L'importance juridique du consentement explicite dans le recrutement
Les processus de recrutement sont des démarches dynamiques au cours desquelles les employeurs collectent des données personnelles étendues sur les candidats. Des informations contenues dans le CV d'un candidat aux enregistrements d'entretiens, des résultats de tests aux évaluations de références, chaque donnée est sous la garantie du RGPD (Règlement général sur la protection des données).
Dans les applications du RGPD, l'idée fausse la plus fréquente dans laquelle tombent les services des ressources humaines est d'interpréter le fait que le candidat a envoyé son CV comme donnant "son approbation implicite au traitement de toutes ses données et à la prise de contact avec ses références". Or, en droit de la protection des données, le consentement implicite n'est pas valable. Pour que le candidat soit soumis au processus de contrôle de références et que ses anciens lieux de travail soient contactés, il doit exister une déclaration de volonté claire, nette et conforme aux exigences requises par la loi.
Dans ce guide complet, nous examinerons comment préparer un texte de consentement explicite valide conformément aux décisions de principe de la CNIL, nous discuterons des subtilités juridiques et nous partagerons des modèles de textes prêts à l'emploi que vous pourrez utiliser directement dans votre entreprise.
Les 3 éléments fondamentaux d'un consentement explicite valide
Dans le RGPD (Art. 4(11)), le consentement explicite est défini ainsi :
*"Toute manifestation de volonté, libre, spécifique, éclairée et univoque."*
Selon cette définition légale, pour qu'un texte de consentement explicite soit considéré comme valide lors des audits et devant les tribunaux, il doit impérativement comporter ces trois éléments de manière cumulative :
La différence entre le texte d'information et le texte de consentement explicite
La plus grande erreur de procédure commise par les départements RH et juridiques de nombreuses entreprises est de fusionner le texte d'information et le texte de consentement explicite en un seul document, ou d'essayer de faire accepter les deux avec une seule case à cocher (checkbox).
Conformément aux décisions de principe établies par la CNIL, ces deux actes juridiques doivent être strictement séparés l'un de l'autre :
- Texte d'information (Art. 13 du RGPD) : C'est une obligation légale du responsable du traitement. Il n'est pas soumis à l'approbation, au consentement ou à l'acceptation de l'autre partie ; c'est une information unilatérale et contraignante. On ne peut pas demander au candidat une déclaration du type "J'approuve le texte d'information" ; la mention "J'ai lu, compris le texte d'information et j'ai été informé de mes droits" suffit.
- Texte de consentement explicite (Art. 6 et 9 du RGPD) : C'est une déclaration de volonté exceptionnelle qui entre en jeu lorsqu'il n'existe pas d'autres justifications légales légitimes au traitement des données (prévues expressément par la loi, directement liées à la conclusion ou à l'exécution du contrat, obligation légale du responsable du traitement). Il doit impérativement être présenté comme un texte distinct, avec une case à cocher distincte, et obtenu par une action positive active du candidat (en cochant une case vide non pré-cochée).
Le principe de l'interdiction de conditionner la candidature au consentement
L'une des règles les plus critiques soulignées avec constance dans les décisions de la CNIL est "l'interdiction de conditionner le service".
Sur un portail ou un formulaire de candidature à un emploi, on ne peut pas imposer au candidat l'obligation suivante :
*"Si vous n'approuvez pas le texte de consentement explicite, votre candidature ne pourra pas être complétée et ne sera pas évaluée."*
En effet, lors d'une candidature de base, le nom, le prénom, les coordonnées, la formation et l'expérience professionnelle du candidat sont nécessaires et légitimes pour la conclusion d'un contrat de travail dans le cadre du droit national du travail et du droit des obligations. Ces données de base peuvent être traitées pour le motif juridique de la conclusion du contrat, même sans consentement explicite. Cependant, appeler les anciens lieux de travail du candidat (contrôle de références) ou conserver les données dans le vivier de talents pendant 2 ans est une activité supplémentaire et repose sur le consentement explicite. Même si le candidat ne consent pas au contrôle de références, il ne peut être privé du droit d'être évalué avec ses informations existantes.
Le rôle des sociétés de conseil et des chasseurs de têtes dans le recrutement
Les processus de recrutement sont souvent menés par le biais de sociétés de conseil externes ou de chasseurs de têtes. Dans ce scénario, les données personnelles du candidat passent entre les mains de plusieurs responsables du traitement :
- Conseil en recrutement : Il est le responsable du traitement en tant qu'institution qui collecte initialement les données du candidat et effectue le contrôle de références préalable.
- Entreprise employeur : Il s'agit de l'entreprise cliente qui prendra la décision finale de recrutement, et c'est un responsable du traitement indépendant.
Un accord de traitement des données (DPA) doit absolument être signé entre ces deux institutions, et le texte de consentement explicite présenté au candidat doit clairement indiquer avec quelles entreprises clientes les données et le rapport de références peuvent être partagés. La fuite du rapport de références vers des entreprises tierces à l'insu du candidat constitue une grave violation de la réglementation.
Données personnelles de catégories particulières et processus de références
Lors des contrôles de références, il faut absolument empêcher les anciens managers d'aborder des sujets sensibles tels que la santé du candidat, son appartenance syndicale, ses opinions politiques ou philosophiques. Conformément à l'Art. 9 du RGPD, le traitement des données à caractère personnel de catégories particulières est soumis à des conditions beaucoup plus strictes et à une structure de consentement explicite distincte.
Dans les formulaires de références et les séries de questions :
- "Si le candidat prend souvent des congés maladie ou s'il a une maladie chronique"
- "La situation familiale du candidat, son état civil ou ses projets de grossesse"
- "Ses croyances religieuses, son origine ethnique ou ses opinions politiques"
Aucune question sur ces sujets ne peut y figurer. Même si la personne fournissant la référence fait spontanément des commentaires à ce sujet, ces déclarations ne doivent pas être consignées dans les procès-verbaux ou les rapports, et doivent être immédiatement détruites.
Modèle de texte de consentement explicite pour les références du candidat
Le texte ci-dessous est un modèle juridiquement solide que vous pouvez intégrer directement dans vos documents ou portails de candidature lors de la demande d'autorisation de contrôle de références aux candidats dans vos processus de recrutement :
TEXTE DE CONSENTEMENT EXPLICITE DU CANDIDAT CONCERNANT LE PROCESSUS DE CONTRÔLE DE RÉFÉRENCES
J'ai lu, compris le "Texte d'information relatif au traitement des données personnelles
des candidats employés" qui m'a été présenté par [Raison Sociale de l'Entreprise] ("L'Entreprise")
et j'ai été informé en détail de mes droits dans le cadre du RGPD
(Règlement général sur la protection des données).
Dans ce cadre ;
Afin de vérifier mon adéquation au poste vacant pour lequel j'ai postulé, mes expériences
professionnelles passées, mes domaines de fonctions et de responsabilités, ma discipline
de travail, mon intégration dans l'équipe et les résultats de mon travail ;
1. Je consens à ce que les personnes de référence (mes anciens managers, responsables
de département et collègues) que j'ai désignées dans le formulaire de candidature
ou mon CV soient contactées par téléphone, e-mail ou via des systèmes numériques
de vérification de références,
2. À ce que des questions concernant ma relation de travail antérieure, mes performances,
mes compétences et mon processus de départ leur soient posées, et que les données
d'évaluation professionnelle déclarées par ces personnes soient collectées et traitées
par les responsables de l'Entreprise dans le but d'établir la décision de recrutement,
3. À ce que le rapport de vérification de références et de cohérence qui sera préparé soit
conservé de manière chiffrée sur les serveurs sécurisés au sein de l'Entreprise pendant
la durée de conservation maximale prévue par la législation et la Politique de conservation
et de destruction des données personnelles.
Sans être sous aucune pression ni contrainte, je donne mon CONSENTEMENT EXPLICITE de mon libre arbitre.
[ ] J'accepte (Veuillez cocher)
Nom et Prénom du Candidat : ....................................................
Numéro d'identification : ....................................................
Date : ...... / ...... / 202...
Signature / Approbation numérique horodatée : ..................................Texte d'information et d'approbation pour la personne fournissant la référence
L'autre partie à ne pas oublier dans le processus de références est la personne qui fournit la référence. Le nom, le titre, le titre de l'entreprise, le téléphone professionnel, l'e-mail du manager agissant comme référence, ainsi que ses opinions sur le candidat, sont également des données personnelles. Le texte suivant doit figurer à l'ouverture du lien numérique envoyé à la personne de référence :
TEXTE D'INFORMATION ET D'APPROBATION DE TRAITEMENT DES DONNÉES DE LA PERSONNE FOURNISSANT LA RÉFÉRENCE
Madame, Monsieur,
Dans le cadre de sa candidature à un emploi au sein de notre entreprise, [Nom Prénom du Candidat]
vous a désigné(e) comme référence afin d'obtenir des informations sur son expérience
professionnelle passée et ses compétences.
Dans ce contexte, vos données d'identité, de contact, de titre, d'institution et vos évaluations
objectives sur le candidat que vous partagerez dans le formulaire que vous allez remplir,
conformément au RGPD, seront traitées uniquement dans le but d'évaluer le processus de recrutement
dudit candidat, ne seront pas partagées avec des tiers et seront détruites en toute sécurité
conformément à la Politique de conservation et de destruction de notre entreprise à la fin des
délais de conservation légaux.
Je confirme l'exactitude des informations que je partage et j'approuve le traitement de ces données
strictement limité à la finalité légitime indiquée ci-dessus.
[ ] J'approuve et je continueLe droit de retrait du consentement (Révocation) et sa gestion
Le consentement explicite étant un droit lié à la volonté de la personne concernée, il peut être retiré à tout moment. Selon la réglementation du RGPD, dès que le propriétaire des données notifie le retrait de son consentement, le traitement des données doit être immédiatement interrompu.
Les procédures de retrait du consentement que les entreprises doivent fournir sont les suivantes :
- Accès facile : Le candidat doit se voir offrir le droit de retirer son consentement par une méthode aussi simple que celle de le donner (ex. un formulaire web ou une adresse e-mail spécifique s'ouvrant en un clic).
- Interruption du processus : Lorsque le consentement est retiré, les références qui n'ont pas encore été appelées doivent être annulées et les données intermédiaires collectées doivent être immédiatement effacées.
- Principe de non-rétroactivité : Le retrait du consentement n'invalide pas les activités de traitement des données effectuées légalement jusqu'à ce moment-là ; cependant, il met immédiatement fin au traitement futur.
Liste de contrôle du consentement explicite étape par étape pour les équipes RH
Les services des ressources humaines souhaitant réduire à zéro les risques juridiques doivent revoir cette liste de contrôle avant chaque contrôle de références :
Conclusion : Une infrastructure numérique qui réduit les risques juridiques à zéro
Il est impossible de passer avec succès les audits RGPD dans les processus de références menés via des formulaires papier, des messages WhatsApp ou des appels téléphoniques. Le moment où le consentement a été obtenu, si le texte a été entièrement montré au candidat et si la personne fournissant la référence a été informée, ne peuvent être prouvés.
AuditCV.io présente pas à pas au candidat l'approbation du consentement explicite numérique horodatée lors du processus de collecte des références, accueille les personnes de référence avec des textes d'information entièrement conformes à la loi, et offre à la fois au candidat et à la personne fournissant la référence la possibilité de retirer leur consentement (revoke) en un clic. De cette manière, les entreprises réduisent à zéro le risque d'amende administrative du RGPD tout en offrant une expérience de recrutement prestigieuse et corporative.