RGPD en Recrutement : ce qu'il faut garder en tête pour le respecter

RGPD & Recrutement : quel impact ?

Entrée en vigueur le 25 mai 2018, le RGPD a demandé beaucoup d’efforts aux compagnies européennes (et même étrangères). En moyenne, les entreprises ont consacré 8 heures par jour à cette mise en conformité.

Pour répondre aux exigences de la législation, il a fallu analyser en profondeur les bases de données existantes, leur sécurité, l’utilisation faite des informations recueillies, l’accès de ces données par leurs propriétaires, etc. Puis faire de nombreux ajustements pour satisfaire à toutes les exigences.

Or si vous gérez des recrutements, vous collectez forcément de nombreuses données sur vos candidats. Cela signifie que votre base de données est soumise à toutes les exigences du RGPD et que vous devez donc fournir tous ces efforts de mise en conformité et de gestion.

Et selon la même étude, le travail est loin d’être terminé… On estime en effet qu’une entreprise française recevra en moyenne 89 demandes en lien avec la nouvelle réglementation, et devra accorder 172 heures à leur traitement. Pour les grandes structures, les chiffres passeraient respectivement à 246 demandes et 1 259 heures de travail.

Quelles sont les obligations des recruteurs en matière de RGPD ?

Il y a des règles à suivre en matière de gestion des données des candidats. Les recruteurs en sont en partie responsable, conjointement aux DPO (directeurs de la Protection des Données). Voici donc les 5 principales obligations que vous devez dès maintenant appliquer. Attention, cette liste n'est pas exhaustive.

1. La traçabilité des informations des candidats

Par ailleurs, le RGPD stipule que vous devez connaître précisément la provenance de toutes les données que vous obtenez, notamment dans le cadre de vos recrutements. Cela signifie que vous devez pouvoir tracer chaque information et surtout justifier son acquisition.

En effet, pour protéger les données individuelles, la réglementation exige que vous obteniez les informations directement par les personnes intéressées. Celles-ci doivent vous les communiquer volontairement. Vous pouvez y accéder sur le CV de l’intéressé, les demander lors d’un entretien ou même les trouver sur son profil public en ligne.

Mais dans tous les cas, il faut impérativement noter la source de chaque donnée. Ainsi, vous pourrez présenter des informations complètes et conformes en cas d’audit.

2. Le stockage des données de recrutement

Ensuite, vous devez correctement stocker les données collectées dans le cadre de vos recrutements. D’autant plus qu’elles sont souvent personnelles, voire sensibles. Le RGPD est en effet très stricte en ce qui concerne l’endroit et les conditions de stockage de ces informations. D’abord, il vous faut un consentement explicite de la part des candidats. Ils doivent accepter que vous conserviez leurs données.

Pour des questions de sécurité et de confidentialité, les données à caractère personnel doivent idéalement être cryptées. Le mieux est aussi d’utiliser des codes ou des pseudonymes qui évitent d’identifier trop directement la personne. Bien sûr, le système de stockage doit impérativement être sécurisé avec un accès ultra restreint aux seules personnes autorisées : le propriétaire des données et les employés habilités.

Enfin, en cas de risque ou de violation des données, la personne concernée doit être informée immédiatement.

3. L’utilisation et la réutilisation des données

En outre, le RGPD impacte aussi le recrutement au niveau de l’utilisation et de la réutilisation des données collectées. En plus d’obtenir l’accord explicite du candidat pour leur conservation, vous devez aussi avoir son consentement au sujet de l’utilisation que vous en ferez. Attention, la durée maximale de conservation des données s'élève à 3 ans. Vous devez en cas de doute, les conserver dans un délais "raisonnable".

En pratique, il s’agit de préciser l’usage prévu : vous les utiliserez dans le cadre de ce recrutement uniquement, afin de voir si le candidat convient à ce poste. Et vous utiliserez ses informations de contact pour le joindre le cas échéant. Si vous souhaitez conserver les données en vue d’un recrutement futur, il faut aussi le spécifier au candidat et obtenir son accord.

4. Processus de recrutement automatisé

Enfin, si vous automatisez une partie de votre processus de recrutement, le candidat doit également en être informé. Plus précisément, chacun doit accepter que ses données personnelles soient traitées de manière automatisée. Et il faut même préciser à quel moment et de quelle façon l’automatisation aura lieu.

Par exemple, vous devez spécifier quels filtres seront appliqués, sur quelles informations et dans quel but.

En cas de non-respect, vous vous exposez à des sanctions graduelles, allant du simple avertissement aux sanctions administratives (amendes voire emprisonnement). En cas de doute, consultez le règlement général sur la protection des données de la CNIL, l'autorité chargée de faire appliquer le RGPD en France.