Les ressources humaines sont l'unité qui traite le plus de données personnelles dans une entreprise : CV, informations d'identité, rapports de santé, comptes bancaires, notes de performance. La plupart de ces données sont couvertes par le Règlement Général sur la Protection des Données (RGPD) et certaines sont considérées comme "sensibles", nécessitant une protection accrue. Cet article est conçu pour les équipes RH qui souhaitent comprendre l'essentiel sans lire des textes juridiques complexes.
Note : Ce contenu est à titre informatif général et ne remplace pas un conseil juridique. Pour des situations spécifiques à votre entreprise, consultez votre conseiller juridique.
Quelles données sont traitées en RH ?
- Identité et contact : Nom, numéro d'identité, adresse, téléphone, e-mail.
- État civil : Contrat, salaire, informations de sécurité sociale, enregistrements de congés.
- Éducation et expérience professionnelle : Diplôme, certificats, références, contenu du CV.
- Données sensibles : Rapport de santé, situation de handicap, casier judiciaire, adhésion syndicale, données biométriques (y compris systèmes d'entrée par empreinte digitale).
Les données sensibles sont une distinction critique : leur traitement nécessite généralement un consentement explicite et ne peuvent être conservées que dans les exceptions prévues par la loi. Par exemple, demander un rapport de santé ou un casier judiciaire à un candidat lors du recrutement n'est défendable que dans des cas exceptionnels requis par le poste.
Base légale : obtenir un consentement pour tout est une erreur
Une idée fausse courante est de demander le consentement de l'employé pour toutes les activités de traitement des données. Cependant, les données nécessaires à l'établissement et à l'exécution du contrat de travail ou les notifications légales obligatoires relèvent déjà d'autres bases légales que le consentement. De plus, il est difficile de prétendre que le consentement est donné "librement" dans une relation employé-employeur ; par conséquent, les opérations basées sur le consentement sont plus vulnérables en cas de contrôle.
En revanche, les utilisations non essentielles à la relation de travail nécessitent un consentement explicite. Exemples typiques : partager le CV d'un candidat avec d'autres entreprises, publier la photo d'un employé sur le site web, utiliser ultérieurement les données collectées lors du recrutement à d'autres fins.
Combien de temps peut-on conserver les CV des candidats ?
La loi ne fixe pas de durée unique ; le critère est la disparition de l'objectif pour lequel les données ont été traitées. Lorsque le poste pour lequel le candidat a postulé est pourvu, l'objectif prend fin. Si vous souhaitez conserver le CV dans votre base de données pour une évaluation future, c'est un objectif distinct et vous devez informer le candidat et obtenir son consentement. En pratique, l'approche généralement acceptée est la suivante :
- Durant le processus de candidature : jusqu'à ce que le poste soit pourvu.
- Conservation en base de données : avec le consentement explicite du candidat et pour une durée déterminée (généralement 1-2 ans), avec suppression automatique à l'expiration.
- En cas de retrait du consentement : suppression immédiate et information au candidat.
Quand l'obligation d'information s'applique-t-elle ?
Avant la collecte des données. Autrement dit, avant que le formulaire de candidature ne soit envoyé, le candidat doit savoir qui traite quelles données, à quelles fins, pour quelle raison légale, et quels sont ses droits. Le texte d'information et le texte de consentement sont des documents distincts ; les combiner dans une seule case à cocher invalide le consentement.
Checklist de conformité pour les équipes RH
- Les textes d'information pour les candidats et les employés sont-ils prêts ?
- Les traitements nécessitant un consentement explicite sont-ils approuvés séparément (pas de consentement global en une seule case) ?
- Un inventaire des données (quelles données, où, pour combien de temps) a-t-il été établi ?
- Les durées de conservation sont-elles définies et la suppression est-elle effectuée à l'expiration ?
- L'accès aux dossiers RH est-il limité par rôle ? Existe-t-il un dossier commun accessible à tous ?
- Un contrat de traitement des données a-t-il été signé avec les logiciels utilisés ?
- En cas de violation de données, qui doit être informé, dans quel délai et par écrit ?
- Les données sensibles sont-elles conservées séparément et de manière plus restrictive ?
- Que faire des données d'un employé qui quitte l'entreprise est-il défini ?
- Un processus de réponse aux demandes d'information des employés (accès, suppression) est-il en place ?
Les trois erreurs les plus fréquentes
- Conservation illimitée des CV dans une boîte mail commune : La suppression n'est pas possible, l'accès ne peut être restreint, le suivi des accès est impossible.
- Consentement global avec une seule case à cocher : Lorsque l'information, le consentement et l'autorisation de communication électronique sont combinés en une seule case, aucun n'est valide.
- Absence de réaction au retrait du consentement : Si les données d'un candidat qui retire son consentement restent accessibles dans le système, la conformité n'est que théorique.
Résoudre ces trois points au niveau du système est plus sûr que de rédiger des procédures. Dans le pool de CV de ProCvLab, les entreprises ne peuvent voir que les candidats ayant donné leur consentement explicite pour le partage ; lorsque le consentement est retiré, l'enregistrement est automatiquement supprimé du pool. Votre banque de CV personnelle est spécifique à votre entreprise et n'est pas accessible à l'extérieur.
Prochaine étape : Nous publions nos propres textes d'information sur notre page d'information RGPD; vous pouvez les consulter pour structurer vos propres textes.