Tour d’horizon du Guide du recrutement de la CNIL au regard du RGPD par Optimex Data.
Le 7 février 2023, nous vous faisions part des règles en matière de gestion du recrutement. Ainsi, et afin d’aider les acteurs du recrutement, la CNIL a mis à disposition un guide comportant dix-neuf (19) fiches pratiques afin d’encadrer les diverses pratiques et s’assurer d’être conforme au RGPD ainsi que la Loi Informatique et Libertés. Dans ce cadre-là, cinq questions incontournables à se poser :
Quelles données peuvent être utilisées et pour quelles raisons ?
Afin de respecter le principe de minimisation des données (art. 5.c du RGPD) et leur vie privée (art. 9 du Code Civil), seules les données strictement nécessaires à l’évaluation des capacités du candidat à un poste de travail peuvent être collectées. Ainsi, toutes les informations collectées n’ayant aucun lien direct et nécessaire avec le poste en question ou en lien avec ses aptitudes professionnelles est interdite.
La CNIL donne notamment quelques exemples de collecte de données interdite dans le cadre du recrutement :
- Numéro de sécurité sociale et coordonnées bancaires ;
- Informations relatives aux membres de sa famille ;
- Souhait d’avoir des enfants ou non ;
- Mensurations, poids, couleur de cheveux, etc…. (sauf exception).
Quelles sont les conditions d’utilisation ?
Toutes les informations collectées doivent être traitées de manière licite, loyale et transparente (art. 5.c du RGPD).
Exemple :
- Demande le lieu de résidence d’un candidat est illicite (sauf cas d’astreinte ou de garde) ;
- Filmer ou enregistrer un entretien d’embauche sans information préalable est illicite.
Qui peut avoir accès aux informations sur les candidats ?
Seules les personnes en charge du recrutement peuvent avoir accès aux informations concernant le candidat. Les managers ayant vocation à encadrer les futur salarié/agent peuvent également être autorisés à accéder aux données. En revanche et uniquement en cas d’embauche du candidat, les personnes en charge du recrutement pourront demander et/ou transmettre les informations aux différents organismes (assurance-chômage, maladie, mutuelle, etc…).
Quelles informations transmettre aux candidats ?
Il est indispensable de prévoir une notice d’information exhaustive pour être conforme à l’ensemble des exigences du RGPD. N’hésitez pas à vous rapprocher de votre Délégué à la Protection des Données (DPO) afin que ce dernier vous aide dans la rédaction de cette notice d’information. Aussi, soyez vigilant quant aux zones de commentaires car un candidat dispose d’un droit d’accès. Par conséquent, il pourrait demander à avoir accès à l’ensemble des données le concernant dans le cadre de ce recrutement.
Combien de temps conserver les données ?
Le délai de conservation est de trois (3) mois après l’aboutissement du processus de recrutement. Si le candidat y consent, il est possible de conserver les données après la prise de décision sans pouvoir dépasser deux (2) ans à compter du dernier contact.
De nombreux changements ont été mis en avant suite à la parution de ce guide de recrutement. Votre Délégué à la Protection des Données a sans doute déjà commencé certaines mises à jour au niveau des documents relatifs aux ressources humaines. Si ce n’est pas le cas, n’hésitez pas à en faire part à votre DPO afin de mettre à jour l’ensemble de vos documents et process de recrutement.
