Quelles informations donner aux salariés et aux candidats sur leurs données personnelles

Un employeur doit dire aux candidats et aux salariés quelles données il collecte, pourquoi, sur quel fondement juridique, pour combien de temps, avec qui il les partage, et quels droits sont applicables au traitement concerné et comment les exercer. Ces mentions RGPD RH doivent apparaître clairement au moment où vous recueillez les informations (candidature, embauche, gestion du dossier du personnel) et être adaptées à chaque situation concrète : recrutement, paie, suivi du temps de travail, outils numériques, etc. Vous devez aussi indiquer l’identité et les coordonnées du responsable du traitement, les modalités de contact du DPO s’il existe, l’éventualité de transferts hors UE et l’existence de traitements automatisés. L’objectif est double : respecter vos obligations légales et donner à chacun une information loyale, compréhensible et accessible sur l’usage de ses données.

Cet article complète le guide pilier sur la mise en conformité RGPD des données RH. Les mentions doivent rester cohérentes avec les bases légales, les durées de conservation et le registre des traitements.

Cadre commun des mentions RGPD RH et moment où informer candidats et salariés

Vous devez informer chaque personne au moment où vous collectez directement ses données RH : candidats lors du dépôt de leur candidature, salariés lors de l’embauche ou avant la mise en œuvre d’un nouveau traitement les concernant. L’entreprise agit en principe comme responsable du traitement pour les données RH dont elle détermine les finalités et les moyens.

Lorsque les données sont collectées indirectement, par exemple auprès d’un cabinet de recrutement, d’une plateforme ou d’une référence professionnelle, l’information est donnée dans un délai raisonnable et, au plus tard, dans le mois suivant leur obtention. Si un contact avec la personne ou une transmission des données intervient avant, vous devez fournir l’information au plus tard à ce moment-là.

La notice précise :

• l’identité et les coordonnées du responsable du traitement ;
• les coordonnées du DPO, lorsqu’il a été désigné ;
• les finalités des traitements : recrutement, gestion administrative du personnel, paie, déclarations sociales, temps de travail, absences, formation, évaluations, outils numériques, etc. ;
• la base juridique applicable à chaque finalité : exécution du contrat, obligation légale, intérêt légitime identifié ou, lorsque cela est réellement approprié, consentement ;
• le caractère obligatoire ou facultatif des données demandées et les conséquences éventuelles d’un refus de les fournir ;
• les destinataires ou catégories de destinataires des données ;
• les durées de conservation ou les critères permettant de les déterminer ;
• les droits des personnes et les modalités de contact pour les exercer ;
• la possibilité d’introduire une réclamation auprès de la CNIL ;
• en cas de collecte indirecte, les catégories de données concernées et leur source ;
• le cas échéant, les transferts hors de l’Union européenne, les garanties applicables et les modalités permettant d’y accéder ;
• le cas échéant, l’existence d’une décision individuelle fondée exclusivement sur un traitement automatisé, ainsi que des informations utiles sur sa logique, son importance et ses conséquences prévisibles.

La notice explique donc quelles données sont utilisées, pourquoi, sur quel fondement, qui peut y accéder, combien de temps elles sont conservées et quels droits les personnes peuvent exercer. Elle est rédigée dans un langage clair, concis et compréhensible, sur un support adapté : document remis, formulaire de candidature, intranet, SIRH ou envoi électronique. Elle doit rester facilement accessible aux candidats comme aux salariés.

Mentions d’information à fournir aux candidats lors du recrutement

• Responsable et contact : nom et adresse de votre société, ainsi que les coordonnées du contact RGPD ou du DPO lorsqu’il est désigné. Ces informations sont accessibles sur les canaux de candidature.
• Finalités : étude de la candidature, entretiens, vérification des aptitudes professionnelles, gestion du processus de recrutement et, si nécessaire, conservation dans un vivier de candidatures présentée comme une finalité distincte.
• Bases juridiques : mesures pré-contractuelles pour l’examen d’une candidature spontanée ou répondant à une offre ; intérêt légitime identifié pour les opérations nécessaires à l’organisation et à la sécurisation du recrutement. La conservation en vivier peut reposer sur le consentement du candidat ou sur l’intérêt légitime, sous réserve de son droit d’opposition.
• Données traitées : catégories de données utiles au recrutement — identité, coordonnées, CV, diplômes, expériences, échanges et comptes rendus d’entretien. Les informations demandées doivent présenter un lien direct et nécessaire avec l’emploi proposé ou l’évaluation des aptitudes professionnelles (art. L.1221-6 Code du travail). Les données sensibles sont exclues, sauf nécessité légale particulière.
• Données obligatoires : les champs indispensables à l’examen de la candidature sont identifiés, avec les conséquences éventuelles d’un refus de les renseigner.
• Destinataires : services RH, managers participant au recrutement et prestataires intervenant pour le compte de l’entreprise, désignés par catégories. Les autres entités du groupe sont mentionnées lorsqu’elles reçoivent ou consultent les dossiers.
• Transferts hors UE : indication de leur existence, des pays ou catégories de destinataires concernés, des garanties applicables et des modalités permettant d’y accéder, lorsque des outils ou entités situés hors de l’Union européenne accèdent aux candidatures.
• Durée de conservation : conservation pendant la durée de la campagne de recrutement et jusqu’à la clôture de la procédure. Pour les candidatures non retenues, la notice distingue la conservation liée à la procédure de recrutement et celle au sein d’un vivier. Un profil conservé dans ce vivier peut l’être pendant deux ans à compter du dernier contact avec le candidat, sauf opposition de sa part ou durée plus courte annoncée.
• Droits des candidats : accès, rectification, effacement, limitation, opposition — notamment lorsque le traitement repose sur l’intérêt légitime — et portabilité lorsque les conditions sont réunies. La notice indique l’adresse ou le canal de contact permettant de les exercer.
• Réclamation CNIL : mention du droit d’introduire une réclamation auprès de la CNIL.
• Méthodes d’aide au recrutement : le candidat est informé avant la mise en œuvre de toute méthode ou technique d’aide au recrutement le concernant ; elle doit être pertinente au regard de la finalité poursuivie (art. L.1221-8 Code du travail).
• Décisions automatisées : indication de l’existence d’une décision individuelle entièrement automatisée, de sa logique générale et de ses conséquences lorsque celle-ci conditionne de manière significative la poursuite ou l’issue de la candidature.
• Collecte directe : la mention RGPD est accessible sur le formulaire, la page d’offre ou le portail candidat, et peut être rappelée dans l’accusé de réception ou le courriel de confirmation.
• Collecte indirecte : lorsque les données proviennent d’un cabinet de recrutement, d’un réseau professionnel, d’une plateforme ou d’une recommandation, la notice indique la source et les catégories de données obtenues. L’information est fournie dans un délai raisonnable, au plus tard dans le mois suivant la collecte, ou plus tôt lors du premier contact avec le candidat ou de la première transmission de ses données à un destinataire.