RGPD dans le recrutement

Les données concernées

Un CV, une note d’entretien, un message ou une appréciation reliée à une personne constituent des données personnelles. Les règles s’appliquent aussi aux informations obtenues par sourcing ou auprès d’une référence.

Le RGPD, applicable depuis le 25 mai 2018, demande notamment de définir pourquoi ces données sont traitées, de limiter leur collecte et de protéger leur accès. Le fait qu’une information soit accessible en ligne ne la rend pas librement réutilisable pour tout usage.

Finalité, base légale et information

Traiter une candidature à un poste et conserver un contact pour un recrutement futur sont deux usages à examiner séparément. La base légale doit correspondre au traitement : les mesures précontractuelles, l’intérêt légitime ou le consentement ne sont pas interchangeables.

La personne doit recevoir les informations nécessaires sur l’usage de ses données, les destinataires, la conservation et ses droits. Le guide de la CNIL détaille les choix possibles selon les opérations de recrutement. Une mention d’information ne remplace pas la détermination d’une base légale.

Limiter les informations et les accès

L’équipe collecte ce qui est nécessaire pour apprécier les aptitudes professionnelles et traiter la candidature. Les notes doivent rester pertinentes pour cet usage. Les données nécessaires aux formalités d’embauche peuvent être recueillies au moment approprié, sans être demandées par défaut à toutes les personnes qui postulent.

Les accès suivent les responsabilités : une personne chargée d’un entretien n’a pas automatiquement besoin de consulter tous les dossiers. Cette règle concerne le logiciel de recrutement comme les copies dans les e-mails ou les espaces partagés.

Fixer une durée selon l’usage

Le référentiel RH 2026 de la CNIL distingue le dossier utilisé pendant la sélection, le vivier et l’archivage probatoire. Pour le vivier, il indique un repère de deux ans à compter du dernier contact. Ce repère ne constitue ni une base légale ni une durée unique pour tous les usages du dossier.

Un archivage limité à la défense de droits doit être distingué du vivier utilisé pour relancer des personnes. Documentez les durées et les accès correspondants. La fiche sur la conservation des données de candidature développe cette distinction.

Prévoir les droits et les décisions automatisées

L’équipe doit pouvoir traiter une demande d’accès, de rectification ou d’effacement selon les conditions prévues par le règlement. Le consentement, lorsqu’il fonde le traitement, doit pouvoir être retiré.

Une décision entièrement automatisée produisant un effet juridique ou un effet significatif comparable relève d’un cadre particulier, notamment de l’article 22 du RGPD. Une fonction de tri doit donc être examinée selon son usage réel et la place laissée à l’intervention humaine. Un logiciel ne rend pas, à lui seul, l’ensemble du processus conforme.