RGPD et recrutement : organiser le dossier candidat

Un recrutement conforme repose sur des décisions prises avant la réception des CV : quelles informations demander, qui les consulte, ce que fait le logiciel et ce qui sera conservé après la décision. Le même cadre doit couvrir l’ATS, les courriels des managers et les notes d’entretien. Voici une méthode pour un employeur privé qui recrute en France.

Ce qu’il faut retenir

• Choisissez la base légale par opération, sans imposer le consentement ni l’intérêt légitime à tout le parcours.
• Demandez les pièces au moment où elles deviennent nécessaires, en distinguant sélection et formalités d’embauche.
• Séparez dossier actif, vivier de candidats et archive probatoire : les deux ans ne sont pas une durée universelle.
• Un cabinet de recrutement n’est pas automatiquement un sous-traitant.
• Un rejet entièrement automatisé appelle l’examen spécifique de l’article 22 du RGPD.

Définir les informations utiles au poste

Les articles L. 1221-6 à L. 1221-9 du Code du travail limitent les informations demandées à celles ayant un lien direct et nécessaire avec le poste ou l’évaluation des aptitudes. Ils imposent aussi d’informer préalablement le candidat des méthodes d’aide au recrutement et des dispositifs de collecte ; les résultats des méthodes d’évaluation sont confidentiels. Source : Code du travail, section recrutement.

Établissez une grille commune aux recruteurs : compétence recherchée, moyen de vérification, document éventuellement nécessaire, moment de collecte. Un diplôme requis pour exercer une profession ne se traite pas comme un renseignement familial sans rapport avec l’emploi. Les notes d’entretien doivent décrire des éléments professionnels vérifiables et rester utiles à la décision.

Les renseignements nécessaires à la paie ou aux déclarations d’embauche ne doivent pas être demandés indistinctement à tous les postulants. Lorsque la sélection aboutit, organisez le passage à la déclaration préalable à l’embauche et au dossier du personnel. Pour une situation soumise à autorisation de travail, appliquez la procédure de vérification par l’employeur, au stade pertinent.

Associer une base légale à chaque opération

L’article 6(1)(b) du RGPD peut couvrir les mesures précontractuelles nécessaires prises à la demande du candidat, notamment la réception d’une candidature. L’article 6(1)(f) peut être envisagé pour un intérêt légitime documenté, avec examen de la nécessité et des droits de la personne. Une obligation légale précise relève de l’article 6(1)(c). Ces fondements ne sont pas interchangeables selon la commodité du moment. Source : RGPD, article 6(1).

Préparez un tableau « opération / fondement / justification / information ». Une campagne de recherche de profils, la réponse à un candidat qui a postulé et la constitution d’un vivier peuvent appeler des analyses différentes. Pour un vivier, le consentement ou un intérêt légitime correctement encadré peuvent être envisagés ; dans ce dernier cas, l’information et la possibilité simple de s’opposer sont essentielles. Source : guide CNIL du recrutement, fiches 4 et 9. Le guide sur la base légale RGPD aide à documenter cette décision.

Encadrer les vérifications sensibles

Les données de santé, convictions ou appartenance syndicale relèvent de l’article 9 du RGPD. Il faut une exception applicable, en plus d’une base de l’article 6, et limiter strictement l’utilisation. Un besoin d’aménagement d’entretien ne justifie pas de transmettre un diagnostic au manager qui classe les candidatures. Les données pénales relèvent d’un cadre distinct, celui de l’article 10. Source : RGPD, articles 9(1), 9(2) et 10.

Vérifiez d’abord le texte propre au poste. Sans texte spécifique, la CNIL admet seulement, dans un cas exceptionnel justifié par un lien direct et nécessaire avec l’emploi, une consultation visuelle du bulletin n° 3 papier : ni copie, ni envoi par courriel, ni fichier de son contenu. Seule la réalisation de la vérification peut être notée sous forme oui/non. L’accès au bulletin n° 2 nécessite un texte ; les contrôles d’honorabilité suivent leur régime propre. Source : guide CNIL, fiche 16, pages 84 à 87.

Séparer les trois durées de conservation

Le référentiel RH de la CNIL distingue la procédure en cours, le vivier et l’archivage probatoire. Pour un vivier, le repère est jusqu’à deux ans après le dernier contact avec le candidat non retenu. Pour la preuve d’un recrutement contesté, il indique cinq ans à compter du poste pourvu. Ces finalités exigent des accès et des opérations distincts. Source : référentiel CNIL des durées RH, page 3.

Ce repère probatoire ne doit pas être confondu avec la prescription de l’action en discrimination : l’article L. 1134-5 fait courir ses cinq ans à compter de la révélation de la discrimination. Il n’impose pas une conservation indifférenciée de tous les CV pendant cinq ans. Sélectionnez les preuves nécessaires, limitez les habilitations et réexaminez la situation en cas de litige identifié. Source : Code du travail, article L. 1134-5.

Dans l’ATS, créez des statuts séparés : sélection active, vivier, archive à accès restreint, suppression. Une archive probatoire ne doit plus apparaître dans les résultats de recherche des recruteurs. Pour la personne embauchée, ne basculez dans le dossier RH que les données encore utiles ; conservez séparément les éléments nécessaires à la promesse ou à l’engagement d’embauche.

Vérifier le logiciel et les intervenants

Demandez au fournisseur de l’ATS quelles fonctions sont actives : tri, notation, extraction de données, entraînement sur les dossiers, enrichissement externe, suppression et export. Un contrat de sous-traitance doit encadrer l’acteur qui traite les données pour votre compte selon vos instructions. Un cabinet disposant de son propre vivier et déterminant ses objectifs peut être responsable de traitement pour ces opérations. La qualification suit les rôles réels, selon les articles 4(7), 4(8), 26 et 28 du RGPD. Source : RGPD.

L’article 22(1) encadre les décisions exclusivement automatisées produisant un effet juridique ou similaire significatif. Ses exceptions, à l’article 22(2), demandent une justification et des garanties ; un clic humain sans examen effectif ne suffit pas à sortir artificiellement de ce régime. Le guide sur l’IA et la discrimination au recrutement détaille les questions à poser.

La liste CNIL des AIPD obligatoires vise les traitements établissant des profils à des fins de gestion des ressources humaines. Il ne faut donc pas attendre d’atteindre un volume arbitraire de CV pour examiner ce besoin. Source : délibération n° 2018-327, annexe.

Préparer une réponse aux candidats

La notice doit préciser les objectifs, bases légales, destinataires, durées et droits, ainsi que les autres mentions applicables des articles 13 ou 14. Lorsque vous recherchez des données auprès d’une autre source, vérifiez les obligations propres à cette collecte indirecte. L’information ne se limite pas à ajouter un lien « RGPD » au pied du site.

Désignez une personne pour recevoir les demandes, rechercher aussi dans les notes et courriels, protéger les données de tiers et répondre dans le délai de principe d’un mois. Les limites d’un droit doivent être motivées selon le droit concerné ; tous les dossiers ne sont ni intégralement communicables ni intégralement secrets. Source : RGPD, articles 12(3), 13, 14, 15(4), 17(3) et 21(1).

Questions fréquentes

Faut-il une case de consentement pour recevoir un CV ?

Pas nécessairement. Le fondement dépend de l’opération. Une candidature envoyée à l’initiative de la personne peut relever des mesures précontractuelles ; l’information reste obligatoire sans case d’acceptation générale du traitement.

Peut-on garder un candidat dans un vivier sans consentement ?

Cela peut être envisagé sur un intérêt légitime correctement évalué, avec information explicite et opposition simple. Il faut une durée appropriée, une utilité réelle du profil et une organisation permettant de respecter le refus.

Deux ans après le refus, faut-il tout supprimer ?

La durée de deux ans concerne le vivier, à partir du dernier contact. Une archive probatoire distincte peut avoir une autre durée justifiée. Inversement, un dossier sans utilité pour un vivier n’a pas vocation à rester accessible deux ans par défaut.

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.