Lors d’un entretien d’embauche, certaines données personnelles du candidat, tel que son CV, sont collectées et conservées par le recruteur qui en sera alors le responsable de traitement. Si l’Autorité de Protection des Données (APD) n’a pas émis de recommandation sur la manière dont ces données personnelles doivent être traitées afin de se conformer au RGPD, on peut toutefois s’inspirer du Guide de recrutement publié en janvier dernier par son homologue français, la CNIL. Ce Guide a pour objectif d’aider le recruteur à traiter les informations des candidats conformément au RGPD.
Plus spécifiquement, concernant la conservation des données des candidats, la CNIL recommande une conservation à durée variable. En effet, elle considère que le cycle de vie d’une donnée de recrutement connaît deux phases, et une troisième à titre d’exception :
1ère phase : La base active
Les données sont conservées dans la base active lorsqu’elles sont sujettes à être utilisées fréquemment par le recruteur. A titre d’exemple, le CV d’un candidat, peut être conservé dans l’ordinateur ou sur le serveur du recruteur durant la période de recrutement, de manière que ce dernier y ait accès aisément.
Les données des candidats non sélectionnés peuvent, dans certains cas, être conservées dans la base active. Par exemple, le recruteur peut les conserver jusqu’à 3 mois suivant la décision de refus d’embauche, afin de pouvoir communiquer la motivation de cette décision.
Les données peuvent également être conservées dans le but de recontacter le candidat refusé afin de lui soumettre d’autres offres d’emploi. Toutefois, les données ne peuvent être conservées plus de 2 ans après la décision de refus et la conservation doit reposer sur le consentement du candidat.
2ème phase : La base intermédiaire
Lorsque le processus de recrutement est achevé, les données strictement nécessaires afin de remplir certains objectifs prédéfinis par le recruteur peuvent être conservées dans une base intermédiaire.
Seules les données pertinentes pour respecter une obligation légale ou pouvant être utilisées comme preuve en cas de contentieux, peuvent être gardées dans ladite base intermédiaire.
Les données non concernées par ces finalités doivent être supprimées de la base active à l’expiration du délai. L’APD a d’ailleurs réprimandé une entreprise qui n’avait pas fait droit à la demande d’effacement de données d’un candidat intérimaire non-retenu, alors que la conservation de ces données ne se justifiait plus au regard d’aucune finalité.
3ème phase : L’archivage pour une durée indéterminée
Seules les données relatives à des traitements archivistiques dans l’intérêt public, à des fins de recherche scientifique, historique ou à des fins statistiques peuvent être archivées pour une durée indéterminée, mais uniquement dans le respect des conditions énumérées à l’article 89 du RGPD.
Our advice:
Étant donné que les données personnelles que le recruteur obtient émanent des candidats eux-mêmes, il est tenu, en sa qualité de responsable de traitement de fournir certaines informations.
Outre les obligations d’information « classiques » telles que la finalité du traitement, les coordonnées du responsable du traitement etc, il est également soumis, entre autres, de fournir au candidat la durée durant laquelle ses données seront conservées.
Lorsqu’il n’existe pas de durée de conservation légale eu égard à certains types de données, il est important pour le recruteur de documenter sa démarche afin de pouvoir justifier les durées de conservation qu’il a déterminé au préalable.
Nous sommes à votre disposition afin de vous guider dans le traitement des données de vos candidats et d’assurer le respect de vos obligations y afférentes en vertu du RGPD.