Une notice de confidentialité candidats explique comment votre organisation traite les données personnelles pendant le recrutement. C’est le document qui porte vos obligations de transparence au titre des articles 13 et 14 du RGPD.
Cet article traite de ce que la notice doit contenir. Pour la question tout aussi importante du quand le candidat doit la recevoir et comment la lui transmettre, voir quand et comment informer les candidats.
La notice décrit ce qui se passe réellement dans votre processus, et non ce qu’un modèle générique suppose.
Les éléments en un coup d’œil
Les articles 13 et 14 fixent ce qui doit y figurer. En contexte de recrutement, cela revient à :
| Élément | Article 13 (données du candidat) | Article 14 (données via cabinet ou plateforme) |
|---|---|---|
| Votre identité et vos coordonnées | Requis | Requis |
| Coordonnées du DPO, le cas échéant | Requis | Requis |
| Finalités du traitement | Requis | Requis |
| Base légale par finalité | Requis | Requis |
| Vos intérêts légitimes, s’ils sont invoqués | Requis | Requis |
| Catégories de données traitées | Non requis | Requis |
| Source des données | Sans objet | Requis |
| Destinataires ou catégories de destinataires | Requis | Requis |
| Transferts hors EEE et garanties | Requis | Requis |
| Durée de conservation ou ses critères | Requis | Requis |
| Droits du candidat, dont opposition et retrait | Requis | Requis |
| Droit d’introduire une réclamation auprès d’une autorité | Requis | Requis |
| Caractère obligatoire de la fourniture et conséquences | Requis | Sans objet |
| Décision automatisée, logique, importance et conséquences | Requis le cas échéant | Requis le cas échéant |
Si vos candidats arrivent par les deux voies, une notice unique couvrant l’ensemble plus large de l’article 14 est plus simple à maintenir que deux documents.
Commencez par qui vous êtes
Les candidats doivent savoir quelle organisation est responsable de leurs données personnelles.
Indiquez l’identité et les coordonnées de votre organisation. Si vous avez désigné un délégué à la protection des données, indiquez également ses coordonnées.
Cela paraît évident, mais devient important dès que le recrutement passe par une société du groupe, un cabinet externe ou une plateforme partagée.
Expliquez quelles données vous traitez
Décrivez les catégories de données de candidats que vous utilisez.
Selon votre processus, cela peut inclure :
- Données d’identification et coordonnées
- CV et éléments de candidature
- Parcours professionnel et formation
- Notes d’entretien
- Évaluations et résultats de tests
- Références
- Informations issues de profils professionnels
- Communications avec le candidat
- Informations nécessaires avant le début du contrat
Évitez les formules vagues du type « nous traitons toute information nécessaire ». Le point de départ consiste à déterminer quelles données de candidats vous sont réellement nécessaires.
Expliquez pourquoi vous les utilisez
Les candidats doivent comprendre les finalités du traitement.
Les finalités habituelles sont :
- Gérer les candidatures
- Évaluer l’adéquation à un poste
- Communiquer avec les candidats
- Organiser entretiens et évaluations
- Vérifier les références lorsque c’est approprié
- Préparer une offre ou un contrat de travail
- Respecter des obligations légales
- Répondre à des contestations liées au recrutement ou s’en défendre
- Conserver des candidats dans un vivier de talents, le cas échéant
Des finalités différentes peuvent reposer sur des bases légales différentes.
Indiquez les bases légales
N’écrivez pas simplement « nous traitons vos données conformément au RGPD ».
Identifiez les bases légales réellement applicables.
En recrutement, il s’agit généralement de mesures prises à la demande du candidat avant la conclusion d’un contrat, de l’intérêt légitime, d’une obligation légale, ou du consentement lorsque vous conservez ses coordonnées pour de futurs postes. Si vous invoquez l’intérêt légitime, les articles 13, paragraphe 1, d) et 14, paragraphe 2, b) exigent que vous nommiez cet intérêt, et pas seulement la base.
Si vous traitez des catégories particulières de données, une condition supplémentaire de l’article 9, paragraphe 2 est requise et la notice doit le refléter.
D’où proviennent les données ?
Toutes les informations sur les candidats ne viennent pas directement d’eux.
Lorsque vous obtenez des informations de cabinets, de références, de réseaux professionnels ou d’autres sources, l’article 14, paragraphe 2, f) exige que vous l’indiquiez, y compris si la source était accessible au public.
Cela compte surtout dans les situations que les candidats n’anticipent pas : une recommandation par un salarié en poste, un profil trouvé sur un réseau professionnel, une référence contactée avant que le candidat n’en soit informé.
Qui reçoit les données ?
Expliquez qui peut accéder aux données de candidats ou les recevoir.
Cela peut inclure :
- Le personnel RH
- Les responsables du recrutement
- Les personnes menant les entretiens
- Les sociétés du groupe
- Les cabinets de recrutement
- Les systèmes de suivi des candidatures
- Les prestataires d’évaluation
- Les prestataires informatiques et cloud
L’accès reste limité aux personnes qui en ont besoin.
Expliquez les durées de conservation
« Vos données sont conservées aussi longtemps que nécessaire » est juridiquement familier, mais peu utile en soi.
Indiquez des durées de conservation concrètes lorsque c’est possible. Sinon, expliquez les critères utilisés pour les déterminer.
Si les candidats non retenus peuvent rejoindre un vivier de talents, expliquez-le séparément.
Transferts internationaux
Les logiciels de recrutement sont souvent hébergés dans le cloud.
Si des données de candidats sont transférées hors de l’EEE, expliquez-le et fournissez les informations exigées par le RGPD sur le mécanisme de transfert ou les garanties.
Ne présumez pas qu’un logiciel utilisé via un site européen stocke nécessairement toutes les données en Europe.
Expliquez les droits des candidats
Les candidats disposent des droits suivants, et la notice les nomme :
- Accès
- Rectification
- Effacement
- Limitation
- Opposition
- Portabilité dans les situations où elle s’applique
- Droits relatifs à certaines décisions automatisées
Expliquez comment les exercer, avec une adresse ou un formulaire opérationnel plutôt qu’une boîte générique, et indiquez qu’ils peuvent introduire une réclamation auprès de l’autorité de contrôle compétente. Si vous vous appuyez sur le consentement, précisez qu’il peut être retiré à tout moment et que le retrait est aussi simple que l’octroi.
Que se passe-t-il quand le candidat devient salarié ?
Une notice candidats vise la procédure de recrutement. Dès qu’un candidat devient salarié, votre organisation traite nettement plus de données personnelles et à d’autres fins.
Nous recommandons donc une politique de confidentialité distincte pour le personnel expliquant le traitement des données pendant la relation de travail. La notice candidats et la politique du personnel se complètent, plutôt qu’un document unique tentant de couvrir recrutement et emploi.
Gardez-la exacte
Une notice de confidentialité n’est pas un document que l’on rédige une fois pour l’oublier ensuite.
Si vous introduisez un nouveau système de suivi, un outil de présélection par IA, un prestataire d’évaluation ou un vivier de talents, vérifiez que votre notice décrit encore la réalité.
La meilleure notice candidats n’est pas la plus longue. C’est celle qui explique correctement votre processus de recrutement réel.
GDPRWise aide les organisations à relier leurs traitements documentés à l’information vie privée qu’elles doivent fournir, pour garder une documentation de recrutement cohérente.
GDPRWise relie vos traitements documentés à l'information vie privée que vous publiez, pour que votre notice reste exacte quand votre recrutement change.