Le recrutement n’a pas besoin d’un service vie privée dédié. Mais les employeurs ont besoin d’un processus reproductible pour gérer CV, entretiens, plateformes, viviers et droits des candidats.
Utilisez cette checklist pour revoir votre processus, de la première candidature à la suppression définitive.
Avant d’ouvrir le poste
- Déterminez quelles données de candidats sont réellement nécessaires.
- Supprimez les questions superflues de vos formulaires.
- Identifiez les finalités du traitement.
- Déterminez la base légale appropriée pour chaque finalité.
- Vérifiez si des catégories particulières ou des données pénales peuvent être concernées.
- Assurez-vous que le recrutement figure dans votre registre des traitements.
- Fixez des durées de conservation.
Si vous hésitez sur la limite, partez de quelles données personnelles collecter auprès des candidats et consignez le résultat dans votre registre des traitements.
Information des candidats
- Disposez d’une notice de confidentialité candidats.
- Rendez-la disponible au moment de la collecte.
- Expliquez les finalités et les bases légales.
- Expliquez les sources de données pertinentes.
- Identifiez les destinataires ou catégories de destinataires.
- Expliquez les durées de conservation.
- Couvrez les transferts internationaux le cas échéant.
- Expliquez les droits des candidats.
- Couvrez la décision automatisée lorsqu’elle s’applique.
La structure d’une notice de confidentialité candidats découle directement de ces points.
Pendant le recrutement
- Limitez l’accès aux personnes impliquées dans la procédure.
- Stockez les candidatures dans des systèmes approuvés.
- Évitez les copies superflues de CV.
- Gardez les notes d’entretien professionnelles et pertinentes.
- Vérifiez les informations importantes plutôt que de vous fier à des suppositions.
- Ne collectez pas d’informations sensibles sans raison licite et nécessaire.
- Prévoyez un processus pour les demandes RGPD des candidats.
Les candidats peuvent exercer les mêmes droits des personnes concernées que quiconque, votre processus doit donc couvrir les données de recrutement.
Cabinets et logiciels
- Recensez tous vos prestataires de recrutement.
- Déterminez leur rôle en matière de protection des données.
- Mettez en place les clauses requises.
- Vérifiez où les données de candidats sont traitées.
- Examinez les transferts internationaux.
- Contrôlez la sécurité et la gestion des accès.
- Sachez comment supprimer les données à l’expiration des durées.
Lorsqu’un prestataire agit comme votre sous-traitant, un accord de sous-traitance comportant les éléments obligatoires est requis.
LinkedIn et réseaux sociaux
- Déterminez si le screening en ligne est autorisé.
- Limitez les vérifications aux sources et informations pertinentes.
- Évitez toute investigation superflue sur la vie privée.
- Ne cherchez pas à accéder à des profils délibérément privés.
- Informez les candidats des sources externes lorsque c’est requis.
- Ne consignez pas d’informations sensibles non pertinentes.
Les règles diffèrent entre consulter le profil LinkedIn d’un candidat et un screening plus large des réseaux sociaux, décidez donc à l’avance ce qui est permis.
Viviers de talents
- Traitez le recrutement futur comme une finalité définie.
- Choisissez et documentez la base légale appropriée.
- Expliquez aux candidats comment le vivier fonctionne.
- Fixez une durée de conservation.
- Gardez les informations exactes.
- Facilitez le retrait ou l’opposition lorsque cela s’applique.
- Supprimez les dossiers expirés.
Construire un vivier conforme au RGPD délibérément est bien plus simple que d’en justifier un après coup.
IA en recrutement
- Approuvez les outils d’IA avant tout téléversement.
- Vérifiez ce que le fournisseur fait des données soumises.
- Minimisez ou pseudonymisez lorsque c’est possible.
- Évaluez les risques de décision automatisée.
- Vérifiez si l’AI Act s’applique et si le système est à haut risque.
- Assurez-vous que la supervision humaine est significative.
- Déterminez si une AIPD est requise.
- Testez les résultats pour l’exactitude et les biais éventuels.
L’IA en recrutement comme l’exigence d’AIPD méritent un examen sérieux avant la mise en production.
Quand le candidat est recruté
- Revoyez le dossier de recrutement.
- Ne transférez que les informations encore nécessaires.
- Appliquez les règles de conservation propres à l’emploi.
- Supprimez les données de recrutement superflues.
- Mettez à jour les droits d’accès.
- Remettez l’information vie privée destinée au personnel.
C’est le moment de déterminer ce que deviennent les données d’un candidat lorsqu’il devient salarié et de remettre votre politique de confidentialité pour le personnel.
Quand la procédure se termine
- Démarrez la durée de conservation applicable.
- Supprimez les informations à son expiration.
- Incluez les boîtes courriel et les copies locales.
- Retirez les données des systèmes externes lorsque c’est requis.
- Gardez les données du vivier séparées des candidatures refusées ordinaires.
- Testez périodiquement que la suppression a bien lieu.
Si vous n’avez pas encore fixé les durées, déterminez d’abord combien de temps conserver le CV d’un candidat.
Rendez la checklist reproductible
La conformité fonctionne mieux lorsque ces étapes sont intégrées au processus de recrutement plutôt que vérifiées une fois par an.
GDPRWise aide les employeurs à cartographier leurs traitements de recrutement et RH, à documenter conservation et bases légales, à gérer les prestataires et à générer l’information vie privée qui soutient un processus reproductible.
GDPRWise cartographie vos traitements de recrutement, enregistre bases légales et durées de conservation, et génère la documentation candidats correspondante.