Comment mener une campagne de recrutement tout en respectant le RGPD ?

Lors du processus de recrutement, la structure peut faire intervenir des prestataires (cabinets de chasseurs de tête, outils de gestion des candidatures, cabinets d’évaluation des compétences, etc.) ou agir en interne. Dans les deux cas, l’activité de recrutement est synonyme de collecte d’informations afin de pouvoir analyser les différentes candidatures et évaluer leur concordance avec le poste proposé.

Il est alors indispensable de respecter le Règlement Général sur la protection des données (RGPD).

1. Des données nécessaires à la collecte

Le RGPD impose de ne collecter que les données adéquates, pertinentes et strictement nécessaires à la bonne réalisation de la finalité pour laquelle le traitement est réalisé.

Dans le cadre du processus de recrutement, ne peuvent être demandées aux candidats que des informations permettant l’évaluation de la personne à occuper le poste proposé, c’est-à-dire des informations quant à leurs qualifications, leurs expériences passées et leurs compétences.

Par exemple, ne peuvent être demandées des informations portant sur la vie privée du candidat comme sa situation familiale, l’emploi occupé par les membres de sa famille, sa volonté ou non d’avoir des enfants car elles n’ont aucun lien avec les compétences du candidat à occuper le poste proposé. Il est aussi inutile, à ce stade, de demander aux candidats leur numéro de sécurité sociale.

2. Une conservation limitée des données du candidat

Les données du candidat ne peuvent pas être conservées indéfiniment par le recruteur. Il doit en amont définir des durées de conservation adéquates qui doivent être cohérentes et justifiées en fonction de l’objectif poursuivi par le traitement.

En cas d’issue négative pour le candidat au processus de recrutement, le recruteur a la possibilité de conserver les données personnelles de ce dernier. Cependant, dans le cadre d’un recrutement, la durée maximale de conservation des données est fixée à 2 ans.

Afin de garantir la conformité au RGPD, le responsable de traitement doit respecter deux éléments :

• Le candidat doit être en mesure de retirer son consentement à tout moment et être averti de cette possibilité dans le mail prévu pour l’informer de la conservation de ses données.
• Si le candidat ne demande pas que ses données soient supprimées, une procédure automatique de suppression doit être faite au bout de 2 ans.

3. Veiller à la bonne information des candidats

Il appartient au recruteur d’informer les candidats dès lors qu’il traite de leurs données personnelles. Cela permet à ces derniers de conserver la maîtrise de leurs informations personnelles en connaissant le but de la collecte, la manière dont les informations seront traitées et leurs différents droits.

Les informations qui doivent être communiquées aux candidats sont :

• L’identité et les coordonnées du responsable de traitement,
• La finalité du traitement,
• La base légale du traitement,
• Les catégories de données personnelles collectées,
• Le(s) destinataire(s) des informations recueillies,
• La durée de conservation des informations,
• Le cas échéant, l’existence d’un éventuel transfert de données vers un pays tiers.