La collecte et le traitement des données qu’impliquent les processus de recrutement sont encadrés.
Informations de contact, CV, compte-rendu d’entretien, questionnaires, dans le cadre du recrutement, l’employeur est amené à manipuler des données à caractère personnel. Comme toute collecte et toute utilisation de données, ce traitement doit se conformer au règlement général sur la protection des données (RGPD). Mais beaucoup d’entreprises ne le maîtrisent pas encore. « Chez les TPE/PME il y a une grande méconnaissance de la réglementation », constate Mégane Didier, juriste en droit social chez Yzico, membre de France Défi. Cela ne les empêche toutefois pas de la respecter globalement puisqu’elle rejoint aussi des obligations issues du Code du travail.
Pour aider les entreprises à y voir plus clair et assurer la conformité de leur processus de recrutement au RGPD, la Commission nationale informatique et libertés (Cnil) a récemment publié un guide sur le sujet. De manière générale, les mêmes obligations s’imposent concernant les données traitées dans le cadre du recrutement que pour les données des clients ou des salariés. « L’entreprise doit notamment cartographier ces données, les intégrer à un registre des activités de traitement, assurer l’information des candidats sur la manière dont elles sont traitées, utilisées, conservées, partagées», explique Mégane Didier.
Recrutement : minimisation des données
Tous les types de données ne peuvent pas être collectées. « Elles doivent être adaptées et proportionnées à la finalité suivie, ce qu’on appelle le principe de minimisation des données collectées », explique la juriste. Seules les informations en lien avec le poste et la capacité du candidat à l’occuper sont ainsi pertinentes. « On ne peut pas demander le statut marital de la personne, le nombre d’enfant à sa charge ou si elle a des projets de grossesse. Le droit du travail comme le RGDP s’y opposent », rappelle la spécialiste.
Les informations personnelles des candidats doivent être traitées « de manière licite, loyale et transparente », précise la Cnil. Ce traitement doit ainsi reposer sur l’un des fondements fixés par le RGPD. « Il peut par exemple s’agir de répondre à une obligation légale, à l’exécution d’un contrat, à une mission d’intérêt public ou bien encore le traitement des données peut reposer sur le consentement de la personne », énumère Mégane Didier. La loyauté interdit entre autres de filmer un entretien sans en avertir au préalable le candidat. La transparence se matérialise par l’obligation d’information des personnes dont les données sont collectées.
Ces-dernières disposent en outre d’un certain nombre de droits tel qu’un droit d’accès, de modification et de suppression de leurs données notamment. « Il faut informer les personnes de leurs droits et mettre en place les registres et procédures permettant l’exercice effectif de ces droits », précise Mégane Didier qui accompagne des entreprises dans leurs démarches de mise en conformité avec le RGDP.
Durée de conservation limitée
La durée de conservation des données est aussi encadrée. Elle doit être définie par l’entreprise en fonction des règles relatives à la conservation des documents et de ses besoins. Mais elle ne peut être illimitée.
Il est possible de conserver les candidatures non retenues mais susceptibles de présenter un intérêt pour l’entreprise mais pas au-delà de 24 mois.
De la même façon, l’entreprise doit définir en amont quels collaborateurs auront accès aux données des candidats, cet accès devant logiquement être limité aux personnes participant au processus de recrutement.
Outre des précisions et cas concrets permettant de mieux comprendre les règles de protection des données personnelles dans le cadre du recrutement en général, le guide de la Cnil aborde aussi l’utilisation de certains outils et techniques spécifiques (vidéo, logiciel de tri des candidatures, recueil d’informations sur les réseaux sociaux).
De quoi clarifier les conditions dans lesquelles il est possible de les utiliser. « Si on utilise un outil de traitement automatisée des données pour filtrer les candidature, les candidats doivent en être informés bien sûr, mais une étude d’impact peut aussi être nécessaire pour identifier les risques en termes de fuites de données et les sécuriser. Ces outils constituent une aide à la décision mais la décision de recrutement ne peut en outre être fondée exclusivement sur ce traitement automatisé », rappelle Mégane Didier.
