« Cochez cette case pour consentir au traitement de votre CV. » De nombreux formulaires de candidature emploient ce type de formule. Mais sous le RGPD, le consentement n’est pas automatiquement requis chaque fois que vous traitez des données de candidats.
Demander un consentement là où une autre base légale convient mieux rend même votre processus inutilement compliqué.
La candidature en cours
Un candidat vous envoie son CV parce qu’il souhaite que vous examiniez sa candidature pour un poste.
Le traitement des informations nécessaires pour prendre, à la demande du candidat, des mesures préalables à la conclusion d’un contrat de travail peut constituer la base légale pour une partie de la procédure.
D’autres activités peuvent reposer sur une autre base légale, comme l’intérêt légitime ou une obligation légale. Les six bases légales du RGPD ont chacune leurs conditions, il vaut donc la peine de les comparer avant de choisir.
L’essentiel est que la conformité au RGPD ne signifie pas demander un consentement pour tout.
Pourquoi un consentement inutile pose-t-il problème ?
Le consentement obéit à des conditions strictes.
Il doit être :
- Libre
- Spécifique
- Éclairé
- Univoque
Il doit également pouvoir être retiré.
Si vous indiquez à un candidat que le traitement de son CV repose sur son consentement, alors que vous ne pourriez raisonnablement pas interrompre la procédure après ce retrait, demandez-vous si le consentement était bien la base appropriée.
Et conserver le CV après un refus ?
Deux choses distinctes se produisent après un refus, et il faut les séparer.
Une conservation courte liée à la procédure elle-même. Vous pouvez conserver certaines informations pendant une durée limitée pour traiter des questions ou des contestations liées à la décision de recrutement. Cela repose sur votre intérêt légitime à vous défendre, et court aussi longtemps qu’une telle contestation reste réaliste, pas indéfiniment. Voir combien de temps conserver le CV d’un candidat.
Conserver le CV pour contacter le candidat au sujet de futurs postes. Il s’agit d’une nouvelle finalité, sans lien avec le poste auquel il a postulé, et elle exige sa propre base légale.
Les deux voies pour un vivier de talents
Deux bases légales fonctionnent ici. Le Comité européen de la protection des données admet les deux, selon les circonstances. Choisissez-en une délibérément et consignez-la.
Voie 1 : le consentement
Généralement l’option la plus simple pour une PME. Au moment du refus, vous posez au candidat une question claire : pouvons-nous conserver vos coordonnées pour vous contacter au sujet de futurs postes ?
Ce qui la rend opérante :
- Le candidat peut refuser sans coût, car la procédure à laquelle il a participé est close. C’est précisément ce qui rend ce consentement libre, condition souvent difficile à atteindre ailleurs en contexte d’emploi.
- Demandez-le séparément de tout le reste, sans case pré-cochée, et consignez la réponse et sa date.
- L’article 7, paragraphe 3 exige que le retrait soit aussi simple que l’octroi. Un lien de désinscription ou une adresse nommée dans chaque message suffit ; une demande écrite au siège non.
- Une fois le consentement retiré, la base de conservation disparaît. Supprimez le dossier.
Voie 2 : l’intérêt légitime
Tout aussi disponible au titre de l’article 6, paragraphe 1, f), et souvent mieux adapté si vous recrutez en continu et voulez construire un véritable vivier plutôt que de courir après des autorisations individuelles.
Ce qu’elle exige :
- Une mise en balance, réalisée au préalable et consignée : votre intérêt à pourvoir efficacement de futurs postes, la nécessité de conserver les données à cette fin, et le point de savoir si cet intérêt prévaut sur les intérêts et les attentes raisonnables du candidat.
- Une information claire au moment du refus indiquant que vous comptez conserver ses coordonnées, pourquoi et pour combien de temps.
- Une voie opérationnelle pour s’opposer au titre de l’article 21. Une opposition à ce traitement doit être honorée ; il ne reste aucune mise en balance à effectuer une fois que la personne a dit non.
- De la retenue sur le périmètre. Un candidat récent pour un poste que vous ouvrez régulièrement s’inscrit confortablement dans ses attentes. Un CV vieux de cinq ans utilisé pour des offres sans lien, non.
Choisir entre les deux
| Consentement | Intérêt légitime | |
|---|---|---|
| Convient à | Recrutements occasionnels, faibles volumes | Recrutement continu, vivier entretenu |
| Travail préalable | Une question claire et la trace de la réponse | Une mise en balance documentée |
| Contrôle du candidat | Le retrait, qui met fin au traitement | L’opposition, que vous devez honorer |
| Risque principal | Des refus, donc un vivier restreint | La mise en balance n’a jamais été faite |
Aucune des deux voies ne survit à ce que les employeurs font le plus souvent : conserver le CV et décider plus tard.
Si vous demandez un consentement, faites-le correctement
Évitez :
- Les cases pré-cochées
- Un consentement dissimulé dans des conditions générales
- Plusieurs finalités sans lien réunies dans un seul consentement
- Affirmer que le consentement ne peut être retiré
- Conserver les données indéfiniment après le consentement
Expliquez la finalité du vivier séparément de la candidature elle-même, et donnez au candidat un oui ou un non clair.
Le retrait doit fonctionner en pratique
Si un candidat retire son consentement, le retirer d’une seule liste de diffusion ne suffit souvent pas.
Vérifiez si ses informations figurent aussi dans :
- Votre système de suivi des candidatures
- Les boîtes courriel RH
- Les dossiers partagés
- Les tableurs de recrutement
- Les plateformes de recrutement externes
Votre processus doit garantir que le retrait atteint les systèmes concernés. La même rigueur s’applique lorsqu’une personne demande l’effacement de ses données.
Choisissez la base légale avant de rédiger la notice
Ne partez pas d’une case de consentement pour raisonner à rebours.
Identifiez d’abord le traitement et sa finalité. Déterminez ensuite la base légale appropriée. Assurez-vous enfin que votre notice de confidentialité candidats l’explique correctement.
GDPRWise aide les organisations à documenter les finalités et les bases légales de leurs traitements RH et de recrutement, pour éviter le « consentement pour tout ».
GDPRWise associe chaque finalité de recrutement à une base légale appropriée, pour ne demander un consentement que là où il a réellement sa place.