RGPD et recrutement : les obligations sur les données candidats

Chaque jour, dans toute entreprise, les recruteurs et équipes RH gèrent des dizaines de candidatures. Entre la collecte initiale d'informations par email, l'évaluation du profil pour un poste, la transmission au personnel encadrant et la gestion du vivier, le traitement des données est au cœur de chaque processus de recrutement. Or, les CV et lettres reçus contiennent de nombreuses données personnelles et des informations à caractère personnel dont l'utilisation, comme pour toutes les données candidats, doit être rigoureusement maîtrisée.

Face aux risques juridiques et financiers, assurer la conformité au RGPD lors de la mise en place ou du suivi d'un projet de recrutement est une obligation légale fondamentale. Comment respecter le cadre réglementaire, garantir la sécurité et la confidentialité des dossiers, et instaurer une relation de confiance durable avec chaque candidat ? Quel est le rôle d'un outil spécialisé ou d'un logiciel ATS ? Voici les bonnes pratiques et les obligations clés imposées par la loi aux entreprises.

RGPD et données candidats : ce que dit la loi

Le Règlement Général sur la Protection des Données (RGPD), sous l'autorité de la CNIL, encadre toute collecte, enregistrement ou traitement de dossiers de candidature. Pour l'employeur, qui agit en tant que responsable du traitement, le respect du droit et de la législation implique d'aligner ses pratiques RH sur des principes très stricts.

Selon la CNIL, l'évaluation des aptitudes d'un candidat repose sur la base légale des mesures précontractuelles. Dans ce cadre, chaque entreprise doit respecter trois piliers majeurs :

• La minimisation des informations : La collecte doit se limiter aux données strictement nécessaires pour vérifier l'adéquation du profil avec le poste à pourvoir. Demander des informations d'ordre privé ou sensibles est interdit.
• La transparence et l'information explicite : Une information claire et explicite doit être délivrée au candidat dès la réception ou la transmission de ses données personnelles.
• Les mesures de sécurité et de confidentialité : Le responsable de traitement doit déployer des mesures techniques pour garantir la sécurité des serveurs, prévenir les risques de fuite et réserver l'accès au seul personnel autorisé.

Durée de conservation des CV : la règle et les erreurs fréquentes

En matière de gestion des talents, la question de la durée maximale de conservation des dossiers de candidatures est cruciale pour les recruteurs et les entreprises.

La règle d'or : une durée de conservation limitée à 2 ans

La CNIL fixe une règle claire : sans accord formel de la personne, la durée de conservation des données d'un candidat non retenu ne peut excéder 2 ans après le dernier contact. Au-delà de cette durée légale, le responsable doit procéder à la suppression définitive ou à l'anonymisation du dossier.

« Dans une entreprise, les données d’un candidat non retenu seront conservées pendant 2 ans maximum (sauf s’il en demande l’effacement) par le service des ressources humaines. » - Recommandations officielles de la CNIL.

Les erreurs de pratiques courantes chez l'employeur

Sans l'utilisation d'un logiciel approprié, de mauvaises pratiques persistent au sein des entreprises et exposent l'employeur à des risques inutiles :

• La conservation indéfinie par email : Garder des informations et CV reçus par courriel pendant des années sans mesures de suppression planifiée.
• Le manque de sécurité dans les dossiers partagés : Stocker des données sur un serveur interne accessible à tout le personnel, compromettant la confidentialité.
• L'absence de consentement pour le vivier : Conserver une candidature au-delà de 2 ans sans réitérer une demande de consentement explicite.

Consentement, information et droits des candidats

La transparence est la clé pour établir une relation de confiance entre le candidat et l'employeur tout au long du processus de recrutement.

L'obligation d'information dès la collecte

Chaque candidat doit recevoir une information complète lors du dépôt de sa candidature. Cette notification doit détailler la finalité du traitement, l'identité du responsable, la durée de rétention et l'ensemble des droits attribués par la loi (droit d'accès, de rectification, d'opposition et de suppression).

Consentement explicite et exercice des droits

Si l'examen de la candidature pour un poste spécifique est légitimé par la démarche du postulant, l'intégration de ses données personnelles dans une CVthèque demande un consentement formel et explicite. Le candidat peut exercer ses droits et exiger la suppression immédiate de ses informations, mesure que l'entreprise doit exécuter d'une manière diligente.

Les sanctions encourues en cas de non-conformité

Le non-respect du cadre légal et des obligations de protection des données peut entraîner de lourdes sanctions pour l'employeur.

Risques juridiques et financiers pour les entreprises :

Les amendes administratives de la CNIL peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'entreprise. Outre l'impact financier, le défaut de sécurité ou de conformité peut détruire la confiance des candidats et peut dégrader durablement l'image de marque des entreprises si la décision est rendue publique.

Comment un ATS sécurise la conformité RGPD des données candidats

Garantir une conformité parfaite à la main devient complexe à mesure que le volume de candidatures augmente. C'est pourquoi la mise en place d'un outil moderne comme la solution ATS GestMax devient indispensable pour les recruteurs.

Un logiciel de recrutement (ATS) offre des fonctionnalités natives adaptées au cadre légal du RGPD :

• Purge automatique des données : Le logiciel de recrutement calcule la durée de conservation et déclenche la suppression automatique ou la relance des profils pour renouveler le consentement avant l'échéance des 2 ans.
• Traçabilité et consentement horodaté : L'outil enregistre de manière explicite la date et l'heure du consentement donné par le candidat lors de sa postulation.
• Centralisation et droit à l'oubli : En cas de demande de suppression, l'ATS efface l'ensemble des informations et données personnelles du candidat sur toute la plateforme en un seul clic.
• Sécurité des accès et confidentialité : La gestion fine des droits d'accès garantit que seul le personnel habilité participe à l'évaluation pour chaque poste.

Mettez en place des pratiques conformes et sécurisées

Optez pour la sécurité et la transparence dans la gestion de vos données RH. Grâce à l'utilisation d'un logiciel performant tel que l’ATS GestMax développée par Inasoft, vous répondez à toutes vos obligations légales, minimisez vos risques et renforcez la confiance de vos candidats à chaque étape du processus de recrutement.

FAQ : RGPD et données candidats

Combien de temps peut-on conserver le CV d'un candidat non retenu ?

Selon la CNIL, sans accord formel de la personne, les données d'un candidat non retenu ne peuvent pas être conservées plus de 2 ans après le dernier contact. Au-delà, l'employeur doit les supprimer définitivement ou les anonymiser. Pour garder un profil plus longtemps dans un vivier, il faut renouveler la demande de consentement explicite avant l'échéance.

Quelles obligations RGPD pour les données candidats ?

L'employeur, responsable du traitement, s'appuie sur la base légale des mesures précontractuelles. Il doit limiter la collecte aux données strictement nécessaires pour évaluer l'adéquation au poste, informer clairement le candidat dès la collecte (finalité, responsable, durée de conservation, droits) et déployer des mesures de sécurité qui réservent l'accès au seul personnel autorisé.

Faut-il le consentement du candidat pour l'ajouter à une CVthèque ?

Oui. L'examen d'une candidature pour un poste précis est légitimé par la démarche du postulant, mais l'intégration de ses données personnelles dans une CVthèque demande un consentement formel et explicite. Le candidat peut aussi exercer à tout moment ses droits d'accès, de rectification, d'opposition et de suppression, et l'entreprise doit exécuter sa demande de manière diligente.

Comment un ATS aide-t-il à respecter le RGPD ?

Un ATS calcule la durée de conservation et déclenche la suppression automatique ou la relance des profils pour renouveler le consentement avant l'échéance des 2 ans. Il horodate le consentement donné lors de la postulation, efface toutes les données d'un candidat en un clic en cas de demande, et gère finement les droits d'accès pour que seul le personnel habilité consulte les dossiers.