Le recrutement est l’un des domaines les plus sensibles en matière de protection des données personnelles. Entre les CV, les tests, les prises de références et les outils de scoring, les risques de non-conformité sont nombreux. Voici comment recruter en toute légalité.
Les données que vous pouvez collecter
Le principe fondamental du RGPD est la minimisation des données (article 5.1.c du RGPD) : vous ne devez collecter que les données strictement nécessaires à l’évaluation de la capacité du candidat à occuper le poste.
Sont considérées comme légitimes :
- L’identité : nom, prénom, coordonnées
- La formation : diplômes, certifications
- L’expérience professionnelle : postes occupés, compétences
- Les éléments contractuels : disponibilité, prétentions salariales, permis de conduire (si nécessaire pour le poste)
Les données strictement interdites
Certaines informations ne doivent jamais être collectées lors du recrutement, même si le candidat les fournit spontanément :
- L’état de santé ou le handicap (sauf pour les postes nécessitant un examen d’aptitude spécifique)
- La situation familiale : grossesse, nombre d’enfants, projets de parentalité
- Les opinions politiques, religieuses ou syndicales
- L’origine raciale ou ethnique
- L’orientation sexuelle
- Les antécédents judiciaires (sauf cas prévus par la loi, comme l’extrait de casier judiciaire pour certaines professions réglementées)
L’article L. 1132-1 du Code du travail interdit toute discrimination à l’embauche fondée sur ces critères. Le non-respect de cette interdiction est passible de 3 ans d’emprisonnement et 45 000 € d’amende (article 225-2 du Code pénal).
Étape 1 : Définir votre base légale
Selon la CNIL, la base légale la plus appropriée pour le traitement des données de recrutement est :
- L’intérêt légitime de l’employeur (article 6.1.f du RGPD) pour la gestion des candidatures
- Les mesures précontractuelles (article 6.1.b du RGPD) lorsque le candidat est retenu et que le traitement vise à préparer le contrat
Le consentement n’est généralement pas la base légale appropriée car il n’est pas « libre » dans une relation déséquilibrée comme le recrutement.
Étape 2 : Respecter la durée de conservation
La CNIL recommande une durée de conservation maximale de 2 ans à compter du dernier contact avec le candidat non retenu. Au-delà, les données doivent être supprimées ou anonymisées.
Si vous constituez un vivier de candidatures (« CVthèque »), vous devez :
Accédez au guide complet gratuitement
Entrez votre email pour lire la suite et recevoir le PDF