Vous avez aujourd’hui probablement déjà entendu parler des nouvelles lois européennes sur la protection de la vie privée. Peut-être avez-vous même lu des articles concernant leur impact sur comment les entreprises traitent les données des consommateurs. Mais en avez-vous trouvé abordant la façon dont le RGPD est appliqué au recrutement ?
Les processus de recrutement impliquent le traitement d’un large volume de données. Ils seront donc également fortement affectés par le RGPD. Dans cet article, nous vous expliquons comment concilier RGPD et recrutement de façon pratique.
Le RGPD appliqué au recrutement
La collecte et le traitement des données des candidats, ainsi que la prise de contact à froid par e-mail, sont des composants essentiels du processus de recrutement. En utilisant différents outils, vous pouvez facilement rechercher sur le Web des CV et des adresses e-mail de candidats potentiels. Il existe également de nombreuses plateformes sur lesquelles il est possible d’acheter des bases de données complètes de CV.
Les données des candidats sont devenues le moteur du marché du recrutement. Dans la plupart des cas, ces données sont cependant acquises et utilisées sans le consentement des candidats, ou à leur insu.
Pour lutter contre ces pratiques, l’Union européenne (UE) a mis en place le Règlement Général sur la Protection des Données (RGPD). Entré en vigueur en mai 2018, le RGPD affecte toutes les entreprises qui traitent les données des citoyens de l’UE. Et ce même si ces derniers ne résident pas dans l’UE. Le non-respect de ce règlement peut être sanctionné par une amende de 20 millions d’euros, ou plus.
Le RGPD va profondément secouer les entreprises qui s’appuient sur le traitement des données personnelles, comme celles du marché du recrutement. Le règlement s’applique à toutes les données des candidats que vous avez recueillies, avant ou après son entrée en vigueur. Nous souhaitons vous aider à y voir plus clair. Nous abordons donc ici certains des points phares du RGPD, appliqués au recrutement et à l’acquisition de talents.
*Clause de non-responsabilité : les informations suivantes sont présentées à titre informatif uniquement. Elles représentent essentiellement notre point de vue. Il est vivement recommandé de vous faire assister par une équipe juridique informée sur le sujet. Nous n’assumons aucune responsabilité légale quant à l’exactitude de toute information présentée d’une quelconque façon dans cet article.
Définitions à connaître
Commençons par appliquer certaines expressions utilisées dans le RGPD au contexte du recrutement.
- L’expression « personnes concernées » fait référence à vos candidats. L’expression « donnée personnelle » désigne toute information pouvant être utilisée pour identifier la personne concernée. Il pourrait s’agir, par exemple, d’un nom, d’un e-mail, ou d’un numéro de téléphone.
- Les « responsables du traitement » sont les entités qui choisissent le type de données personnelles à traiter, et la façon de les traiter.
- Les « sous-traitants » sont les logiciels de suivi des candidatures ou toute entité légalement reconnue qui traite des données personnelles pour le compte d’un responsable du traitement.
- Le « traitement » fait référence à toute action affectant les données personnelles, d’une façon ou d’une autre — comme le recueil, l’enregistrement, le tri, le stockage, l’utilisation, et la suppression.
De façon générale, le RGPD vise à transmettre le pouvoir aux personnes concernées — les candidats — en spécifiant des règles strictes pour les « responsables du traitement » et les « sous-traitants ».
Comment le RGPD impacte-t-il les candidats ?
Le RGPD donne plus de contrôle aux candidats sur leurs données, une nouvelle tendance à prendre en compte dans votre stratégie de recrutement. Les données personnelles ne peuvent plus être échangées sans leur consentement ni à leur insu.
Voici les six droits dont dispose chaque personne concernée, énumérés dans l’ordre suivi dans le RGPD :
- Droit d’accès de la personne concernée : les candidats peuvent demander à être informés de la façon dont leurs données vont être traitées, ou même demander à voir l’ensemble de leurs données personnelles (que vous avez recueillies).
- Droit de rectification : les candidats peuvent vous demander de corriger ou de mettre à jour leurs données dans votre base de données de candidats.
- Droit à l’effacement (« Droit à l’oubli ») : les candidats peuvent vous demander de supprimer leurs données de votre base de données de candidats.
- Droit à la limitation du traitement : les candidats peuvent vous demander de suspendre le traitement de leurs données dans votre base de données de candidats.
- Droit à la portabilité des données : les candidats peuvent vous demander d’exporter toutes leurs données depuis votre base de données de candidats.
- Droit d’opposition : les candidats peuvent vous demander de cesser le traitement de leurs données, indéfiniment.
Pour respecter les droits des candidats, il vous faudra, en tant que responsable du traitement, revoir de façon exhaustive votre boîte à outils de recrutement, et mettre à jour votre processus dans sa totalité.
Comment le RGPD impacte-t-il les employeurs et les agences de recrutement ?
Le RGPD s’articule essentiellement autour d’un point central : le consentement de la personne concernée. En tant que responsable du traitement, vous allez devoir obtenir l’autorisation des candidats pour :
- recueillir leurs données,
- et traiter ces données à des fins de recrutement (autorisation pour les sous-traitants agissant en votre nom).
Les candidats doivent par ailleurs pouvoir retirer leur consentement très facilement. Quand cela se produit, vous devez arrêter de traiter leurs données et supprimer celles-ci à leur demande.
Si vous avez une plateforme de recrutement en ligne, il est nécessaire d’intégrer des formulaires de consentement et d’expliciter clairement votre processus.
Comment le RGPD impacte-t-il les logiciels de suivi de candidatures et les logiciels de recrutement ?
La plupart des ATS sont classés comme des sous-traitants selon le RGPD. Ils traitent les données des candidats pour le compte des employeurs ou des agences de recrutement. Pour que vos pratiques soient conformes au RGPD, toutes les opérations des logiciels de recrutement doivent être régies par un contrat, en vertu des lois de l’UE. Ce contrat devra exiger du logiciel de recrutement de :
- Traiter les données des candidats selon les instructions fournies par le(s) responsable(s) du traitement.
- Mettre en œuvre les mesures nécessaires pour protéger les données des candidats, y compris :
- Le cryptage des données des candidats, ou leur dissimulation à travers des pseudonymes.
- Garantir la capacité à maintenir un service et un système de traitement de haute qualité.
- Assurer la sécurité du traitement à travers divers tests et évaluations périodiques des différentes mesures déployées.
- Garantir la capacité à restaurer rapidement l’accès des candidats aux données, en cas d’incidents.
- Supprimer sur demande toutes les données des candidats, ou de les renvoyer au(x) responsable(s) du traitement.
- Démontrer au(x) responsable(s) du traitement sa conformité aux règles du RGPD.
Si le logiciel de gestion des candidatures s’intègre avec d’autres sous-traitants, ceux-ci devront également se conformer au RGPD.
RGPD : nos 7 conseils pour avoir un recrutement conforme
Après avoir vu comment le RGPD impacte le recrutement, il faut maintenant réfléchir à comment vous pouvez vous y conformer. L’initiative la plus importante pour être en conformité avec le RGPD consiste à mettre en place une infrastructure de recrutement capable de gérer correctement les données des candidats.
Voici quelques conseils pour y parvenir.
1. Obtenez un deuxième consentement
Généralement, les candidats consentent au traitement ponctuel de leurs données lorsqu’ils postulent à une offre d’emploi. Mais les entreprises stockent souvent les données des candidats en vue de futurs besoins de recrutement.
Pour éviter tout problème, nous vous recommandons fortement de demander une deuxième approbation aux candidats avant de stocker leurs CV dans votre base de données pour une utilisation ultérieure.
Par exemple, lorsque vous informez par e-mail un candidat du rejet de sa candidature, demandez-lui son consentement avant de stocker ses données. De cette façon, vous saurez avec certitude si les candidats acceptent d’être ajoutés à votre vivier de candidats. Cela vous permettra de garder les données des candidats en toute légalité pour y revenir plus tard. Ceux-ci seront généralement satisfaits de savoir qu’ils peuvent être recontactés dans le futur.
2. Ajustez vos politiques pour mieux informer les candidats
Assurez-vous de mettre fréquemment à jour votre politique de confidentialité. Il vous faut également définir le processus de traitement des données dans le cadre de votre processus de recrutement. Ce n’est pas une mince affaire.
Vous devez être transparent en ce qui concerne le type de données collectées et la raison justifiant leur collecte. Il serait judicieux d’inclure les six droits des candidats dans votre politique de confidentialité.
Présentez-les de façon claire, et séparément des autres informations. Également, la façon dont vous traitez les données des candidats doit être expliquée clairement et facile à trouver.
3. Établissez un accord de partage de données (conforme au RGPD) avec vos partenaires
Êtes-vous une agence de recrutement qui partage des profils de candidats avec ses clients ? Ou, partagez-vous des profils de candidats entre différentes agences, sous la tutelle d’une société mère ? Si oui, savez-vous qui est responsable en cas de violation des données à caractère personnel ?
Pour éviter tout litige, vous devriez mettre en place un accord de partage de données pour rester conforme aux lois du RGPD.
L’Article 28.3 stipule que l’ensemble des activités de traitement menées par un sous-traitant doit être régi par un contrat avec le responsable du traitement. Le contrat doit définir les conditions d’utilisation des données personnelles, qui sont :
- L’objet du traitement
- La durée du traitement
- La nature et la finalité du traitement
- Le type de données à caractère personnel
- Les catégories de personnes concernées
- Les obligations et droits du responsable du traitement
Assurez-vous que le contrat mentionne les cas de violation, ainsi que les responsabilités de chaque partie.
4. Collaborez avec des sous-traitants établis dans l’UE
Le RGPD souhaite sanctionner le non-respect des obligations qu’il impose, et ce, même en dehors des frontières de l’Union Européenne. Chaque société qui traite avec l’UE devra se conformer au RGPD — même si elle ne traite qu’avec un seul partenaire établi dans un pays de l’UE. En tant que responsable du traitement, vous ne devez utiliser que les sous-traitants qui déploient suffisamment de mesures pour répondre aux exigences du RGPD.
5. Collaborez avec des sous-traitants qui disposent d’une politique de confidentialité exemplaire
Même si vous prenez des mesures drastiques et que vous vous protégez à l’aide d’accords de partage, il vaut mieux toujours traiter avant des entreprises exemplaires. Optez pour un sous-traitant qui crypte toutes les données des candidats.
Le cryptage des données consiste à convertir des informations que vous rentrez en des caractères inintelligibles (cryptés) au moyen d'une clé de cryptage.
Chez Recruitee, nous prenons toutes les mesures nécessaires pour crypter tous vos messages confidentiels ainsi que vos informations de connexion. Ces mesures garantissent le plus haut niveau de sécurité pour la protection des données que vous nous confiez.
6. Ayez une base de données de candidats constamment à jour
Collectez les données des candidats à des fins de recrutement uniquement. Votre logiciel de recrutement, à travers différentes fonctionnalités, devrait vous permettre de faire en sorte que seules des données de candidats pertinentes soient recueillies. Recruitee dispose par exemple d’une fonctionnalité d’importation et d’analyse des CV.
Si vous considérez que le profil d’un candidat ne répond plus aux exigences d’un poste à pourvoir, vous devriez supprimer les données de votre système. Et si vous disposez encore de données recueillies par le passé sans le consentement des candidats, il est impératif de demander leur accord pour les conserver. Qui sait, vous pourriez finir par développer de bonnes relations avec ces talents !
7. Continuez de respecter le RGPD pendant votre sourcing
Le sourcing continuera de jouer un rôle essentiel en recrutement. Il faut simplement le faire évoluer pour respecter la privatisation des données. Vous devez donc vous assurer de suivre toutes les étapes spécifiées dans le RGPD.
Partagez toutes les informations requises avec les candidats que vous contactez pour la première fois, ou avant de permettre à vos clients d’accéder aux données (le cas échéant). Faites attention aux outils que vous utilisez. Certaines extensions de navigateur ne sont pas conformes aux normes et vous feront collecter des données de façon douteuse. Vous devez en effet être capable d’expliquer et de justifier l’acquisition de n’importe quelle donnée. Vous êtes donc responsable si vous collectez des données dont vous ne connaissez pas la provenance.
Le RGPD est un sujet complexe, et les entreprises mettent en oeuvre beaucoup de moyens pour y être conforme. Cependant, si vous respectez les principes de transparence quant à l’acquisition et au traitement des données, et que vous suivez les conseils donnés dans cet article, le RGPD devrait être plus clair pour vous et votre recrutement.
.png)
