Données des candidats en recrutement : ce que dit le RGPD

À chaque fois qu'une entreprise publie une offre d'emploi, reçoit un curriculum vitæ ou accède au profil professionnel d'un candidat sur un réseau social, elle traite des données à caractère personnel au sens de l'article 4, paragraphe 2, du règlement (UE) 2016/679 (RGPD). Pourtant, beaucoup d'organisations ignorent les obligations concrètes que cela implique : quelle base juridique couvre le traitement des données des candidats, combien de temps les CV de ceux qui n'ont pas été retenus peuvent-ils être conservés, quelles informations doivent être fournies avant la collecte du CV et quelles limites le RGPD impose-t-il lors de la consultation de profils sur les réseaux sociaux. Cet article aborde chacune de ces questions avec rigueur normative et sans jargon inutile.

Quelles données à caractère personnel sont traitées dans un processus de recrutement ?

Un processus de recrutement implique, au minimum, le traitement des données à caractère personnel suivantes relatives aux candidats :

• Données d'identification : nom, prénom, adresse postale, numéro de téléphone, adresse électronique.
• Données de formation et d'expérience professionnelle : diplômes, historique professionnel, langues, compétences, certifications.
• Photographie, lorsque le candidat l'inclut dans son CV.
• Notes et évaluations générées par le recruteur pendant ou après l'entretien.
• Références d'employeurs précédents, si elles sont demandées et vérifiées.
• Données obtenues sur les réseaux sociaux ou des sources publiques, tels que les profils LinkedIn, les portfolios en ligne ou les publications sur internet.

Dans les secteurs réglementés — sécurité privée, transport, services financiers, santé — le processus peut s'étendre aux données de santé, aux casiers judiciaires ou aux tests psychotechniques, catégories soumises à des règles plus strictes et analysées dans la section consacrée aux catégories particulières de données.

Base juridique du traitement des données des candidats (article 6 RGPD)

L'article 6, paragraphe 1, du RGPD exige que tout traitement de données à caractère personnel repose sur une base juridique légitime. Dans le recrutement, les deux bases les plus pertinentes sont les mesures précontractuelles et l'intérêt légitime.

Mesures précontractuelles : article 6, paragraphe 1, point b) RGPD

Lorsque le candidat demande activement à participer à un processus de sélection — en envoyant son CV en réponse à une offre publiée —, le traitement de ses données est couvert par l'article 6, paragraphe 1, point b) du RGPD. Cette disposition autorise le traitement lorsqu'il « est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ». Dans ce cas, il n'est pas nécessaire d'obtenir le consentement du candidat pour traiter ses données aux fins spécifiques du processus de sélection : la demande de participation elle-même constitue la base suffisante.

Intérêt légitime : article 6, paragraphe 1, point f) RGPD

Lorsque l'entreprise reçoit un CV de façon spontanée — sans qu'il existe une offre publiée à laquelle le candidat répond — ou lorsqu'elle souhaite conserver les données des candidats non retenus pour de futures vacances de postes, la base juridique la plus appropriée est l'intérêt légitime du responsable du traitement (art. 6, par. 1, point f) RGPD). L'application de cette base exige que l'intérêt soit concret et réel, et qu'il ne soit pas supplanté par les droits et intérêts des candidats, ce qui impose de réaliser une mise en balance raisonnée — le dénommé test de mise en balance ou balancing test.

Certaines organisations choisissent de solliciter le consentement explicite du candidat pour conserver son CV dans une base de candidatures. C'est une solution valable, mais elle présente l'inconvénient que le consentement est révocable à tout moment, ce qui oblige à supprimer les données si le candidat le retire. C'est pourquoi un intérêt légitime correctement documenté est souvent plus robuste pour les candidatures spontanées.

Si vous avez des doutes sur la base juridique à appliquer à votre processus de recrutement ou sur la manière de documenter le test de mise en balance, l'équipe d'adéquation au RGPD de Summum Consultoría peut vous accompagner dans l'analyse et l'élaboration de la documentation nécessaire.

Information des candidats : obligations de l'article 13 RGPD

L'article 13 du RGPD définit les informations que le responsable du traitement doit fournir à la personne concernée au moment de la collecte de ses données à caractère personnel. Dans le contexte du recrutement, cela signifie que l'entreprise doit informer le candidat — avant qu'il envoie son CV ou remplisse le formulaire de candidature — des éléments suivants :

• Identité et coordonnées du responsable du traitement.
• Coordonnées du délégué à la protection des données (DPD), le cas échéant.
• Finalités du traitement et base juridique (processus de sélection pour le poste X ; mesures précontractuelles ou intérêt légitime).
• Si les données seront conservées pour de futures vacances de postes et pendant combien de temps.
• Si les données seront communiquées à des tiers : sociétés du groupe, cabinets de recrutement externes, plateformes de gestion des candidats (ATS).
• Droits du candidat : accès, rectification, effacement, limitation du traitement, portabilité et opposition.
• Droit d'introduire une réclamation auprès de l'Agence espagnole de protection des données (AEPD — Agencia Española de Protección de Datos).

Ces informations doivent être rédigées dans un langage clair et compréhensible. La pratique la plus courante consiste à les inclure dans la clause de protection des données annexée au formulaire de candidature ou sur la page « carrières » du site web de l'entreprise. Ne pas les inclure — ou le faire de manière incomplète — constitue une infraction à l'article 83 du RGPD.

Candidature active et candidature spontanée : tableau comparatif

Durée de conservation des candidatures non retenues

L'une des questions les plus fréquentes en matière de protection des données dans le recrutement est de savoir combien de temps une entreprise peut conserver le CV d'un candidat non retenu. Le RGPD ne fixe pas de délai précis : il établit le principe de limitation de la conservation (article 5, paragraphe 1, point e)), qui exige que les données ne soient pas conservées plus longtemps que nécessaire aux fins du traitement.

L'AEPD a indiqué, à titre de critère orienteur, qu'un an est un délai raisonnable pour conserver les données des candidats non retenus lorsque l'entreprise souhaite les maintenir dans sa base pour de futures vacances. Ce critère n'agit pas comme un délai légal maximum inamovible, mais fonctionne comme une référence de bonne pratique que l'AEPD elle-même peut prendre en compte en cas d'enquête.

À l'expiration de ce délai, l'entreprise doit effacer ou anonymiser les données. L'effacement doit être effectif et s'étendre à l'ensemble des systèmes dans lesquels les données sont stockées : l'ATS, les courriels, les dossiers locaux et toute sauvegarde accessible. Il ne suffit pas d'archiver les CV dans un dossier « anciens candidats ».

Dans la pratique, de nombreuses organisations configurent des alertes automatiques dans leur système de suivi des candidats pour être averties à l'approche du délai d'effacement, ou pour demander au candidat de renouveler son consentement avant que les données ne soient supprimées. Cette mesure est simple à configurer dans la plupart des ATS du marché et réduit significativement le risque de conservation indue.

Réseaux sociaux et données des candidats : quand est-il licite de consulter des profils ?

La consultation de profils de candidats sur LinkedIn, Twitter/X, Instagram ou d'autres réseaux sociaux lors d'un processus de recrutement est soumise au RGPD lorsque le recruteur collecte, note ou traite de quelque manière que ce soit les informations ainsi obtenues. Le fait que les données soient publiques ne les rend pas librement utilisables à toutes fins : le principe de limitation des finalités (art. 5, par. 1, point b) RGPD) exige que les données ne soient utilisées qu'aux fins pour lesquelles elles ont été initialement collectées. Un candidat qui publie son parcours professionnel sur LinkedIn le fait pour interagir dans un cadre professionnel, et non nécessairement pour être évalué dans n'importe quel processus de sélection.

Les critères devant guider l'utilisation des réseaux sociaux dans le recrutement sont les suivants :

• Pertinence et proportionnalité : seules les informations professionnelles directement pertinentes pour le poste à pourvoir doivent être consultées et notées. Consulter le profil Instagram d'un candidat pour rechercher des informations sur sa vie personnelle — affiliation politique, orientation sexuelle, état de santé, activisme — n'a pas de base juridique licite et peut constituer une discrimination.
• Transparence : le candidat doit être informé de la consultation de ses profils sur les réseaux sociaux professionnels. Cette information doit figurer dans la clause de protection des données du processus de sélection.
• Documentation : si le recruteur note des informations obtenues sur un réseau social, cette note fait partie du dossier de candidature et est soumise au droit d'accès du candidat. Le candidat peut demander quelles informations ont été collectées à son sujet et de quelles sources.
• Limite sur les réseaux sociaux à vocation personnelle : consulter des profils sur des réseaux à usage principalement personnel — Facebook en mode privé, TikTok, Snapchat — pour obtenir des informations intimes ou idéologiques sur le candidat n'a pas de base juridique licite et peut impliquer la collecte illicite de catégories particulières de données.

Catégories particulières de données et non-discrimination (article 9 RGPD)

L'article 9 du RGPD accorde une protection renforcée à certaines catégories de données à caractère personnel : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données génétiques, données biométriques traitées aux fins d'identifier une personne physique de manière unique, données concernant la santé, et données concernant la vie sexuelle ou l'orientation sexuelle. Le traitement de ces catégories est en principe interdit, sauf si l'une des exceptions prévues à l'article 9, paragraphe 2, du RGPD est applicable.

Dans le contexte du recrutement, cela a des implications directes et incontournables :

• Une entreprise ne peut pas demander aux candidats des informations sur leur état de santé, leur grossesse, leur handicap, leur appartenance syndicale ou leur orientation sexuelle, sauf dans les cas expressément prévus par la loi (par exemple, des données de santé pertinentes pour l'aptitude professionnelle dans des secteurs tels que le transport ou la médecine, réglementés par une législation sectorielle spécifique).
• Si un candidat inclut volontairement dans son CV des informations relevant d'une catégorie particulière — comme un handicap —, l'entreprise ne doit pas les traiter au-delà de ce qui est strictement nécessaire pour adapter le processus si le candidat le demande, et doit documenter la base du traitement.
• Le recours à des systèmes d'intelligence artificielle ou à des algorithmes de présélection doit être soigneusement évalué pour détecter d'éventuels biais susceptibles de générer indirectement une discrimination fondée sur l'origine, le sexe ou d'autres caractéristiques protégées.

En outre, l'article 64, paragraphe 4, point d) du Statut des travailleurs (Estatuto de los Trabajadores), introduit par la loi 12/2021 du 28 septembre, dispose que les représentants des travailleurs doivent être informés des profils élaborés à partir des données des travailleurs, ainsi que de tout système d'intelligence artificielle susceptible de les affecter, y compris ceux utilisés dans la sélection du personnel. Cette obligation d'information est déclenchée avant le déploiement du système, et non une fois qu'il est déjà en service.

Droits des candidats pendant le processus de recrutement

Les candidats sont des personnes concernées au sens du RGPD et peuvent exercer leurs droits à tout moment du processus. L'entreprise doit disposer d'un canal clair et accessible pour traiter ces demandes et répondre dans les délais fixés par le RGPD : un mois en règle générale, prorogeable à trois mois dans les cas de complexité ou de volume élevé de demandes.

Les droits les plus pertinents dans le domaine du recrutement sont :

• Droit d'accès (art. 15 RGPD) : le candidat peut demander quelles données l'entreprise détient à son sujet, à quelle fin, pendant combien de temps et si elles ont été communiquées à des tiers.
• Droit de rectification (art. 16 RGPD) : si certaines données sont inexactes ou incomplètes, le candidat peut en demander la correction.
• Droit à l'effacement (art. 17 RGPD) : le candidat peut demander la suppression de ses données lorsque, par exemple, il ne souhaite plus participer au processus ou ne veut pas que son CV reste dans la base de candidatures.
• Droit d'opposition (art. 21 RGPD) : lorsque le traitement est fondé sur l'intérêt légitime du responsable, le candidat peut s'y opposer à tout moment. L'entreprise doit cesser le traitement sauf si elle démontre des motifs légitimes impérieux qui prévalent sur les intérêts du candidat.
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22 RGPD) : si l'entreprise utilise des systèmes de présélection automatique produisant des décisions ayant des effets juridiques ou affectant significativement le candidat, celui-ci a le droit de demander une intervention humaine, d'exprimer son point de vue et de contester la décision.

Si votre organisation a mis en place ou est en train de mettre en place un système de gestion des candidats, nous vous recommandons de vérifier que les procédures de traitement des droits des personnes sont correctement documentées. Le service d'adéquation au RGPD de Summum Consultoría comprend l'examen et la mise en œuvre de ces procédures, adaptées à la taille et au secteur de chaque entreprise.

Contrats de sous-traitance : ETT, cabinets de recrutement et plateformes ATS

Lorsque le recrutement est externalisé à une entreprise de travail temporaire (ETT), à un cabinet de ressources humaines ou à une plateforme de gestion des candidats (ATS en mode SaaS), se pose la question de savoir qui est le responsable du traitement et en quelle qualité le prestataire agit.

En règle générale, le prestataire externe agit en tant que sous-traitant lorsqu'il traite des données de candidats pour le compte de l'entreprise cliente et selon ses instructions. Dans ce cas, il est obligatoire de conclure un contrat de sous-traitance conforme à l'article 28 du RGPD, régissant les instructions du responsable, les mesures de sécurité applicables, la sous-traitance ultérieure, et la restitution ou la suppression des données à la fin du service. Sans ce contrat, l'entreprise cliente commet une infraction pouvant relever du régime de sanctions de l'article 83 du RGPD.

Dans certains cas — par exemple, lorsqu'un cabinet de recrutement dispose de sa propre base de candidats et agit en toute autonomie pour les sourcer —, il peut être considéré qu'il agit en tant que responsable du traitement indépendant. Les frontières ne sont pas toujours nettes et doivent être analysées au cas par cas, en prêtant une attention particulière à celui qui décide des finalités et des moyens du traitement.

Régime des sanctions : article 83 RGPD et LOPDGDD

Le non-respect des obligations du RGPD dans le contexte du recrutement peut entraîner des sanctions administratives. L'article 83 du RGPD distingue deux niveaux :

• Infractions moins graves (art. 83, par. 4 RGPD) : amendes pouvant atteindre 10 000 000 EUR ou, pour une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Figurent notamment dans cette catégorie le non-respect des obligations du sous-traitant, l'absence de contrat de sous-traitance, ou le non-respect des conditions applicables au consentement.
• Infractions plus graves (art. 83, par. 5 RGPD) : amendes pouvant atteindre 20 000 000 EUR ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant là encore retenu. Entrent dans cette catégorie les violations des principes fondamentaux du traitement (y compris la limitation des finalités et la limitation de la conservation), le traitement sans base juridique, ou le non-respect de l'obligation d'information.

La LOPDGDD (loi organique 3/2018) module et précise ces sanctions dans le cadre de l'ordre juridique espagnol et peut en outre entraîner l'imposition de mesures correctives — telles que la suspension du traitement ou la suppression des données — indépendamment des amendes. Au-delà des sanctions administratives, un traitement discriminatoire des données des candidats peut engager la responsabilité de l'entreprise sur le plan du droit du travail et du droit civil.

Questions fréquentes

Peut-on demander au candidat de nous autoriser à conserver son CV pour de futures offres ?

Oui. C'est une pratique courante et valable, à condition que le consentement soit libre, spécifique, éclairé et univoque (art. 4, point 11 RGPD). L'entreprise doit expliquer clairement à quelle fin les données seront conservées, pendant combien de temps et comment le candidat peut révoquer son consentement. Le consentement tacite et les cases précochées ne sont pas valables. Rappelons que le candidat peut retirer son consentement à tout moment, ce qui oblige à supprimer ses données de tous les systèmes dans lesquels elles sont stockées.

Combien de temps peut-on conserver le CV d'un candidat non retenu ?

Le RGPD ne fixe pas de délai précis, mais le critère orienteur de l'AEPD indique qu'un an est un délai raisonnable pour conserver des candidatures non retenues dans une base de talents. À l'expiration de ce délai, les données doivent être effacées ou anonymisées. Si la base juridique est le consentement, le délai sera celui qui a été communiqué au candidat lors de la collecte dudit consentement. Dans les deux cas, l'effacement doit être effectif et s'étendre à l'ensemble des systèmes dans lesquels les données sont stockées.

Est-il licite de rechercher les candidats sur Google ou sur leurs réseaux sociaux ?

Consulter le profil professionnel d'un candidat sur LinkedIn lors d'un processus de recrutement peut s'inscrire dans l'intérêt légitime de l'employeur, à condition de se limiter aux informations professionnelles pertinentes pour le poste et d'informer le candidat de cette pratique dans la clause de protection des données. Consulter des profils sur des réseaux à vocation principalement personnelle — Instagram, Facebook, TikTok — pour obtenir des informations sur la vie privée n'a pas de base juridique licite et peut entraîner la collecte illicite de catégories particulières de données (santé, idéologie, orientation sexuelle), dont le traitement est interdit par l'article 9 du RGPD, sauf exceptions limitativement énumérées.

Que se passe-t-il si un candidat exerce son droit à l'effacement pendant le processus actif ?

Si le candidat demande l'effacement de ses données pendant le processus de recrutement, l'entreprise doit évaluer si l'un des motifs prévus à l'article 17 du RGPD est réuni. En règle générale, si le traitement est fondé sur des mesures précontractuelles (candidature active à une offre), l'entreprise peut refuser l'effacement tant que le processus est en cours, mais doit en informer le candidat avec la motivation correspondante. Si le candidat retire sa candidature, il n'existe plus de base pour poursuivre le traitement et les données doivent être effacées. Si le traitement est fondé sur l'intérêt légitime, le candidat peut s'y opposer en vertu de l'article 21 du RGPD, et l'entreprise doit cesser le traitement sauf si elle démontre des motifs légitimes impérieux.

Si votre organisation examine ses processus de recrutement pour vérifier que le traitement des données des candidats est conforme au RGPD et à la LOPDGDD, l'équipe de protection des données de Summum Consultoría, avec des bureaux en Castille-et-León (Valladolid, Burgos, Palencia et Aranda de Duero) et à Las Palmas de Gran Canaria, peut vous accompagner dans la mise en conformité. Consultez notre service d'adéquation au RGPD et demandez une évaluation initiale sans engagement.