Quelles données vous avez le droit de collecter

Le critère ne figure pas dans la loi sur la protection des données, mais dans le code des obligations. L'article 328b CO le dit : l'employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail.

Le texte parle de travailleurs. Le Préposé fédéral à la protection des données et à la transparence (PFPDT), l’autorité fédérale de surveillance en matière de protection des données, applique toutefois expressément ce critère dès la phase de candidature : avant les rapports de travail, seules les données personnelles des candidats qui concernent leur aptitude à occuper le poste peuvent être traitées.

Concrètement : chaque question du formulaire de candidature doit résister à ce test. Si vous recrutez une conductrice de poids lourds, vous pouvez demander le permis de conduire. Personne ne demande l'état civil, les projets familiaux ou la confession, sauf si le poste l'exige impérativement. Une grille de critères fixée avant la publication de l'annonce aide doublement : elle limite la collecte de données et rend la sélection traçable.

Obligation d'information : ce que les candidats doivent savoir

Si vous demandez des dossiers de candidature dans le cadre d'un recrutement, vous devez en informer les personnes concernées. Doivent notamment être communiqués la finalité du traitement, l'identité du responsable et la manière de le contacter.

Dans la solution de gestion des candidatures Refline, une déclaration de confidentialité figure directement sur le formulaire de candidature. Elle peut aussi se trouver sur le site web, avec un lien à l'endroit où la candidature démarre. Omettre cette information expose à une amende.

Obligation de suppression : combien de temps vous pouvez conserver un dossier

Les dossiers de candidature ne peuvent être conservés que tant que la finalité initiale existe : pourvoir ce poste. Si le poste est attribué à une autre personne ou n’est pas pourvu, cette finalité disparaît.

La question n’est pas réglée pour autant. La LPD ne fixe aucune durée de conservation, et le PFPDT retient expressément que la durée doit être définie pour chaque catégorie de données. À côté de la finalité initiale, d’autres obligations et intérêts peuvent justifier une conservation plus longue : une éventuelle action pour refus discriminatoire, des justificatifs à l’intention du SECO ou de l’ORP, ou un intérêt propre de l’entreprise que vous êtes en mesure de motiver.

Ce qui en découle n’est pas un chiffre, mais une décision : définissez pour chaque catégorie de données combien de temps vous en avez besoin, consignez le motif, et supprimez ensuite. Qui s’en tient à un nombre de mois sans avoir examiné son propre cas se trompe soit par excès, soit par défaut.

S’y ajoute une obligation souvent oubliée : à l’issue de la procédure de sélection, les dossiers des personnes écartées doivent être restitués et les éventuelles copies détruites. Vous ne pouvez conserver que ce qui vous appartient, soit la lettre de motivation, le questionnaire de personnel et les renseignements obtenus lors des prises de références.

Pourquoi c'est presque intenable par e-mail

Lorsqu'une candidature arrive par e-mail, puis est transmise en interne, commentée et classée quelque part, elle laisse une trace de données à travers plusieurs boîtes et disques. Retrouver et supprimer le tout des mois plus tard réussit rarement. C'est pourtant exactement ce qu'exige la loi.

Avec une solution d'e-recrutement comme Refline, chaque candidature se trouve au même endroit. Les délais de suppression que vous avez définis sont automatisés, et vous archivez candidatures et postes de manière conforme en un clic. Au lieu de chercher et de relancer, il reste un délai qui s'applique de lui-même.

Vivier de talents : quand vous pouvez conserver un dossier plus longtemps

Conserver un dossier après un refus est autorisé, pour autant que la personne y consente.

Ce consentement doit être explicite et il lui faut un délai clair : jusqu’à quand le dossier sera conservé. « Jusqu’à nouvel ordre » ne suffit pas. Pour être valable, le consentement doit en outre être donné librement, pour un traitement déterminé et après une information adéquate.

En pratique : chaque dossier du vivier a une date d’échéance, et la personne le sait parce qu’elle y a consenti. Un vivier sans date d’échéance est la violation silencieuse la plus fréquente de l’obligation de suppression.

Droit d'accès : 30 jours, gratuit, auquel on ne peut renoncer

Toute personne peut demander si des données la concernant sont traitées. Les candidats ont droit à une information complète et exacte. La loi énumère ce qui doit être communiqué : l'identité et les coordonnées du responsable du traitement, les données personnelles traitées, la finalité, la durée de conservation ou les critères permettant de la déterminer, les informations disponibles sur l'origine des données, les destinataires, et, en cas de décision individuelle automatisée, la logique sur laquelle elle repose.

Trois points qui coincent en pratique :

Le délai. L'information doit être fournie dans les 30 jours suivant la réception de la demande. Si vous n'y parvenez pas, vous devez informer la personne dans ce même délai et lui indiquer quand elle recevra l'information. Il en va de même si vous entendez restreindre ou refuser l'information.

Les coûts. L'information est gratuite. Ce n'est qu'en cas de charge disproportionnée qu'une participation raisonnable de 300 francs au maximum peut être demandée, et cela doit être annoncé au préalable.

La renonciation. Nul ne peut renoncer par avance au droit d'accès. Une clause du formulaire de candidature qui tente de le faire est sans effet.

Si vous utilisez un système de gestion des candidatures d'un prestataire, l'obligation d'informer reste chez vous. Le prestataire est sous-traitant, pas destinataire de la demande.

Où se trouvent les données des candidats

Dès qu’un système de gestion des candidatures d’un prestataire est en jeu, ce prestataire traite les données pour votre compte. Vous en restez responsable et devez vous assurer qu’il garantit la sécurité des données. Si les données se trouvent à l’étranger, des exigences supplémentaires s’ajoutent.

La réponse la plus courte à cette question est de ne pas avoir à la poser. Refline exploite toutes ses applications en Suisse, y compris le module CV Parser et les applications d’IA. Les centres de données sont certifiés ISO 27001.

L'IA en présélection : ce que dit la loi, et ce qu'elle ne dit pas

Dès qu'un système évalue automatiquement les candidatures, deux notions entrent en jeu.

Le profilage est le traitement automatisé de données personnelles visant à évaluer des aspects personnels, tels que les prestations de travail, la fiabilité ou le comportement. Un scoring de candidatures relève de cette définition. Le profilage à risque élevé existe lorsque l'association des données permet d'apprécier des aspects essentiels de la personnalité. Deux conséquences en découlent : lorsqu'un consentement est requis, il doit être exprès. Et la dispense de tenir un registre des activités de traitement tombe, y compris pour les petites entreprises.

La décision individuelle automatisée est la seconde notion. Si une décision repose exclusivement sur un traitement automatisé et produit des effets juridiques pour la personne ou l'affecte de manière significative, vous devez l'en informer. La personne peut faire valoir son point de vue et exiger qu'une personne physique réexamine la décision. Le mot déterminant est « exclusivement » : si une personne examine les propositions et tranche elle-même, la disposition ne s'applique pas selon sa lettre.

Et voici la partie que beaucoup de guides passent sous silence : il n'existe aucune prescription officielle suisse indiquant à partir de quand un screening par IA en recrutement constitue un profilage à risque élevé. Qui vous annonce un seuil précis interprète au lieu de citer. Seul le raisonnement inverse est solide : plus un système décide lui-même, et plus il associe de caractéristiques pour le faire, plus vous vous situez en terrain réglementé. Qui utilise un outil d'IA dans le processus de candidature devrait donc documenter son rôle et qui porte la décision.

Quand quelque chose tourne mal : obligation d'annoncer et amendes

Si une violation de la sécurité des données entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, vous devez l'annoncer au PFPDT dans les meilleurs délais. Contrairement au RGPD, la loi suisse ne fixe pas de délai de 72 heures. L'annonce indique au minimum la nature de la violation, ses conséquences et les mesures prises ou envisagées. Vous informez la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le PFPDT l'exige.

Les amendes vont jusqu'à 250 000 francs et frappent la personne physique responsable, pas l'entreprise. Elles supposent l'intention. Lorsqu'une amende de 50 000 francs au maximum entre en considération et que l'identification de la personne responsable exigerait des efforts disproportionnés, l'autorité peut condamner l'entreprise à la place.

Questions fréquentes sur la protection des données en recrutement

Les questions que les équipes RH suisses nous posent le plus souvent sur la protection des données.

Combien de temps puis-je conserver les dossiers de candidature ?

La LPD ne fixe aucune durée. Ce qui compte est la finalité : une fois le poste pourvu, la finalité initiale disparaît. À côté de cela, d’autres obligations et intérêts peuvent justifier une conservation plus longue, par exemple une éventuelle action pour refus discriminatoire, des justificatifs à l’intention du SECO ou de l’ORP, ou un intérêt propre de l’entreprise que vous êtes en mesure de motiver. Vous définissez donc vous-même la durée pour chaque catégorie de données et vous en consignez le motif.

Puis-je verser un dossier au vivier de talents sans consentement ?

En règle générale, non. La voie propre est le consentement explicite, assorti d’un délai clair indiquant combien de temps le dossier sera conservé. Sans ce consentement, le vivier de talents n’est pas le bon endroit pour ce dossier.

Dans quel délai dois-je répondre à une demande d'accès ?

Dans les 30 jours suivant la réception. Si ce délai ne suffit pas, vous devez informer la personne dans ce même délai et lui indiquer quand l'information suivra. L'information est gratuite ; ce n'est qu'en cas de charge disproportionnée qu'une participation de 300 francs au maximum peut être demandée, annoncée avant la remise de l'information.

Mon entreprise a-t-elle besoin d'un registre des activités de traitement ?

Les entreprises qui emploient moins de 250 personnes au 1er janvier d'une année sont dispensées de cette obligation. La dispense tombe dès que des données personnelles sensibles sont traitées à grande échelle ou qu'un profilage à risque élevé a lieu.

Conclusion : la protection des données en recrutement est une question de processus

Aucune des obligations de cet article n'est difficile en soi. Cela devient difficile lorsque les candidatures sont dispersées entre boîtes mail, disques et notes. Le délai de suppression échoue alors dès la recherche, et l'information dans les 30 jours se transforme en nuit blanche. Qui gère les candidatures au même endroit a fait le plus gros du travail avant même que le premier délai ne commence à courir.

Obligations de protection des données réglées proprement, avec Refline

Avec la solution d'e-recrutement de Refline, les fonctions liées à la protection des données se trouvent dans le processus de candidature lui-même. Du consentement sur le formulaire au délai de suppression automatisé. Exploitée dans des centres de données en Suisse.