Recruter exige naturellement des informations sur les candidats. Mais cela ne signifie pas qu’un employeur peut collecter tout ce qui pourrait être intéressant ou utile. Sous le RGPD, les données de candidats doivent être pertinentes et nécessaires à la procédure de recrutement.
La règle de base est simple : ne collectez que ce dont vous avez réellement besoin pour évaluer le candidat et gérer la candidature.
De quelles informations les employeurs ont-ils normalement besoin ?
Pour la plupart des postes, un employeur a besoin d’informations assez standard :
- Nom et coordonnées
- Parcours professionnel
- Formation et diplômes
- Compétences et expérience professionnelles
- Langues
- Informations contenues dans un CV ou une lettre de motivation
- Notes d’entretien et évaluations
- Disponibilité et, le cas échéant, prétentions salariales
Les informations exactes dépendent du poste.
Un permis de conduire peut être pertinent pour un livreur. Il ne l’est probablement pas pour un poste de bureau où l’on ne conduit jamais.
C’est le principe RGPD de minimisation des données en pratique.
Pouvez-vous demander tout ce qui pourrait aider à choisir ?
Non.
Le recrutement devient facilement un exercice de collecte « au cas où ». Le RGPD exige une approche plus rigoureuse.
Avant de demander une information, posez la question :
Avons-nous réellement besoin de cette information pour évaluer l’adéquation du candidat à ce poste ou pour respecter une obligation légale ?
Si la réponse est non, ne la collectez pas.
Prudence avec les informations sensibles
Certaines données personnelles bénéficient d’une protection supplémentaire sous le RGPD. Il s’agit des informations relatives à :
- La santé
- L’origine raciale ou ethnique
- Les opinions politiques
- Les convictions religieuses ou philosophiques
- L’appartenance syndicale
- Les données génétiques
- Certaines données biométriques
- La vie sexuelle ou l’orientation sexuelle
Leur traitement exige généralement une justification supplémentaire, en plus de l’une des six bases légales.
En recrutement ordinaire, les employeurs évitent donc de demander des informations sensibles, sauf nécessité réelle et autorisation juridique.
Les informations relatives aux condamnations pénales et aux infractions obéissent en outre à des restrictions spécifiques.
Et les photographies ?
Une photographie est une donnée personnelle dès lors qu’une personne peut y être identifiée.
Avant de la rendre obligatoire, demandez-vous si voir le candidat est réellement nécessaire pour évaluer son aptitude au poste.
Dans beaucoup de procédures, ce n’est pas le cas.
Exiger des photographies inutiles augmente aussi le risque que des caractéristiques non pertinentes influencent la décision.
Et si les candidats en fournissent trop d’eux-mêmes ?
Les candidats mentionnent parfois des informations que vous n’avez jamais demandées : situation familiale, enfants, loisirs, photographies, données médicales ou autres éléments privés.
Vous n’avez pas à utiliser cette information au seul motif que le candidat l’a fournie.
Gardez la décision de recrutement centrée sur ce qui est pertinent pour le poste.
Pouvez-vous collecter des informations auprès d’autres sources ?
Les données de candidats ne viennent pas toujours directement du candidat.
Vous pouvez en recevoir de :
- Cabinets de recrutement
- Plateformes de réseautage professionnel
- Références
- Registres professionnels publics
- Prestataires d’évaluation
- Prestataires de vérification d’antécédents
Le RGPD s’applique toujours.
Il vous faut une raison licite de collecter et d’utiliser l’information et, lorsque c’est requis, indiquer au candidat que vous avez obtenu des données auprès d’une autre source. Votre notice de confidentialité candidats est l’endroit naturel pour l’expliquer.
Bâtissez votre processus autour de la nécessité
Un exercice utile consiste à revoir chaque champ de votre formulaire de candidature.
Pour chaque question, demandez :
- Pourquoi la posons-nous ?
- Utilisons-nous réellement la réponse ?
- Est-elle nécessaire à ce stade ?
- Pourrions-nous la demander plus tard si le candidat est retenu ?
Les informations nécessaires à la préparation d’un contrat de travail, par exemple, relèvent de la phase d’offre et non du formulaire que remplit chaque candidat.
Documentez ce que vous collectez et pourquoi
Ne décidez pas au cas par cas des données à collecter sans le documenter. Votre organisation doit disposer d’une vue claire des données personnelles utilisées en recrutement, de la finalité de chaque type de donnée, de la base légale applicable, des personnes y ayant accès et de la durée de conservation.
Nous recommandons de le documenter dans votre registre des traitements. Cela couvre vos activités de recrutement et les données que vous utilisez. Dès qu’un candidat devient salarié, cela rejoint le dossier du personnel et la politique de confidentialité pour le personnel, qui couvrent le traitement plus large pendant l’emploi.
Gardez les données de recrutement sous contrôle
Collecter moins d’informations facilite la conformité. Cela réduit aussi le volume de données personnelles susceptibles d’être perdues, détournées ou consultées par la mauvaise personne.
GDPRWise aide les organisations à documenter leurs traitements de recrutement et autres traitements RH, y compris les catégories de données utilisées et les raisons de leur traitement.
GDPRWise cartographie vos traitements de recrutement et indique quelles données, quelle base légale et quelle durée s'appliquent à chaque étape.