Bonnes pratiques RGPD en recrutement
Ce guide n'est pas un avis juridique. Il rassemble des bonnes pratiques de recrutement qui s'appuient sur des sources officielles citées (CNIL, Légifrance) et sur ce que fait réellement Candidia. Pour qualifier votre situation, adressez-vous à un juriste ou à votre délégué à la protection des données (DPO). Un candidat vous confie des données personnelles : voici comment les traiter avec méthode.
1. Informer le candidat avant de commencer
La CNIL range parmi les informations à donner aux candidats l'identité et les coordonnées du responsable de traitement (et de son DPO s'il en a désigné un), la finalité et la base légale, le caractère obligatoire ou facultatif des réponses, les destinataires, la durée de conservation, les modalités d'exercice des droits, la possibilité de saisir la CNIL et l'existence éventuelle d'une décision automatisée (CNIL, recrutement dans les TPE/PME). La CNIL propose des exemples génériques de mentions d'information (par exemple pour un formulaire de collecte), à adapter au recrutement. Le Code du travail ajoute que le candidat est expressément informé, avant leur mise en œuvre, des méthodes et techniques d'aide au recrutement utilisées à son égard (article L1221-8). Dans une entreprise d'au moins cinquante salariés, le comité social et économique est informé, avant leur utilisation, des méthodes ou techniques d'aide au recrutement et de leurs modifications (article L2312-38 du Code du travail). En pratique : une mention d'information à l'envoi de la candidature ou à la prise de contact, qui cite les outils utilisés pour évaluer, dont un éventuel outil d'aide à l'évaluation.
2. Ne collecter et ne noter que l'utile
La CNIL demande de ne collecter que des données « adéquates, pertinentes et strictement nécessaires » au poste et à l'entretien (guide du recrutement de la CNIL). Le Code du travail pose la règle : les informations demandées au candidat doivent avoir un lien direct et nécessaire avec l'emploi proposé ou l'évaluation de ses aptitudes professionnelles (article L1221-6). La CNIL donne des exemples de ce qu'il est interdit de demander à un candidat : numéro de sécurité sociale, coordonnées bancaires, informations sur la famille, projet d'avoir des enfants. Elle rappelle aussi que les données sensibles sont, sauf exceptions, interdites de traitement. Côté méthode, la grille fixe le périmètre : ce qui n'est pas un critère du poste n'a pas sa place dans une note ou un commentaire (voir Prendre des notes factuelles en entretien).
3. Fixer des durées de conservation et les faire appliquer
Les données ne peuvent pas être conservées indéfiniment : la CNIL demande une durée cohérente, justifiée et fixée à l'avance. Pour un vivier de candidats, elle indique que la conservation n'excède en principe pas deux ans, le candidat en étant informé (CNIL, choisir une durée de conservation). Candidia applique les durées suivantes à toutes les organisations, par une purge automatique ; elles ne se règlent pas par organisation. Une organisation peut supprimer un dossier plus tôt depuis la fiche du candidat, jamais le garder plus longtemps. Pour un candidat non retenu, une conservation de deux ans ne s'inscrit dans le repère de la CNIL que si le candidat en a été informé ; sinon, supprimez son dossier plus tôt. Ce tableau est un repère propre à Candidia, ni une durée légale, ni une qualification de votre traitement.
| Type de donnée | Durée | Point de départ |
|---|---|---|
| Enregistrements d'entretien (audio, vidéo et transcription) | 6 mois | Date de réalisation de la phase indiquée par le recruteur, à défaut la date de fermeture de la phase, à défaut la date de dépôt du document |
| Dossier d'un candidat (entretiens, grilles, quiz, CV et lettre) | 2 ans | Après la décision finale ; en l'absence de décision, après le dernier contact |
| Candidat sans entretien (jamais ouvert, ou tous supprimés) | 6 mois | Création du candidat ou suppression de son dernier entretien, CV et lettre inclus |
Le détail complet, y compris les cas particuliers, figure dans la politique de confidentialité et dans la page Sécurité. Voir aussi la définition de la durée de conservation.
4. Savoir répondre à une demande de droits
Un candidat peut demander l'accès à ses données, leur rectification, leur effacement ou s'opposer à leur traitement : voir le droit d'accès et le droit à la suppression. La CNIL détaille la marche à suivre dans répondre aux demandes d'exercice des droits. Selon la politique de confidentialité de Candidia, le candidat écrit à l'organisation ou à Candidia, qui transmet la demande à l'organisation sans y répondre à la place de l'organisation ; c'est l'organisation, responsable de traitement, qui doit répondre dans un délai d'un mois, prolongeable de deux mois pour une demande complexe (article 12 du RGPD). Depuis la fiche du candidat, un recruteur autorisé peut exporter le dossier ou le supprimer (fichiers compris) ; la suppression est irréversible, d'où l'intérêt d'exporter d'abord. Préparez ce parcours avant la première demande : qui la reçoit, qui répond, en combien de temps.
5. Encadrer les enregistrements et l'IA
Un entretien enregistré ou transcrit multiplie les données personnelles. La CNIL recommande, pour la vidéo, de privilégier les solutions respectueuses de la minimisation des données. Informez le candidat avant d'enregistrer, et gardez les enregistrements le moins longtemps possible. Dans Candidia, l'envoi d'un enregistrement audio ou vidéo exige de confirmer que le consentement du candidat a été recueilli ; cette case atteste de votre démarche, elle ne la remplace pas. Les fichiers audio et vidéo ne sont jamais transmis à l'IA : la transcription est faite sur le serveur de Candidia. Le texte transcrit, en revanche, peut être transmis à l'IA pour proposer un résumé ou une évaluation, après le remplacement décrit ci-dessous. Fichiers et transcriptions sont supprimés 6 mois après la date de la phase (première ligne du tableau).
Quand l'IA intervient, elle propose et le recruteur valide et note : voir Utiliser l'IA sans lui déléguer la décision. Avant tout envoi à l'IA, Candidia remplace le nom et le prénom du candidat, ainsi que les adresses e-mail et numéros de téléphone repérés, par des mentions génériques. Ce remplacement a des limites : employeur, ville, nom mal orthographié ou propos sur des tiers peuvent subsister. Le fournisseur de l'IA, Anthropic, est un sous-traitant de Candidia ; les données qui lui sont transmises sont traitées aux États-Unis, dans les conditions décrites dans la politique de confidentialité. La qualification de ces traitements relève de votre DPO ou d'un juriste.
6. Limiter les accès et garder des traces
La CNIL recommande de définir les personnes habilitées à accéder aux données selon leurs attributions : tous les collègues n'ont pas vocation à lire les candidatures. Dans Candidia, le contenu de chaque phase d'entretien a ses droits de lecture et d'écriture par rôle, et une phase non lisible apparaît comme « Accès refusé », sans nom ni contenu ; l'administrateur de l'organisation voit toutes les phases (voir Recruter en équipe : qui évalue quoi, qui voit quoi). La fiche du candidat, son CV et sa lettre restent lisibles par tous les membres de l'organisation : n'invitez que les personnes qui participent au recrutement. Documentez enfin vos pratiques : la CNIL demande de tenir le registre des activités de traitement et de réaliser une analyse d'impact si nécessaire (fiche 10 du guide du recrutement).
Erreurs fréquentes
- Ne pas dire au candidat quels outils servent à l'évaluer.
- Demander ou noter des éléments sans lien avec le poste.
- Garder les dossiers et les enregistrements sans durée définie.
- Ne pas savoir qui répond à une demande d'un candidat.
- Prendre une case « consentement » cochée pour une démarche d'information complète.
- Ouvrir les dossiers à des collègues qui n'ont pas besoin de les lire.