La plupart des problèmes de confidentialité en recrutement ne viennent pas d’une technologie sophistiquée. Ils viennent d’habitudes ordinaires : de vieux CV dans les boîtes courriel, des questions superflues, des recherches informelles sur les réseaux sociaux et des données de candidats copiées dans de nouveaux outils sans que personne n’en vérifie les conséquences.
Voici les erreurs que les employeurs doivent chercher en premier.
1. Conserver chaque CV indéfiniment
Une boîte courriel contenant dix ans de candidatures n’est pas un vivier de talents.
Définissez pourquoi les données sont conservées et pour combien de temps. Quand la finalité et la durée justifiée prennent fin, supprimez-les. Si vous n’avez jamais fixé ces durées, commencez par déterminer combien de temps conserver le CV d’un candidat.
2. Demander trop d’informations
Les formulaires de candidature accumulent des questions au fil du temps.
Si personne ne peut expliquer pourquoi une information est nécessaire à la décision, supprimez la question.
La minimisation commence avant que le candidat ne clique sur « Envoyer ».
3. Utiliser le consentement pour tout
Le consentement est une base légale parmi d’autres, pas une case universelle du recrutement.
Certaines parties de la procédure peuvent reposer sur des mesures prises à la demande du candidat avant la conclusion d’un contrat, sur l’intérêt légitime, sur une obligation légale ou sur une autre base appropriée.
Choisissez la base en fonction de la finalité. Les six bases légales du RGPD correspondent chacune à des parties différentes d’un processus d’embauche.
4. Ne pas avoir de notice de confidentialité candidats
Une politique de site web portant sur les clients et les cookies n’explique pas le recrutement.
Les candidats ont besoin d’informations pertinentes sur le traitement de leur candidature, ce à quoi sert une notice de confidentialité candidats dédiée.
5. Créer un vivier par accident
Conserver des candidats refusés parce qu’« on pourrait les rappeler un jour » crée une finalité de traitement supplémentaire.
Si vous voulez un vivier, construisez-le délibérément, avec une base légale, de la transparence, une durée de conservation et un processus de suppression.
6. Chercher chaque candidat sur les réseaux sociaux
Public ne veut pas dire non protégé.
Ces recherches exposent les responsables du recrutement à des informations sensibles et non pertinentes et créent des risques tant de confidentialité que de discrimination.
Limitez les vérifications en ligne aux situations justifiées et liées au poste. Le même raisonnement vaut pour l’analyse des réseaux sociaux des candidats.
7. Laisser les CV se disperser
Un candidat envoie un CV. Une semaine plus tard, il existe dans six boîtes courriel, deux dossiers de téléchargement et un disque partagé.
Utilisez des systèmes maîtrisés et limitez les copies superflues.
8. Oublier les cabinets et les logiciels
Les données de candidats peuvent être traitées par des recruteurs, des systèmes de suivi, des prestataires d’évaluation, des services cloud et d’autres fournisseurs.
Sachez qui reçoit les données et mettez en place les dispositions appropriées, à commencer par un accord de sous-traitance lorsque le prestataire agit comme votre sous-traitant.
9. Coller des CV dans des outils d’IA sans vérifier
L’IA générative rend extrêmement facile le téléversement de données personnelles vers un nouveau fournisseur.
Avant d’utiliser de vrais CV, comprenez les conditions, la conservation, les pratiques d’entraînement, la sécurité, les transferts et les options de suppression du fournisseur. Les questions à poser sont celles couvertes dans utiliser ChatGPT ou des outils d’IA pour analyser des CV.
10. Traiter les scores d’IA comme des faits objectifs
Un score algorithmique est un résultat, pas une garantie de vérité ou de loyauté.
Vérifiez son exactitude, sa pertinence, ses biais et le rôle des décideurs humains. Des décisions entièrement automatisées à effet significatif peuvent déclencher les règles RGPD spécifiques sur la décision automatisée.
11. Transférer tout le dossier de recrutement aux RH
Une fois le candidat devenu salarié, revoyez les informations encore nécessaires.
Ne conservez pas automatiquement chaque note d’entretien, évaluation et ancien document pour toute la durée de l’emploi.
12. Rédiger une politique de conservation sans jamais rien supprimer
Une politique indiquant « les CV sont supprimés après X mois » ne sert à rien si aucun système ni aucune personne n’effectue réellement la suppression.
Testez le processus.
13. Donner accès à trop de personnes
Tout le monde dans l’organisation n’a pas besoin d’accéder à chaque candidature.
Utilisez des accès par rôle et revoyez les droits à la fin du recrutement.
14. Ignorer les droits des candidats
Les candidats sont aussi des personnes concernées.
Votre organisation doit pouvoir traiter les demandes d’accès, de rectification, d’effacement, d’opposition et les autres droits applicables portant sur les données de recrutement.
Transformez les bonnes intentions en processus
La plupart de ces erreurs deviennent gérables dès lors que le recrutement est traité comme un traitement défini plutôt que comme un ensemble de courriels et d’habitudes informelles.
GDPRWise aide les organisations à documenter recrutement, conservation, prestataires et information vie privée dans un processus de conformité structuré.
GDPRWise documente vos traitements de recrutement, vos durées de conservation et vos prestataires, pour que les habitudes informelles derrière ces erreurs deviennent un processus maîtrisé.