est prise en compte dès la conception. Pour les entreprises sans DPO interne, il est possible de recourir à un DPO externe certifié, comme nous pouvons proposer, pour bénéficier d’une expertise adaptée sans embaucher un spécialiste dédié.

sbb-itb-9879cb5

Collecter et minimiser les données personnelles des candidats

Une fois les bases légales établies et la notice d’information rédigée, il est crucial de définir avec précision quelles données collecter et comment procéder. Cette étape permet de transformer les principes de transparence et de licéité en actions concrètes, tout en respectant le principe de minimisation des données.

Appliquer la minimisation des données candidats en recrutement

Ne collectez que les informations strictement nécessaires pour évaluer la candidature : identité, coordonnées, parcours professionnel, diplômes et compétences techniques.

« Seules des données adéquates, pertinentes et strictement nécessaires à la sélection du candidat à un poste donné et au déroulement de l’entretien d’embauche peuvent être collectées. » – CNIL

Demandez aux candidats de masquer les informations non pertinentes (comme les détails sur les absences ou le droit de grève figurant sur des fiches de paie) et ne sollicitez l’adresse qu’en cas de nécessité pour le poste. Une collecte efficace repose également sur l’utilisation d’outils et de canaux conformes aux exigences légales. Un consultant RGPD peut vous aider à auditer ces processus.

Configurer des canaux de recrutement conformes au RGPD

Outre la sélection des données, l’utilisation d’outils conformes au RGPD est essentielle pour protéger les informations recueillies. Par exemple, un formulaire de candidature en ligne doit être dépouillé de champs superflus comme le numéro de sécurité sociale, les coordonnées bancaires ou la situation familiale. Si vous recevez des candidatures par e-mail, optez pour un accusé de réception automatique incluant la notice d’information RGPD. Pour les CV papier collectés lors de salons, numérisez-les dans un ATS sécurisé avant de détruire les documents physiques. Enfin, si vous utilisez des informations issues de profils publics (comme LinkedIn), assurez-vous qu’elles soient pertinentes pour le poste et informez-en les candidats.

Les pratiques de collecte à éviter

Certaines pratiques non conformes exposent les entreprises à des sanctions pouvant atteindre 4 % du chiffre d’affaires annuel mondial. Voici un tableau récapitulatif des données autorisées et interdites :

« La collecte d’informations qui n’auraient pas de lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles des candidats est interdite. » – CNIL

Les tests de personnalité sont autorisés à condition qu’ils soient directement liés aux exigences du poste et qu’ils garantissent une transparence totale envers les candidats concernant les résultats. Par ailleurs, filmer ou enregistrer un entretien sans en informer le candidat constitue une pratique déloyale explicitement interdite.

Stocker, sécuriser et conserver les données personnelles des candidats

Une fois les données personnelles des candidats collectées, il est crucial de savoir où elles sont stockées, qui y a accès et combien de temps elles sont conservées pour garantir la conformité au RGPD.

Cartographier et sécuriser le stockage des données

Maintenez un registre des activités de traitement (article 30 du RGPD), idéalement validé par un audit RGPD régulier, qui détaille précisément l’emplacement des données, les personnes autorisées à y accéder et les mesures de sécurité mises en place. Ce registre est indispensable pour prouver votre conformité en cas de contrôle par la CNIL.

L’accès aux données doit être strictement limité aux personnes directement impliquées dans le recrutement, à savoir les équipes RH et les managers concernés. Cela implique :

• L’utilisation de mots de passe solides.
• Une gestion des droits d’accès par profil utilisateur.
• L’activation de la journalisation des accès.
• La sécurisation des locaux physiques où des documents papier pourraient être conservés.

Si vous collaborez avec un prestataire externe, tel qu’un ATS en mode SaaS, formalisez vos attentes dans un contrat. Celui-ci doit inclure les mesures techniques de sécurité et les modalités de restitution ou de destruction des données une fois le délai expiré.

Les durées de conservation des données personnelles des candidats

Une fois vos données sécurisées, il est essentiel de définir leur durée de conservation.

« Les données personnelles ne peuvent pas être conservées indéfiniment : une durée de conservation doit être déterminée par le responsable de traitement en fonction de l’objectif ayant conduit à la collecte de ces données. » – CNIL

Pour les candidats non retenus, les données doivent être conservées au maximum 2 ans après le dernier contact. Ce délai peut être prolongé si le candidat met à jour son CV ou participe à un nouvel entretien. En revanche, les données personnelles des candidats retenus sont intégrées au dossier salarié et suivent les durées légales applicables, comme 5 ans pour les bulletins de paie (article L3243-4 du Code du travail).

Le cycle de vie des données se divise en trois phases :

Respecter les durées recommandées par la CNIL permet de bénéficier d’une présomption de conformité. Si vous choisissez de déroger à ces durées, documentez et justifiez ce choix dans votre registre des traitements.

Automatiser la suppression et l’anonymisation

Pour simplifier la gestion des données, configurez votre ATS ou SIRH afin d’automatiser leur suppression ou anonymisation à la fin des délais de conservation. La CNIL précise que les durées exprimées en mois peuvent être converties en jours dans les logiciels pour plus de précision.

Pour les données en archivage intermédiaire, une séparation logique suffit : limitez les droits d’accès pour que les recruteurs opérationnels ne puissent plus consulter ces dossiers.

« Une séparation avec la base active doit être opérée. Cette séparation peut être physique… ou logique (les données sont isolées des autres données par une limitation des habilitations). » – CNIL

Une fois le délai de conservation expiré, vous avez deux options : supprimer les données ou les anonymiser totalement pour qu’aucun lien ne puisse être établi avec une personne identifiable. Si vous utilisez un prestataire cloud, assurez-vous que le contrat précise ces procédures.

Enfin, si vous employez des technologies comme l’intelligence artificielle pour trier les candidatures, une analyse d’impact relative à la protection des données (AIPD) est recommandée avant leur mise en œuvre. Opt-on propose des services d’accompagnement pour réaliser ces AIPD adaptées au secteur RH.

Ces démarches montrent votre volonté de respecter le RGPD tout au long du processus de recrutement.

Gérer les droits des candidats et la gouvernance interne

Une fois vos données correctement stockées et sécurisées, un autre défi vous attend : répondre efficacement aux demandes des candidats tout en mettant en place une organisation interne solide pour garantir une conformité durable. Voyons comment gérer les droits des candidats et établir des mécanismes internes adaptés, dans la continuité de la stratégie globale de conformité abordée précédemment.

Répondre aux droits RGPD des candidats

Les candidats disposent de droits fondamentaux concernant leurs données personnelles : accès, rectification, effacement, opposition, ainsi que le droit de déposer une plainte auprès de la CNIL. Ces droits s’appliquent à tout moment, même après un refus de candidature.

Pour répondre à ces demandes, il est crucial de formaliser une procédure claire. Voici les étapes clés :

• Désigner un interlocuteur unique : Cela peut être un membre des RH ou le DPO (Délégué à la Protection des Données).
• Respecter un délai de traitement : Vous devez répondre dans un délai maximal d’un mois.
• Documenter chaque demande : Notez toutes les requêtes reçues et les réponses apportées.

Sans une telle organisation, l’entreprise s’expose à des sanctions importantes.

« Les candidats doivent pouvoir accéder aux informations et aux résultats les concernant à chaque étape de la procédure de sélection. » – EDPS

Une gestion efficace des droits des candidats n’est qu’une partie de l’équation. Une gouvernance interne bien définie est également indispensable.

Construire une gouvernance interne pour le recrutement

La conformité au RGPD ne repose pas uniquement sur des outils, mais aussi sur des pratiques rigoureuses. Trois éléments essentiels structurent une gouvernance efficace :

• Un registre des activités de traitement : Ce document doit détailler toutes les opérations liées au recrutement, comme les données collectées, leurs finalités, les durées de conservation et les sous-traitants impliqués. Il constitue une base essentielle en cas de contrôle.
• Formation des équipes RH : Les recruteurs doivent savoir quelles données collecter et comment gérer les demandes d’accès.
• Réalisation d’une AIPD (Analyse d’Impact relative à la Protection des Données) : Toute utilisation d’outils innovants (tri automatisé de CV, tests en ligne) doit être précédée d’une analyse approfondie.

« Le principe de responsabilité impose aux recruteurs d’adopter certains outils prescrits par le RGPD pour assurer la conformité de leurs traitements, notamment : le registre et l’analyse d’impact relative à la protection des données (AIPD). » – CNIL

Le rôle du DPO dans la gouvernance du recrutement

Le DPO joue un rôle central dans la mise en œuvre et le suivi de cette gouvernance. Qu’il soit interne ou externalisé, il est responsable de :

• Valider les processus de collecte de données
• Superviser les AIPD
• Auditer régulièrement les bases de données personnelles des candidats
• Servir de point de contact avec la CNIL

En 2026, la CNIL a désigné le recrutement comme l’un des thèmes prioritaires de ses contrôles. Cela souligne l’importance stratégique de ce rôle.

Pour les entreprises sans DPO interne, une solution externe peut s’avérer pratique. Par exemple, nous proposons des services dès 29 € par mois, incluant des audits RH, la validation des processus de recrutement et la réalisation d’AIPD. Une option accessible, même pour les petites structures.

Conclusion : les étapes clés pour un recrutement conforme au RGPD

Adopter une approche structurée pour respecter le RGPD est essentiel, de la collecte des données à leur suppression. Voici un récapitulatif des actions principales à mettre en œuvre :

Ces étapes s’inscrivent dans une démarche globale visant à garantir un processus de recrutement à la fois conforme et sécurisé. En appliquant ces bonnes pratiques pour la gestion des données, vous assurez non seulement le respect des obligations légales, mais vous renforcez également la confiance des candidats dans votre organisation.

Avec la CNIL ayant annoncé que le recrutement sera une priorité de contrôle en 2026, il est crucial d’agir méthodiquement. Les équipes RH qui manquent de ressources ou d’expertise juridique peuvent envisager de se tourner vers des services spécialisés. Par exemple, Opt-on propose des solutions telles que le DPO externalisé, des audits RGPD et la réalisation d’AIPD, accessibles dès 29 € par mois. Cela permet de structurer votre conformité sans mobiliser des ressources internes importantes.

FAQs

Quels justificatifs puis-je demander à un candidat, et à quel moment ?

Pour évaluer les compétences et les qualifications d’un candidat, vous pouvez demander des justificatifs spécifiques tels que :

• Diplômes
• Attestations de formation
• Documents attestant des expériences professionnelles

Ces demandes doivent être effectuées au moment opportun, que ce soit lors de la candidature ou pendant l’entretien. Toutefois, il est essentiel de respecter deux principes fondamentaux :

1. Finalité du traitement : Les documents demandés doivent servir directement à évaluer l’adéquation du candidat au poste.
2. Pertinence des informations : Évitez de collecter des données qui n’ont aucun lien avec les exigences du poste ou qui pourraient être considérées comme intrusives.

En respectant ces règles, vous garantissez une démarche professionnelle et conforme aux obligations légales en matière de recrutement.

Comment gérer un candidat demandant la suppression de ses données après un refus ?

Le Règlement Général sur la Protection des Données (RGPD) offre aux candidats le droit de demander l’effacement de leurs données personnelles. Une fois cette demande reçue, il est essentiel de vérifier qu’aucune obligation légale ou justification ne nécessite leur conservation. Si aucune base légale ne s’applique, les données doivent être supprimées dans les délais requis.

Voici les étapes à suivre :

• Informer le candidat : Expliquez clairement les modalités de traitement de sa demande et tenez-le informé de l’avancement.
• Confirmer la suppression : Une fois les données effacées, confirmez au candidat que sa demande a été traitée.
• Assurer la traçabilité : Documentez l’ensemble de la démarche pour garder une trace en cas de contrôle.
• Mettre à jour vos systèmes : Vérifiez que vos outils de gestion des données reflètent cette suppression pour éviter tout traitement ultérieur.

En respectant ces étapes, vous garantissez non seulement la conformité au RGPD, mais aussi une relation de confiance avec les candidats.

Quand une AIPD est-elle obligatoire pour un outil de tri automatique des CV ?

Une Analyse d’Impact relative à la Protection des Données (AIPD) devient indispensable lorsque l’outil de tri automatique des CV présente un risque élevé pour les droits et libertés des individus. Cette obligation s’applique spécifiquement aux traitements identifiés dans la liste établie par la CNIL. Cette liste détaille précisément les situations où une AIPD est requise.