RGPD et IA dans le recrutement : gérer les données candidats et les durées de conservation

Comment le RGPD et l'IA dans le recrutement se rejoignent lors du sourcing et de la sélection

L'IA joue un rôle de plus en plus important dans le recrutement. On le constate lors de la recherche, de l'approche, de la synthèse et parfois même lors d'une première sélection. Comme vous travaillez alors avec des noms, des CV, des expériences professionnelles, des coordonnées et des notes personnelles, la protection de la vie privée entre plus rapidement en jeu. Dans l'application du RGPD et de l'IA dans le recrutement, il s'agit donc toujours des mêmes questions de base : quel est l'objectif, quelles données sont réellement nécessaires et combien de temps pouvez-vous les conserver ?

Pour le recrutement sous le RGPD, cela signifie que vous devez d'abord regarder le processus, puis seulement l'outil. La technologie ne change en effet pas les règles de confidentialité. La question centrale reste toujours de savoir pourquoi vous utilisez certaines données, si cela est réellement nécessaire pour votre base juridique de recrutement, et si vous pouvez expliquer que le candidat peut raisonnablement s'y attendre. Cette approche rend le recrutement et la sélection conformes au RGPD nettement plus faciles à mettre en pratique.

Pourquoi le RGPD et l'IA dans le recrutement fonctionnent différemment pour les candidats, le sourcing et les viviers de talents

Candidat actif

Un candidat actif a lui-même répondu à une offre d'emploi ou se trouve déjà dans une procédure en cours. Dans cette situation, vous pouvez traiter les données nécessaires pour évaluer la candidature. Pensez au nom, aux coordonnées, au CV, à la lettre de motivation, à l'expérience professionnelle et aux notes ciblées sur l'adéquation de la personne. Pourtant, même dans ce cas, vous n'êtes pas obligé de tout conserver. Dans le cadre du RGPD concernant les données des candidats, chaque note doit avoir un objectif clair et être pertinente pour le poste.

Un exemple simple permet de clarifier cela : si quelqu'un postule à un poste commercial, l'expérience, la région et la disponibilité sont souvent pertinentes. Une remarque personnelle sur la situation familiale ou la santé d'une personne n'a en revanche absolument pas sa place ici. Il est donc conseillé de garder les notes d'entretien factuelles et d'éviter les opinions non fondées.

Professionnel trouvé de manière passive

Un professionnel trouvé de manière passive n'a pas postulé lui-même. Vous avez approché cette personne de façon proactive, par exemple via LinkedIn. Le RGPD appliqué au sourcing via LinkedIn crée souvent de la confusion, car les informations publiques donnent parfois l'impression d'être des données que vous pouvez utiliser librement. C'est une erreur. Une information publique sur LinkedIn reste une donnée personnelle. La visibilité d'un profil n'est donc pas un blanc-seing pour n'importe quel usage.

Dans cette situation, vous vous appuyez souvent sur un intérêt légitime pour le sourcing. Cela nécessite une mise en balance claire des intérêts. Existe-t-il réellement une offre d'emploi ou une mission ouverte ? Les données collectées sont-elles vraiment nécessaires pour approcher la personne de façon pertinente ? Et les droits à la vie privée du candidat ne pèsent-ils pas plus lourd que votre intérêt commercial ? Documentez en outre pourquoi l'approche est logique, quelles informations minimales vous utilisez et comment le candidat peut facilement s'y opposer.

Candidat dans un vivier de talents

Un vivier de talents est fondamentalement différent d'une candidature en cours ou d'une première approche. Vous conservez en effet des données en vue d'un contact futur. Cela nécessite un objectif clair, un moment de fin précis et, presque toujours, un consentement explicite. C'est le cœur même d'un vivier de talents selon le RGPD. Vous ne conservez donc pas les données des candidats simplement parce que cela pourrait être utile un jour. Vous ne pouvez les stocker que si le candidat sait exactement pourquoi, pour combien de temps et pour quel type de postes ses données seront conservées.

Un exemple permet là aussi d'y voir plus clair. Supposons qu'une personne ait été refusée pour un poste spécifique, mais souhaite rester visible pour des fonctions similaires dans la même région. Dans ce cas, vous pouvez demander le consentement pour l'inscription dans un vivier de talents, assorti d'une date de fin ferme. La personne retire-t-elle ce consentement plus tard ? Vous devez alors supprimer immédiatement ses données.

L'approche pratique du RGPD et de l'IA dans le recrutement, étape par étape

L'approche ci-dessous peut être intégrée directement dans votre propre processus. Le principe est simple : associez à chaque étape un objectif clair, une base juridique possible, les données minimales nécessaires et un moment de suppression strict. Le RGPD et l'IA dans le recrutement deviennent ainsi extrêmement concrets, plutôt que vagues et abstraits.

Sourcing

• Objectif : trouver un candidat correspondant à une offre d'emploi ou une mission concrète.
• Base juridique possible : souvent un intérêt légitime, à condition qu'il existe un véritable objectif de recrutement.
• Données minimales : nom, intitulé de poste, expérience pertinente, zone géographique et compétences requises pour le rôle.
• Durée de conservation : courte, toujours directement liée à l'offre d'emploi ou à la mission en cours.
• Quand supprimer ou arrêter : dès que l'offre se termine, que le profil ne correspond plus ou que les données ne sont tout simplement plus nécessaires.

Approche

• Objectif : établir le premier contact concernant une opportunité concrète sur le marché du travail.
• Base juridique possible : généralement un intérêt légitime.
• Données minimales : nom, canal de contact, motif de l'approche, source et date du contact.
• Durée de conservation : uniquement le temps nécessaire à cette approche spécifique et à un éventuel suivi bref.
• Quand supprimer ou arrêter : immédiatement en cas d'opposition, de désinscription, ou dès qu'aucune suite pertinente n'est plus à prévoir.

Suivi

• Objectif : poursuivre de façon constructive un contact antérieur ou une première réponse.
• Base juridique possible : un intérêt légitime ou la préparation d'une candidature effective, selon la situation.
• Données minimales : la réponse, la date, le contexte pertinent et uniquement de courtes notes avec un objectif clair.
• Durée de conservation : travaillez en interne avec un moment de nettoyage fixe spécialement pour les prospects inactifs.
• Quand supprimer ou arrêter : si la personne ne souhaite pas poursuivre, ne répond plus après votre délai fixe, ou si le contexte disparait entièrement.

Procédure de candidature

• Objectif : évaluer avec professionnalisme si un candidat est réellement adapté au poste.
• Base juridique possible : le traitement nécessaire à la demande du candidat dans le cadre de la procédure de candidature, parfois complété par un intérêt légitime adapté au processus de sélection plus large.
• Données minimales : nom, coordonnées, CV, lettre de motivation et notes très ciblées sur l'adéquation.
• Durée de conservation : aux Pays-Bas, la durée de conservation des données de candidature est en principe de quatre semaines sans consentement, ou d'un an maximum avec consentement explicite (conformément à la pratique de l'autorité néerlandaise de protection des données, l'Autoriteit Persoonsgegevens).
• Quand supprimer ou arrêter : directement après l'expiration du délai convenu, ou plus tôt si les données ne sont tout simplement plus nécessaires.

Vivier de talents

• Objectif : reprendre contact plus tard avec des candidats prometteurs pour des postes futurs adaptés.
• Base juridique possible : presque toujours un consentement explicite.
• Données minimales : nom, coordonnées, expérience professionnelle pertinente, préférences claires pour un contact futur et la date exacte du consentement donné.
• Durée de conservation : jusqu'à la date de fin convenue au préalable, ou plus tôt si le candidat retire son consentement entre-temps.
• Quand supprimer ou arrêter : immédiatement en cas de retrait du consentement, à l'expiration du délai formel, ou si l'objectif sous-jacent disparaît.

Si vous souhaitez organiser cela de façon pratique et sécurisée, vous pouvez consulter notre explication approfondie sur le sourcing par IA respectueux du RGPD. Nous y montrons comment des données minimales et pertinentes, ainsi que l'utilisation d'une grille de notation (que le recruteur évalue ensuite lui-même), peuvent contribuer à une approche transparente et rigoureuse. Cela ne remplace évidemment jamais votre propre évaluation par offre d'emploi, mais cela rend chaque étape du processus bien plus facile à expliquer.

Comment appliquer le RGPD et l'IA dans le recrutement avec la bonne base juridique et la minimisation des données

Le test en trois étapes pour l'intérêt légitime

Le terme « intérêt légitime » paraît assez juridique, mais vous pouvez heureusement l'appliquer de façon très pratique. La première étape consiste à se demander s'il existe un intérêt réel, comme une offre d'emploi ouverte ou une mission bien précise. La deuxième étape porte sur la nécessité : avez-vous réellement besoin de ces données spécifiques pour atteindre cet objectif ? La troisième étape est la mise en balance finale : les droits et les attentes en matière de vie privée du candidat pèsent-ils plus lourd que votre intérêt commercial ? Le fait de n'utiliser que des données limitées et très pertinentes renforce considérablement cette mise en balance et la rend plus facile à justifier.

Un recruteur qui approche quelqu'un de façon ciblée via LinkedIn pour une offre d'emploi actuelle a généralement un argumentaire bien plus solide qu'un sourceur qui constitue de larges listes sans objectif concret. Il est donc essentiel de documenter, pour chaque candidat, la raison précise de l'approche. Cela clarifie immédiatement la base juridique du recrutement.

Ce que vous enregistrez, et ce que vous n'enregistrez pas

La minimisation des données signifie simplement que vous ne notez que ce qui est strictement nécessaire. Les données pertinentes sont par exemple l'intitulé du poste, l'expérience professionnelle, la localisation (pertinente), les compétences spécifiques et une brève explication de l'adéquation avec le poste. Les données particulières ou non pertinentes concernant la santé, l'origine, la religion, les opinions politiques ou d'autres détails privés issus de la présence en ligne d'une personne n'ont pas leur place ici. De même, les notes personnelles sans objectif clair ne conviennent pas à un outil d'IA pour les données candidats ni aux notes de recrutement manuscrites.

Il existe une règle pratique bien utile : si vous n'avez pas besoin d'une information précise pour approcher ou évaluer le candidat de façon pertinente, ne l'enregistrez tout simplement pas. Cela garde vos systèmes propres et évite des discussions désagréables sur la raison du stockage.

Les données publiques de LinkedIn sont et restent des données personnelles

Les données publiques sur LinkedIn ne sortent absolument pas du cadre de la législation sur la vie privée. Ce type de données fait donc pleinement partie du RGPD et de l'IA dans le recrutement. Vous devez toujours pouvoir expliquer pourquoi vous utilisez cette source, quelles informations spécifiques vous notez et comment la personne concernée peut facilement s'y opposer. Communiquez également dès le premier contact, de façon directe et transparente, d'où proviennent exactement les données. C'est plus correct vis-à-vis du candidat et cela souligne une approche professionnelle et rigoureuse.

Le RGPD et l'IA dans le recrutement face aux outils d'IA et aux fournisseurs

Quand un outil d'IA agit comme sous-traitant

Un outil d'IA agit généralement comme sous-traitant lorsque le logiciel traite des données personnelles uniquement pour votre compte, sans déterminer lui-même la finalité réelle. Pensez par exemple à une technologie qui trie les candidats, résume des profils ou soutient le processus de matching au sein de vos systèmes. Le recruteur ou l'employeur reste dans ces situations presque toujours le responsable du traitement. La responsabilité finale des données vous incombe donc entièrement, que le fournisseur externe facilite ou non la technologie sous-jacente.

Quelles questions poser à un fournisseur

Avant d'acquérir ou d'activer un nouvel outil, il est conseillé de poser des questions critiques au fournisseur. Vérifiez d'abord s'il existe un contrat de sous-traitance solide pour l'IA de recrutement. Approfondissez également : comment la sécurité de l'information est-elle organisée ? Quels sous-traitants ultérieurs sont utilisés et où les données physiques sont-elles stockées ? Renseignez-vous aussi sur le fonctionnement du processus de suppression et sur la coopération du prestataire face aux demandes de confidentialité des candidats. Demandez enfin toujours quelles données de saisie sont réellement nécessaires au bon fonctionnement de l'application, afin d'éviter tout stockage de données superflu.

Pour mieux comprendre comment un outil intelligent s'intègre précisément dans le travail quotidien, vous pouvez consulter notre page sur l'intégration LinkedIn. Nous y illustrons comment la relation entre la source externe, votre flux de travail interne et les flux de données sous-jacents fait partie d'une évaluation pratique solide. Pour plus de contexte et d'enseignements du marché, vous pouvez également consulter nos études de cas sur l'IA dans le recrutement.

La responsabilité reste au recruteur ou à l'employeur

La partie qui détermine en définitive pourquoi les données sont utilisées porte en permanence la responsabilité de la finalité, de la base juridique et du contenu réel du traitement. Bien qu'un fournisseur livre la technologie, il ne peut et ne doit jamais se substituer à vos choix stratégiques et juridiques. Il est donc crucial de continuer à évaluer vous-même de façon critique quelles données vous saisissez dans les systèmes, combien de temps vous les conservez, et si l'ensemble du processus reste toujours parfaitement conforme à votre politique interne de confidentialité.

Contexte produit factuel

Dans la pratique quotidienne, nous nous concentrons systématiquement sur le traitement de données minimales, des limites de processus strictes et le bon positionnement de l'IA dans le flux de travail. Si l'on considère par exemple le contexte de notre propre module de sourcing, il s'agit avant tout d'informations de profil pertinentes et d'une grille de notation claire, que le recruteur pèse et évalue ensuite lui-même. Un aspect important de cette conception produit est que les données des candidats ne sont pas conservées de façon structurelle en dehors de la session active. Bien que cela ne constitue pas en soi un label juridique formel, c'est indéniablement un avantage factuel qui aide fortement à évaluer vos flux de données et à mettre en œuvre le logiciel de façon plus sûre.

Droits des candidats et prise de décision automatisée lors d'une candidature

Quels droits les candidats possèdent

Chaque candidat dispose du droit légal d'accès, de rectification et (dans certains cas) de suppression complète de ses données personnelles. Il peut en outre s'opposer formellement à des traitements spécifiques reposant uniquement sur un intérêt légitime. C'est précisément pourquoi une déclaration de confidentialité claire pour le recrutement est d'une grande importance. Vous y expliquez de façon transparente quelles données vous collectez exactement, dans quel but, de quelles sources elles proviennent, avec qui vous les partagez et comment le candidat peut exercer ses droits sans difficulté.

Quand une intervention humaine est nécessaire

Lors d'une prise de décision automatisée dans le cadre d'une candidature, une vigilance accrue est requise. Il s'agit en effet de décisions automatiques ayant des conséquences réellement sensibles (et souvent juridiques) pour un candidat, uniquement parce qu'un système dicte le résultat final. Un refus totalement automatisé et définitif, sans aucun regard humain indépendant, en est l'exemple le plus connu. Dans de telles situations à fort impact, un candidat a généralement pleinement le droit d'exiger une intervention humaine.

Pourquoi une simple case cochée par un humain ne suffit pas

Attention : une case cochée par pure formalité ou un contrôle superficiel par un recruteur ne constitue légalement pas une évaluation sérieuse et autonome. Si le résultat initial de l'IA reste en pratique déterminant et que le recruteur n'apporte pratiquement plus sa propre appréciation, vous vous exposez encore au risque d'une prise de décision automatisée indésirable. Utilisez donc l'intelligence artificielle avant tout comme un outil pratique pour la recherche ciblée, la structuration et la synthèse. Laissez toujours le professionnel décider lui-même, avec des arguments, pourquoi un candidat passe au tour suivant ou est écarté.

Liste de contrôle pour le RGPD et l'IA dans le recrutement, dans votre déclaration de confidentialité et votre calendrier de conservation

Liste de contrôle pour votre déclaration de confidentialité

• Expliquez pour chaque situation l'objectif du traitement, comme le sourcing, la candidature ou la gestion du vivier de talents.
• Indiquez la base juridique adaptée à chaque situation.
• Décrivez quelles catégories de données vous utilisez et pourquoi ces données précises sont nécessaires.
• Mentionnez la source des données, par exemple un formulaire de candidature ou LinkedIn.
• Expliquez avec quels destinataires ou systèmes les données sont partagées.
• Indiquez la durée de conservation par processus, y compris la règle pratique pour les candidatures.
• Décrivez le rôle de l'IA en termes simples, par exemple pour la recherche, la synthèse ou le soutien à la sélection.
• Expliquez comment les candidats peuvent précisément demander l'accès, la rectification, la suppression ou faire opposition.

Liste de contrôle pour votre calendrier de conservation interne

• Fixez un délai de suppression précis pour chaque étape du processus, donc pour le sourcing, l'approche, le suivi, les candidatures et le vivier de talents.
• Désignez un responsable par étape au sein de votre propre équipe.
• Déterminez quand et comment vous nettoyez efficacement les prospects inactifs.
• Vérifiez que les notes isolées, en dehors de l'ATS ou du CRM, sont elles aussi correctement supprimées à terme.
• Précisez concrètement comment vous gérez le consentement donné, son retrait éventuel et une éventuelle opposition.

Différence entre le RGPD et l'AI Act

Le RGPD se concentre principalement sur les données personnelles, les bases juridiques adéquates, les droits des personnes concernées et un traitement rigoureux global. L'AI Act à venir impose quant à lui des exigences supplémentaires pour l'utilisation de systèmes d'IA spécifiques, en fonction notamment du niveau de risque et de l'usage prévu. Pour vous, en tant que recruteur, il y a surtout une chose essentielle à comprendre : le RGPD s'applique déjà pleinement aujourd'hui. N'attendez donc pas passivement une future réglementation alors que vous traitez déjà activement des données de candidats aujourd'hui.

Vous avez des questions produit spécifiques ou souhaitez obtenir des informations factuelles ciblées sur notre traitement des données ? Vous pouvez alors soumettre une question relative au traitement des données chez Elvatix via cette page et prendre rapidement contact. Vous pourrez ainsi encore mieux évaluer si et comment un outil particulier s'intègre parfaitement à votre propre façon de travailler.

Points d'attention pratiques pour les cabinets travaillant avec LinkedIn et l'IA

Les cabinets de recrutement se caractérisent souvent par une grande rapidité d'exécution et des équipes plus petites et flexibles. C'est précisément pour cela qu'un processus clair et cohérent, avec des règles fermes, est la clé du succès. Déterminez clairement en interne qui décide des nouveaux outils, qui est responsable des demandes de droits entrantes et qui surveille de façon proactive les délais de conservation convenus. Spécialement pour les environnements de cabinet, où cette dynamique est encore plus marquée, notre page sur le RGPD pour les cabinets de recrutement correspond parfaitement à cette pratique quotidienne complexe.

Soyez par ailleurs très attentif à la frontière entre les souhaits d'un client externe et votre propre responsabilité juridique. Un client exigeant vous demande-t-il de larges listes de recherche non ciblées ou un stockage prolongé des données ? Cela ne signifie absolument pas que cela relève automatiquement de votre rôle et de vos compétences. Vous restez en effet toujours vous-même responsable en premier lieu de votre propre traitement des données. Cela souligne pourquoi il est toujours judicieux de documenter de façon structurée les choix faits concernant le sourcing, l'approche effective, le suivi et la gestion du vivier de talents. Vous le faites également lorsque (et justement parce que) un client exerce une forte pression sur la rapidité de la procédure.

Questions fréquentes

Puis-je approcher quelqu'un de façon proactive sur LinkedIn sans son consentement préalable ? Oui, cela est autorisé dans certains cas, à condition de pouvoir vous appuyer sur un intérêt légitime démontrable et que l'approche soit directement liée à une offre d'emploi actuelle et concrète ou à une mission spécifique. Appliquez dans ce cas toujours la minimisation des données, soyez clair dès le premier contact sur l'origine des données, et cessez immédiatement le traitement dès que la personne s'y oppose.

Pendant combien de temps puis-je conserver les CV et les données de candidature associées ? Aux Pays-Bas, la durée de conservation des données de candidature est en principe le plus souvent de quatre semaines sans consentement actif, et d'un an au maximum avec le consentement du candidat. En dehors d'une procédure de candidature en cours ou terminée, d'autres durées de conservation peuvent convenir, à condition que l'objectif sous-jacent, la base juridique et le moment exact de suppression soient toujours parfaitement clairs.

Puis-je ajouter directement un candidat qui vient d'être refusé à un vivier de talents ? Cela est possible, mais en pratique presque exclusivement si vous avez obtenu au préalable un consentement explicite et sans équivoque à cet effet. Expliquez toujours en détail au candidat pourquoi vous souhaitez conserver précisément ces données, pour quelle période spécifique, et pour quel type de postes futurs la personne pourrait être approchée.

L'information publique sur un profil LinkedIn est-elle simplement libre d'utilisation ? Absolument pas. Les données publiques constituent et restent tout simplement un ensemble de données personnelles. Pour ces informations également, vous devez pouvoir expliquer de façon irréprochable pourquoi vous utilisez exactement ces données et pourquoi ce traitement spécifique respecte parfaitement le cadre légal du RGPD.

Que dois-je exiger au minimum d'un nouveau fournisseur d'IA avant un achat ? Exigez toujours la signature d'un contrat de sous-traitance solide et posez des questions précises sur leur sécurité de l'information. Renseignez-vous sur les sous-traitants ultérieurs impliqués, l'emplacement physique exact des données, le déroulement de la suppression définitive des données et le soutien apporté en cas de demandes relatives à la vie privée ou aux droits. Demandez également quelles données sont réellement strictement nécessaires pour un usage fiable et performant de l'outil.

L'IA peut-elle décider de façon totalement autonome qui est refusé ou non ? Il faut faire preuve d'une extrême prudence à ce sujet. Dès qu'un système tranche en pratique de façon totalement indépendante sur le refus ou la poursuite du parcours d'une personne, il est fort probable qu'il s'agisse d'une prise de décision automatisée dans le cadre d'une candidature. Pour éviter tout problème juridique, il est important de toujours veiller à une évaluation humaine sérieuse et authentique, accompagnée d'une motivation solide et transparente.