Consentement des candidat·e·s

Ce que le consentement couvre, et ce qu’il ne couvre pas

Premier réflexe à corriger : traiter une candidature n’exige aucun consentement. Quand quelqu’un postule, l’examen de son dossier repose sur les mesures précontractuelles, une des six bases légales que le guide du recrutement de la CNIL détaille fiche par fiche. Demander un consentement pour lire un CV qu’on vous a envoyé n’apporte rien, et le retirer n’empêcherait pas le recrutement de continuer sur sa vraie base.

Le consentement entre en jeu quand l’usage déborde le poste : sollicitations sans lien avec une offre, transmission du profil à une autre entité du groupe, conservation prolongée. Le vivier est le cas particulier : la CNIL admet d’y garder un dossier deux ans au plus si la personne en est informée et ne s’y oppose pas — l’accord explicite reste la pratique la plus sûre, et il devient nécessaire au-delà de ces deux ans.

Les conditions de validité

Le RGPD exige un consentement libre, spécifique, éclairé et univoque. Dans un recrutement, chaque adjectif a une traduction concrète. Libre : la personne peut refuser sans que sa candidature en souffre. Spécifique : un accord pour le vivier ne vaut pas accord pour recevoir la newsletter. Éclairé : elle sait quelles données, pour quoi, pendant combien de temps. Univoque : elle a fait quelque chose ; son silence n’a rien accordé.

Le point le plus discuté est le premier. Les lignes directrices 05/2020 du Comité européen de la protection des données, adoptées le 4 mai 2020, rappellent qu’un déséquilibre de pouvoir peut priver le consentement de sa liberté. Entre un employeur et une personne qui espère un poste, ce déséquilibre existe. La parade : ne demander l’accord que pour ce qui reste réellement facultatif, et le montrer en traitant à l’identique les candidat·e·s qui refusent.

Les formes qui ne tiennent pas

Trois formulations reviennent dans les recrutements de PME et aucune ne résiste à un contrôle. L’accord glissé dans les conditions générales du site carrière : la personne a accepté un document, pas un usage. L’accord global « pour le traitement de mes données » : trop large pour être spécifique. L’accord implicite déduit du fait que la personne a postulé : postuler couvre le poste, rien d’autre.

La trace, ou rien

Un consentement dont il ne reste aucune trace n’existe pas juridiquement : la charge de la preuve pèse sur l’employeur. La trace utile tient en trois éléments, la date, le texte présenté, la réponse donnée, et elle doit survivre au départ de la personne qui a mené le recrutement. C’est la raison de faire porter le recueil par l’outil qui gère les candidatures plutôt que par un échange d’e-mails : la preuve se constitue au moment du recueil, pas en fouillant les archives deux ans après.