Les employeurs accumulent les CV. Certains appartiennent à des candidats en cours, d’autres à des personnes ayant postulé il y a des mois ou des années. Sous le RGPD, les CV ne peuvent cependant pas être conservés indéfiniment.
Il n’existe pas de durée RGPD unique applicable à tout CV. La durée correcte dépend de la raison pour laquelle vous le conservez.
Pendant la procédure de recrutement
Tant qu’un poste est ouvert, conserver les candidatures se justifie aisément : vous en avez besoin pour évaluer les candidats et gérer la procédure.
Cela peut couvrir le CV, la lettre de motivation, les notes d’entretien, les évaluations et les échanges.
Une fois la procédure close, cette finalité initiale change ou disparaît.
Que se passe-t-il après un refus ?
Vous n’avez pas à supprimer le dossier de chaque candidat non retenu à la minute où le poste est pourvu.
Il peut exister une raison légitime de conserver certaines informations pendant une durée limitée, par exemple pour répondre à des questions sur la procédure ou pour constater, exercer ou défendre des droits en justice. Ce raisonnement repose sur l’une des six bases légales, consignez donc celle que vous retenez.
La durée appropriée dépend en partie du droit du travail et de la non-discrimination applicables.
C’est pourquoi les organisations fixent leurs durées à partir de leur propre contexte juridique, plutôt qu’en recopiant un chiffre arbitraire trouvé en ligne.
Pouvez-vous conserver le CV pour de futurs postes ?
C’est possible, mais il s’agit d’une autre finalité.
Le candidat vous a remis son CV pour postuler à un poste précis. Le conserver parce que vous souhaitez le contacter au sujet d’opportunités futures fait entrer le dossier dans un vivier de talents.
Soyez transparent sur cette finalité dans votre notice de confidentialité candidats et fixez une durée de conservation appropriée.
Ne transformez pas automatiquement chaque candidature non retenue en base de données permanente.
Deux ans est-elle toujours la bonne durée ?
Non.
On voit souvent circuler des durées précises en ligne, mais le RGPD lui-même ne dit pas que tout employeur peut conserver le CV de tout candidat non retenu pendant un nombre fixe de mois ou d’années.
La conservation doit être justifiée par la finalité et, le cas échéant, par le droit national.
Une organisation internationale peut donc avoir besoin de règles pratiques différentes selon les pays.
Et les candidatures spontanées ?
Les mêmes principes s’appliquent.
Si une personne vous envoie un CV sans postuler à un poste précis, décidez de ce que vous allez en faire.
Si vous souhaitez conserver les candidatures spontanées pour de futurs postes, expliquez aux candidats comment cela fonctionne et combien de temps leurs informations seront conservées.
N’oubliez pas les copies
Supprimer un candidat de votre plateforme de recrutement n’efface pas nécessairement toutes les copies.
Des CV peuvent aussi se trouver dans :
- Les boîtes courriel RH
- Les messageries des responsables du recrutement
- Les disques partagés
- Les dossiers de téléchargement
- Les portails de cabinets de recrutement
- Les notes d’entretien
- Les tableurs
- Les outils d’IA ou d’évaluation
Votre politique couvre l’ensemble du processus, comme une politique de conservation des données couvre le reste de votre organisation.
Automatisez la suppression quand c’est possible
Les règles de conservation ne fonctionnent que si elles sont appliquées.
Les systèmes de suivi des candidatures permettent souvent de programmer des dates de suppression ou de revue. Utilisez ces fonctions lorsque c’est pertinent, plutôt que de compter sur quelqu’un pour penser à nettoyer manuellement les anciennes candidatures.
Documentez vos règles de conservation
Pour le recrutement, définissez au minimum :
- Combien de temps les candidatures en cours sont conservées
- Combien de temps les dossiers refusés sont conservés après la procédure
- Combien de temps les informations du vivier sont conservées
- Quand les durées sont révisées
- Qui est responsable de la suppression
GDPRWise aide les organisations à documenter les durées de conservation dans leurs traitements, pour transformer « nous ne gardons pas les données trop longtemps » en règle effective.
GDPRWise enregistre une durée de conservation pour chaque traitement de recrutement, pour que la suppression devienne une règle documentée et non une bonne intention.