RGPD dans le Recrutement

Les données collectées pendant le recrutement (CV, lettres de motivation, enregistrements audio, évaluations psychométriques) sont des données personnelles au sens du RGPD. Elles incluent souvent des catégories particulières (origine ethnique visible sur les photos, orientation sexuelle ou religion déductibles des lettres d'accompagnement, données de santé pour les postes avec visite médicale), qui exigent une base juridique renforcée.

Les bases juridiques typiques pour un ATS sont : - Mesures précontractuelles (art. 6.1.b) : couvre la candidature active à un poste spécifique. - Intérêt légitime (art. 6.1.f) : peut couvrir la conservation du CV en vivier après refus, avec mise en balance documentée. - Consentement (art. 6.1.a) : requis pour des usages spécifiques (ex. communications marketing futures, partage avec des sociétés du groupe).

Les durées de conservation recommandées par les autorités européennes de protection des données sont : 12 mois depuis la candidature pour les candidats non recrutés, sauf consentement explicite à une conservation prolongée ; pour les recrutés, les durées standards de la relation de travail.

Les droits du candidat (art. 15-22 RGPD) qu'un ATS doit pouvoir exercer sont : accès aux données collectées, rectification, effacement (droit à l'oubli), portabilité au format structuré, opposition au traitement, et ne pas faire l'objet d'une décision automatisée produisant des effets significatifs (art. 22) — donc le droit de demander une revue humaine si l'ATS a rejeté la candidature sur la seule base du matching IA.

Pour les systèmes incluant un profilage algorithmique (matching intelligent, scoring) une AIPD — analyse d'impact relative à la protection des données est obligatoire et doit être révisée périodiquement.

L'erreur la plus fréquente est la conservation excessive : beaucoup d'ATS legacy gardent les CV plus de 5 ans sans base juridique. Le risque est double : amende RGPD (jusqu'à 4 % du chiffre d'affaires mondial) et perte de valeur, puisque les vieilles candidatures sont obsolètes de toute façon.

Cumino implémente des politiques de conservation configurables par client, un audit log natif des consentements, un export conforme RGPD et un processus d'effacement en un clic.