Depuis l'entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) en 2018, la collecte et le traitement des données personnelles des candidats font partie des enjeux cruciaux pour les employeurs. Ces obligations s’accompagnent également des dispositions du Code du travail, qui encadrent la manière dont les entreprises doivent gérer les informations personnelles recueillies lors du processus de recrutement. Ignorer ces obligations peut entraîner des sanctions financières, mais aussi nuire à la réputation de l’entreprise.
Je vais tâcher d'expliquer en détail les principales obligations issues du RGPD et du Code du travail, ainsi que les bonnes pratiques pour assurer une gestion conforme des données dans le cadre du recrutement.
1. Quelles données personnelles sont concernées dans le cadre du recrutement ?
Lors du recrutement, les employeurs recueillent une grande variété d’informations personnelles (nom, coordonnées, parcours professionnel, etc.). Selon le RGPD, toute donnée permettant d'identifier directement ou indirectement une personne est considérée comme une donnée personnelle.
Le Code du travail impose des restrictions sur la collecte de ces données. Selon l’article L1221-6, seules les informations ayant un lien direct et nécessaire avec l’emploi peuvent être demandées. Cela signifie que les questions posées aux candidats doivent rester pertinentes pour évaluer leur aptitude au poste proposé.
Article L1221-6 du Code du travail :
"Les informations demandées, sous quelque forme que ce soit, à un candidat à un emploi ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles."
2. Les obligations de l’employeur : collecte et traitement des données
Pour être conforme au RGPD et au Code du travail, les employeurs doivent respecter plusieurs principes lors de la collecte et du traitement des données des candidats :
- Finalité spécifique et légitime : Conformément à l’article L1221-6, seules les informations pertinentes pour le poste peuvent être collectées. Par exemple, il est illégal de demander des informations sur l'état civil ou la situation familiale si elles ne sont pas pertinentes pour le poste. De plus, le RGPD exige que la finalité de la collecte soit clairement définie.
- Consentement clair et explicite : L’employeur doit obtenir le consentement explicite du candidat pour collecter et traiter ses données, comme l'exige le RGPD. Le consentement doit être donné librement et peut être retiré à tout moment. L’article L1221-8 du Code du travail exige également que les méthodes d'évaluation utilisées à l’égard du candidat soient portées à sa connaissance.
Article L1221-8 du Code du travail :
"Le candidat est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard. Les résultats obtenus sont confidentiels."
- Sécurité des données : Les employeurs doivent garantir la protection des données des candidats en mettant en place des mesures de sécurité adéquates, conformément aux obligations du RGPD et à l’article L1222-2 du Code du travail, qui protège la vie privée des salariés, y compris lors du recrutement.
Article L1222-2 du Code du travail :
"Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance."
- Durée de conservation limitée : Les données personnelles ne peuvent être conservées indéfiniment. Le RGPD exige que les données soient supprimées après un délai raisonnable, souvent fixé à deux ans selon les recommandations de la CNIL, à moins que le candidat n'ait donné son accord pour une conservation prolongée. L’article L1221-9 du Code du travail impose que les informations ne soient collectées que dans le cadre d'une finalité déclarée.
Article L1221-9 du Code du travail :
"Les informations demandées, sous quelque forme que ce soit, à un salarié ou à un candidat à un emploi ne peuvent avoir comme finalité que d'apprécier son aptitude professionnelle."
3. Les droits des candidats : transparence et accès
Le RGPD confère des droits étendus aux candidats en ce qui concerne leurs données personnelles. Les employeurs doivent informer les candidats de leurs droits de manière transparente, et leur permettre d’accéder, de rectifier, de supprimer ou de porter leurs données. Ce droit à l’information est également encadré par l’article L1221-9 du Code du travail, qui impose aux employeurs d’informer les candidats sur les finalités de la collecte des données et leur traitement.
4. Le rôle du Délégué à la Protection des Données (DPO)
Pour les entreprises de plus de 250 salariés ou celles traitant des données sensibles, la désignation d’un Délégué à la Protection des Données (DPO) est obligatoire. Ce dernier est chargé de veiller à la conformité au RGPD, y compris dans les pratiques de recrutement. En matière de recrutement, le DPO doit s’assurer que seules les données pertinentes sont collectées et que les candidats sont informés de leurs droits.
5. Sanctions et risques en cas de non-conformité
Le non-respect des obligations du RGPD et du Code du travail peut entraîner de lourdes sanctions. Le RGPD prévoit des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l'entreprise. De plus, le Code du travail, par le biais de la CNIL, peut intervenir pour sanctionner les entreprises qui ne respecteraient pas les droits des candidats en matière de collecte et de traitement des données.
6. Bonnes pratiques pour assurer la conformité au RGPD et au Code du travail
Voici quelques bonnes pratiques pour assurer la conformité de votre processus de recrutement aux exigences légales :
- Mettez à jour les politiques de confidentialité et informez clairement les candidats sur l’utilisation de leurs données.
- Limitez la collecte de données aux informations strictement nécessaires pour évaluer la candidature (conformément aux articles L1221-6 et L1221-8).
- Assurez une formation continue des équipes RH sur la gestion des données personnelles et le respect du RGPD.
- Automatisez la suppression des données des candidats après un délai de conservation raisonnable, comme prévu par le RGPD.
Conclusion
La protection des données personnelles est un enjeu majeur dans le processus de recrutement. Le respect des dispositions du Code du travail et du RGPD permet aux entreprises de garantir une gestion éthique et légale des informations des candidats. En suivant ces recommandations, les employeurs peuvent se prémunir contre les risques financiers et renforcer la relation de confiance avec leurs futurs collaborateurs.
Sources :
- Code du travail, Articles L1221-6, L1221-8, L1222-2, L1221-9.
- CNIL, Guide pratique du RGPD pour les recruteurs, 2023.
- Observatoire de l’Emploi, Les impacts du RGPD sur les pratiques de recrutement, 2023.
Publié par :