S’il est un moment où on se dévoile, c’est au moment de solliciter un emploi : CV, photo, prétentions salariales, tests de personnalité…. Qu’en est-il du RGPD ? La CNIL propose des lignes directrices pour y voir plus clair. Certains devront revoir leur manière de faire. (Par Charles Cuvelliez, professeur à l'Ecole polytechnique de Bruxelles)
Par Charles Cuvelliez (professeur à l'Ecole polytechnique de Bruxelles (université de Bruxelles))
Un recruteur, c’est l’employeur lui-même, un cabinet de recrutement, une société d’intérim. Cela fait du monde. La collecte de données par ces derniers ne peut servir qu’à apprécier la capacité des candidats à occuper l’emploi proposé et leurs aptitudes professionnelles (le traitement légitime). Ne demandez pas la composition de la famille, les mensurations, le poids, la taille sauf pour des postes particuliers comme mannequin, pilote de course, jockey. Ces données n’ont rien à voir avec la finalité du traitement : recruter la personne la plus apte,explique la CNIL dans son projet soumis à consultation. Vous pourrez demander certaines de ces informations, mais plus tard, pour établir le contrat (autre traitement légitime). Les candidatures spontanées posent un problème, car à quel traitement légitime les rattacher puisqu’il n’y pas d’offres à leur relier ?
Mais toute cette manne de données pour finalement un seul candidat retenu, le recruteur peut-il la réutiliser ? Le RGPD dit qu’il faut un lien entre le traitement initial et le traitement ultérieur de ces données. Un recruteur ne pourra pas réutiliser les données des candidats qui ont répondu à une offre particulière d’emploi pour leur faire une offre commerciale. Mais une agence d’intérim pourra réutiliser les fichiers de ses candidats pour analyser et optimiser son processus de placement de candidats. La constitution d’une CV-thèque ne va pas de soi non plus, dit la CNIL.
Pour un recrutement, il y a aussi beaucoup d’intermédiaires : employeurs directs, cabinets de recrutement, plateformes web, sociétés d’intérim, organisateurs de salons, éditeurs de logiciels. Ces acteurs ne traitent pas tous des informations personnelles. C’est le cas des éditeurs de logiciels qui vendent leur programme avant qu’il ne soit rempli de données de candidats. Si ces éditeurs font ensuite la maintenance de ce logiciel rempli de CV, ce n’est plus le cas. Ils deviennent sous-traitants. L’exploitant d’une plateforme web qui met en relation employeurs et candidats est responsable du traitement de données privées parce qu’il maintient des comptes personnels nécessaires aux services qu’il propose.
Un traitement de données se fait dans le cadre de l’exécution d’un contrat dit le RGPD. Mais quel contrat, s’agissant de la (future éventuelle) relation entre un recruteur et un candidat ? La CNIL évoque prudemment une relation précontractuelle, à l’initiative du candidat qui postule.
Le consentement, autre pierre angulaire du RGPD, pour traiter les données personnelles pose un problème dans le recrutement puisqu’un refus de tel ou tel traitement peut affecter les chances d’obtenir un emploi.
Un employeur ne peut pas interroger des références (le DRH de l’employeur précédent, un ex-collègue) à l’insu du candidat. On ne peut pas demander un bulletin de paie comme justification du salaire antérieur, mais cela n’empêche pas le candidat de le transmettre à sa propre initiative quitte à cacher les infos non pertinentes. C’est le principe de minimisation des données.
Interdit également de se transmettre des CV en mode : "qu’en penses-tu ?" entre collègues ou même dans son réseau professionnel. Seuls des employés habilités au sein des HR peuvent y avoir accès. Les candidats doivent savoir qui aura accès à ses données et en particulier quels sous-traitants.
Les droits RGPD des candidats sont d’abord le droit d’accès, c’est-à-dire avoir une copie de ses données, disposer d’informations relatives au traitement de son dossier (finalités poursuivies, durées de conservation…). La CNIL propose que le candidat puisse demander les données qui ont servi au recruteur à prendre une décision (y compris les échanges entre les membres du jury, les résultats des évaluations professionnelles) : voilà qui fera grincer.
La durée de conservation doit être limitée, mais la CNIL admet l’archivage intermédiaire pour pouvoir régler un éventuel contentieux tel qu’une action en discrimination. Les recruteurs peuvent être amenés à mettre en œuvre une analyse d’impact relative à la protection des données en cas de risque élevé pour les droits et libertés. Pour la CNIL, il s’agit de traitements établissant des profils de personnes basés sur les réseaux sociaux, sur les bases de données publiques pour pourvoir des postes à responsabilité, l’utilisation d’algorithmes prédictifs pour identifier les offres d’emploi en adéquation avec les compétences affichées dans le CV.
Que penser des tests de personnalité, de mises en situation et autres jeux de rôle ? Ils doivent présenter un lien objectif, direct et nécessaire à l’appréciation de la capacité d’un candidat à occuper l’emploi proposé. Et de donner le contre-exemple d’un candidat qu’on place à son insu dans une salle d’attente avec des comédiens ou d’autres candidats pour le tester par rapport à sa prise d’initiative.
Si on utilise la vidéo dans le recrutement, il s’agit de données personnelles sur support multimédia. La finalité du traitement sera légitime si la vidéo est utilisée pour éviter des déplacements et de capter de l’info des entretiens en vue d’une analyse objective. Et puis, c’est parfois le candidat qui d’initiative utilise la vidéo.
Que dire aussi des logiciels de tri, de classement et d’évaluation des CV : on imagine bien les réserves de la CNIL puisqu’il y a le risque de décisions fondées sur un traitement 100 % automatisé. Un recruteur ne consultera en effet qu’un nombre très restreint de profils qui lui sont présentés par un logiciel. Même si le candidat donne son consentement, ce traitement automatisé n’est pas justifié.
Seul cas de figure tolérable : si le nombre de candidatures reçues pour un poste est trop important. On pense aux millions de CV reçus par Google. Mais les candidats (évincés) doivent alors pouvoir demander une intervention humaine.
Vient ensuite la consultation des données sur internet : pour la CNIL, c’est un traitement de données à caractère personnel, que ces données proviennent d’internet ou de réseaux sociaux, même en accès public. C’est ce qu’on en fait qui compte par leur libre accès. Les informations recherchées doivent avoir un lien direct et nécessaire avec la capacité du candidat à occuper le poste ou ses aptitudes professionnelles. Gare à celui qui recherche des informations sur les opinions politiques, mais pourquoi ne pas rechercher des comportements dangereux par rapport au caractère éthique du poste à pourvoir. Il faut tenir compte des restrictions imposées par les plateformes elles-mêmes qui rendraient la collecte d’information illégale même si elle est techniquement possible. En tout cas si un employeur veut screener un candidat via internet, il doit le penser à l’avance ce qu’il va/veut chercher et pourquoi. Il doit documenter comment ce screening intervient dans le processus de recrutement. Il n’est pas question de demander à un collègue : "Regarde donc ce profil-ci et ce que tu trouves sur Internet…".
Le candidat doit être informé que ses informations en ligne seront consultées puisqu’il s’agit d’un traitement de données privées.
Si un recruteur consulte LinkedIn à la recherche de candidats susceptibles d’être intéressés par une offre d’emploi, seuls ceux dont le profil en perspective de futurs contacts a été enregistré doivent être informés. Si le profil a été simplement consulté, ce n’est pas nécessaire : c’est trop lourd à mettre en place et une simple consultation a peu d’impact sur la personne en question.
Organisées sous forme de fiches, ces lignes directrices vont, à n’en pas douter, générer de nombreuses réactions du secteur, car elles les forceront à remettre à plat pas mal de pratiques ancestrales…
Charles Cuvelliez est professeur à l'Ecole polytechnique de Bruxelles (université de Bruxelles).
Pratique
Services
Le Groupe
Tous droits réservés – Les Echos 2022
