Le candidat signe le contrat. Le recrutement est terminé. Il est tentant de déplacer tout le dossier de candidature dans le dossier du personnel et de l’y laisser.
Sous le RGPD, recruter quelqu’un ne rend pas automatiquement chaque donnée de recrutement nécessaire pour la suite de son emploi.
Recrutement et emploi sont des finalités différentes
Pendant le recrutement, vous traitez des informations pour évaluer s’il faut embaucher une personne.
Une fois qu’elle devient salariée, vos finalités changent.
Vous avez alors besoin d’informations pour des sujets comme :
- La paie
- L’administration du personnel
- Les avantages
- La planification du travail
- La gestion de la performance
- La formation
- Les obligations légales et réglementaires
- La sécurité sur le lieu de travail
Une partie des informations de recrutement reste pertinente. Une autre non. Les traiter comme des traitements distincts dans votre registre rend cette distinction plus facile à tenir.
Pour chaque traitement RH, identifiez la finalité et une base légale appropriée au titre de l’article 6 du RGPD. Il peut s’agir de la nécessité pour le contrat de travail, d’une obligation légale précise ou d’un intérêt légitime après examen de la nécessité et mise en balance. La signature du contrat n’autorise pas toute utilisation des données de candidature. En cas de réutilisation pour une autre finalité, évaluez la compatibilité lorsque l’article 6, paragraphe 4, l’exige.
Qu’est-ce qui peut rejoindre le dossier du personnel ?
Selon le poste et le droit applicable, cela peut inclure :
- Les données d’identification et coordonnées
- Les qualifications pertinentes pour le poste
- Le parcours professionnel lorsqu’il reste nécessaire
- Les informations utilisées pour préparer le contrat
- Les preuves de titres professionnels requis
- La correspondance de recrutement pertinente
Le fait qu’une information ait été collectée licitement pendant le recrutement ne justifie pas automatiquement une conservation permanente.
Vérifiez l’identité lorsque c’est nécessaire et n’enregistrez que les données d’identification nécessaires et légalement autorisées pour l’administration du personnel ou les déclarations légales. Vérifiez les règles locales applicables aux numéros d’identification et aux copies de documents d’identité ; ne conservez pas systématiquement une copie intégrale.
Les données de santé et autres catégories particulières nécessitent à la fois une base légale au titre de l’article 6 et une exception applicable au titre de l’article 9. Les données pénales relèvent de l’article 10 et du droit applicable. Ne transférez pas automatiquement ces éléments dans un dossier ordinaire du personnel.
Que faut-il revoir ?
Demandez-vous si vous avez encore besoin :
- Des notes informelles des personnes ayant mené les entretiens
- D’anciens classements de candidats
- De projets d’évaluation écartés
- D’informations relatives à d’autres postes
- De copies superflues du CV
- D’informations issues de recherches en ligne
- De données de tests ayant rempli leur office
Orientez les données examinées vers l’une de ces trois destinations : le dossier actif du personnel si elles sont nécessaires à l’emploi, des archives à accès restreint si leur conservation est justifiée pour des obligations légales ou des droits en justice, ou la suppression si aucune finalité justifiée ne subsiste.
Le guide du recrutement de la CNIL distingue l’utilisation active de l’archivage limité à des fins probatoires. Un litige éventuel ne justifie pas de conserver indéfiniment tout le dossier de recrutement. Ne gardez que les preuves nécessaires, limitez l’accès et consignez le motif et la durée dans votre politique de conservation.
Les durées peuvent varier selon les données. L’embauche ne fait pas automatiquement repartir une durée de conservation pour chaque document de candidature. Vérifiez les exigences locales applicables et les délais de prescription pertinents.
Mettez à jour l’information vie privée
Les candidats ont reçu une information sur le traitement lié au recrutement.
Les salariés ont besoin d’une information sur les traitements qui interviennent pendant l’emploi.
Cela peut couvrir la paie, la gestion des absences, les systèmes informatiques, le contrôle d’accès, la gestion de la performance, la formation, les avantages et d’autres processus RH, ce à quoi sert une politique de confidentialité pour le personnel.
Remettez la Staff Privacy Policy lors de la collecte de nouvelles données du salarié. Avant de réutiliser des données existantes pour une nouvelle finalité, fournissez les informations sur cette finalité et les autres précisions pertinentes, dans la mesure où le salarié n’en dispose pas déjà (articles 13 et 14 du RGPD).
Expliquez les finalités, bases légales, destinataires, durées ou critères de conservation, éventuels transferts internationaux et droits. Ne présumez pas que la notice candidats couvre déjà ces processus RH.
Mettez à jour les droits d’accès
Les dossiers de recrutement peuvent être accessibles à des personnes ayant mené les entretiens ou à des cabinets externes qui n’en ont plus besoin une fois la procédure terminée.
Revoyez les droits lors de l’intégration et retirez les accès devenus inutiles. Incluez les plateformes de recrutement, les dossiers partagés et les copies dans les messageries. Faites confirmer les coordonnées actuelles par le salarié avant leur transfert.
Le principe reste le même : les données personnelles ne doivent être accessibles qu’aux personnes qui en ont besoin pour leur fonction.
Gardez la transition maîtrisée
Une étape d’intégration utile consiste à :
- Identifiez les données de recrutement encore nécessaires et vérifiez leur exactitude.
- Consignez la finalité et la base légale de chaque utilisation prévue.
- Transférez les données nécessaires dans le dossier actif du personnel, archivez uniquement les preuves justifiées avec un accès restreint et supprimez le reste.
- Appliquez la durée adaptée à chaque catégorie et supprimez les copies superflues.
- Retirez les accès de recrutement devenus inutiles et attribuez les accès RH selon les fonctions.
- Remettez la Staff Privacy Policy au moment requis.
GDPRWise sépare recrutement et traitements du personnel dans votre registre, pour que chaque dossier reçoive la finalité et la durée qui lui reviennent.