Protection des données personnelles et principes fondamentaux lors du recrutement
Les départements des ressources humaines comptent parmi les services traitant le plus grand nombre de données personnelles sensibles au sein d'une entreprise. De la publication de l'offre d'emploi à l'étape des entretiens, des tests techniques aux contrôles de références, les noms, prénoms, coordonnées, antécédents de formation, déclarations de santé et évaluations de références de centaines de candidats sont enregistrés.
Le Règlement général sur la protection des données (RGPD) interdit formellement la collecte aléatoire de données personnelles et leur conservation illimitée dans les archives. En particulier, la conservation des CV des candidats rejetés lors du processus de recrutement pendant des années sous prétexte de "les conserver dans un vivier pour de futurs postes éventuels" figure parmi les violations les plus fréquemment sanctionnées par la CNIL.
Dans cet article, nous examinons de près les durées de conservation légales des données des candidats, des CV et des rapports de contrôle de références, les règles de destruction périodique et les mesures techniques et organisationnelles que les entreprises doivent prendre conformément aux principes du RGPD.
RGPD Art. 5 et 17 : Pertinence avec la finalité et obligation d'effacement
L'article 5 du RGPD régit les principes généraux qui doivent obligatoirement être respectés lors du traitement des données à caractère personnel. Parmi ces principes figurent :
- Traitement pour des finalités déterminées, explicites et légitimes
- Adéquation, pertinence et limitation à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées
- Conservation pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées
L'article 17 du RGPD indique clairement que lorsque les raisons nécessitant leur traitement cessent d'exister, les données personnelles doivent être effacées, détruites ou rendues anonymes par le responsable du traitement, d'office ou à la demande de la personne concernée.
La règle juridique fondamentale ici est la suivante : Vous ne pouvez pas conserver une donnée indéfiniment. Une donnée ne peut être conservée que pendant la durée minimale nécessaire pour atteindre la finalité de sa collecte. Une fois la finalité atteinte, la validité juridique de cette donnée prend fin.
Durées de conservation pour les candidats acceptés et refusés
Les candidats dont les données sont collectées lors du processus de recrutement sont évalués juridiquement dans deux groupes distincts :
1. Candidats acceptés
Le formulaire de candidature, les notes d'entretien et les rapports de contrôle de références du candidat accepté sont transférés dans le dossier du personnel de l'employé. Le droit national du travail impose à l'employeur l'obligation de tenir un dossier du personnel ; la durée de conservation de ce dossier découle en pratique des délais de prescription généraux et des délais de recours du droit du travail (par exemple, les délais de prescription pour les indemnités de licenciement/préavis et les actions en réintégration). Dans la pratique, les entreprises peuvent donc conserver le dossier du personnel pendant de nombreuses années (les pratiques courantes recommandent jusqu'à 10 ans) ; la durée de conservation concrète doit être confirmée par le conseiller juridique de chaque entreprise.
2. Candidats refusés (éliminés)
Pour les candidats refusés, la finalité du traitement prend fin avec la finalisation de la décision de recrutement concernant ce poste vacant. Toutefois, l'employeur a le droit de se défendre contre d'éventuelles allégations de discrimination, des violations du principe d'égalité de traitement du droit du travail ou des litiges liés au recrutement.
Dans ce contexte, conformément aux orientations de la CNIL et aux pratiques recommandées :
- Si le candidat n'a pas donné son consentement explicite : Elles peuvent être conservées pendant 6 mois à 1 an maximum à compter de la fin du processus de recrutement et de la notification de refus. À l'issue de cette période, les données doivent être effacées.
- Si le candidat a donné son consentement explicite pour le vivier de talents : Si le candidat a clairement donné son consentement de son plein gré lors de la candidature, indiquant "J'accepte la conservation de mon CV et de mes données pour de futurs postes appropriés", cette durée peut être fixée à 1 à 2 ans maximum. Les durées de conservation dépassant 2 ans sont généralement considérées comme contraires au principe de proportionnalité par l'autorité.
Statut juridique des données de la personne fournissant la référence
Un détail critique souvent négligé dans le processus de contrôle de références est celui des données personnelles de la personne fournissant la référence. Le nom, le titre, l'institution, l'e-mail professionnel, le numéro de téléphone de la personne servant de référence et ses évaluations personnelles sur le candidat constituent également des données personnelles.
Une double responsabilité en découle :
La personne fournissant la référence doit impérativement être informée avant de répondre, et il doit lui être précisé que ses données seront traitées uniquement dans le but d'évaluer le recrutement dudit candidat. Si le candidat n'est pas embauché, les données de la personne fournissant la référence, ainsi que celles du candidat, doivent être détruites à la fin de la durée de conservation déterminée.
Comment préparer une politique de conservation et de destruction des données personnelles ?
Il est essentiel pour toutes les entreprises ayant l'obligation de tenir le registre des activités de traitement (Art. 30) ou répondant aux critères de nombre d'employés/bilan financier de préparer une "Politique de conservation et de destruction des données personnelles".
Une politique de destruction spécifique aux processus des ressources humaines doit impérativement inclure les rubriques suivantes :
- Motifs juridiques et de fait nécessitant la conservation des données des candidats
- Méthodes techniques à appliquer pour l'effacement, la destruction ou l'anonymisation des données
- Délais de destruction périodique (en tant que bonne pratique, une destruction périodique, par exemple tous les 6 mois, doit être effectuée)
- Unités et titres des personnes chargées des processus de destruction
- Enregistrement des opérations de destruction (journalisation et procès-verbal de destruction)
Cette politique élaborée doit être accessible sur l'intranet ou le système de documentation de l'entreprise, et les équipes de recrutement doivent s'y conformer scrupuleusement.
Méthodes d'effacement, de destruction et d'anonymisation
Le RGPD définit trois méthodes différentes pour la destruction des données :
Obligation des RH face à la demande d'effacement des données du candidat (Art. 15-22)
Les articles 15 à 22 du RGPD accordent aux personnes concernées le droit de demander l'effacement ou la destruction des données personnelles les concernant.
Un candidat peut s'adresser à l'entreprise après le rejet de sa candidature, ou même pendant que le processus est en cours, et faire la demande suivante :
*"Je demande l'effacement immédiat de mon CV, de mes notes d'entretien et des enregistrements de contrôle de références collectés que j'ai transmis à votre entreprise."*
L'employeur, en tant que responsable du traitement, est tenu de traiter cette demande gratuitement dans un délai d'un mois au plus tard et de fournir au candidat une réponse motivée par écrit ou par voie électronique.
S'il n'y a pas d'obligation légale nécessitant que l'entreprise conserve les données (par exemple, un procès en cours), la demande doit être exécutée immédiatement et tous les enregistrements de références et CV du candidat doivent être effacés du système. De plus, si les données de référence sont conservées chez un prestataire de services tiers, la consigne d'effacement doit également être transmise à ce prestataire.
Conclusion : L'importance de l'automatisation pour la sécurité juridique
Il est presque impossible de suivre manuellement les données des candidats conservées dans des tableaux Excel, des boîtes de réception e-mail ou des dossiers informatiques locaux. Déterminer quelles données de candidat ont été collectées il y a 1 an, pour qui le consentement explicite a expiré et quel dossier de référence doit être détruit ne peut pas être géré par des processus manuels.
Les plateformes de gestion numérique des références conformes au RGPD, telles qu'AuditCV.io, suivent automatiquement les durées de conservation. Lorsque la durée de conservation légale définie expire ou que le candidat retire son consentement ("Revoke"), le système efface ou anonymise automatiquement les données. Cette automatisation est la garantie la plus efficace pour protéger les entreprises contre des amendes administratives coûteuses et des pertes de réputation.