6 - La CNIL rappelle que l'employeur ne peut pas tout demander au candidat à l'embauche
Une entreprise qui réclamait aux candidats à l'embauche de multiples informations, allant jusqu'à s'enquérir de l'état civil du conjoint, a été rappelée à l'ordre par la Commission nationale de l'informatique et des libertés (CNIL). À cette occasion, l'autorité administrative indépendante fait le point sur ce que l'employeur est en droit de collecter dans le cadre de la procédure de recrutement.
CNIL, communiqué du 25 avril 2024
L'essentiel
En vertu du RGPD et du code du travail, l'employeur ne peut demander à un candidat à l'embauche que les informations dont il a besoin pour apprécier ses capacités à occuper l'emploi à pourvoir. / 6-1
En application de ce principe, une entreprise qui demandait de très nombreuses informations aux candidats à l'emploi a été mise en demeure par la CNIL de revoir ses pratiques. / 6-2
Au-delà de cette affaire, le régulateur des données personnelles rappelle ce que l'employeur est en droit de demander aux candidats. / 6-3
Principe de minimisation de la collecte des données personnelles
Le principe de minimisation prévoit que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Ce principe est issu du règlement général sur la protection des données (règlt UE 2016/679 du 27 avril 2016, art. 5-1 c, JOUE 4 mai 2016 ; voir « Droits et contrôle du salarié », RF 1149, § 5060).
Dans le domaine des ressources humaines, il concerne tout autant la procédure de recrutement que les données collectées une fois la personne embauchée.
En matière de recrutement, ce principe s’insère dans les règles prévues par le code du travail : les informations demandées, sous quelque forme que ce soit, au candidat à un emploi doivent avoir pour finalité exclusive d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent donc présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles (voir « Embauche et contrat de travail », RF 1146, §§ 24 et 25 ; c. trav. art. L. 1221-6).
Une entreprise mise en demeure de se cantonner aux seules données nécessaires à la décision d'embauche
La Commission nationale de l'informatique et des libertés (CNIL) avait été saisie d’une plainte à l’encontre d’une entreprise qui collectait de nombreuses données personnelles de candidats à l’embauche.
Cette entreprise leur imposait en effet de communiquer leur lieu de naissance, leur nationalité, leur situation de famille (et, s’ils étaient en couple, les nom et prénom de leur conjoint, leur date et lieu de naissance, leur profession, le nombre d’enfants et leur âge), ainsi que l’ensemble des salaires perçus dans les entreprises précédentes (salaire brut annuel global dont variable).
La présidente de la CNIL a alors mis en demeure l’entreprise de respecter le principe de minimisation de la collecte des données personnelles, ce que cette dernière a fait.
C’est dans ce contexte que la CNIL a jugé utile, par un communiqué du 25 avril 2024, de rappeler aux employeurs les principes RGPD à respecter lors d’une procédure d’embauche (https://www.cnil.fr/fr/recrutement-la-cnil-met-en-demeure-une-societe-de-minimiser-la-collecte-de-donnees-personnelles-de).
Les limites aux données « collectables »
La CNIL rappelle que, lors d’un recrutement, l’entreprise ne doit pas collecter auprès d’un candidat à un emploi d’informations relatives :
-aux membres de sa famille ;
-au lieu de naissance du candidat ;
-à la nationalité d’un candidat pour évaluer sa capacité à occuper l’emploi proposé (par exemple, le choix entre trois options suffit : « Français », « ressortissant de l’Union européenne » ou « hors UE ») ;
-au montant des salaires perçus par le passé par un candidat à l’initiative d’un recruteur, sachant que cette information ne présente pas d’utilité pour apprécier la capacité à occuper l’emploi proposé ou les aptitudes du candidat.
En tout état de cause, sur la question de la rémunération antérieure, le candidat peut, de sa propre initiative, fournir tout élément utile à la justification de ses prétentions salariales et donc notamment le montant de ses derniers salaires.
À noter
Comme le rappelle la CNIL dans son communiqué du 25 avril, lorsqu’un candidat est de nationalité étrangère, l’employeur peut lui demander des informations relatives à la possession d’un titre l’autorisant à travailler en France. De fait, si le salarié ne dispose pas d’un tel titre, l’employeur risque des poursuites pour emploi irrégulier (c. trav. art. L. 8256-2 ; voir « Statuts particuliers », RF 1149, §§ 3516 et 3535 et s.).
Rappelons enfin que la CNIL a diffusé en janvier 2023 un guide à l'attention des recruteurs, qui aborde naturellement la question des données que l'employeur est en droit de collecter, mais qui se penche également sur la durée de conservation de ces données, le cadre juridique applicable aux demandes d'extrait de casier judiciaire ou encore les conditions de recours aux outils d'évaluation de la personnalité des candidats. Ce guide est en ligne sur le site de la CNIL (https://www.cnil.fr/sites/cnil/files/atoms/files/guide_referentiel_-_recrutement.pdf).
Guide de la CNIL relatif au recrutement (extrait)
Sauf situations très exceptionnelles, il lui est également interdit de collecter et de conserver des données sensibles, c’est-à-dire des informations qui, directement ou indirectement, font apparaître la prétendue origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses ou les appartenances syndicales, les informations relatives à la santé ou à la vie sexuelle du candidat.
Même l’accord exprès du candidat ne saurait, à lui seul, justifier le fait de demander et conserver de telles données dès lors que ces dernières sont dépourvues de lien direct et nécessaire avec l’emploi proposé (pour plus d’informations sur les conditions à respecter dans la collecte des données sensibles, voir la fiche n° 19 de ce guide).
Attention
Il convient de distinguer deux cas de figure :
❶ Le candidat communique spontanément des informations personnelles le concernant qui, bien qu’elles soient susceptibles de révéler des données sensibles, lui permettent de démontrer certaines de ses aptitudes (par exemple, un engagement dans une association à caractère religieux mentionné dans un CV ou une lettre de motivation).
Dans un tel cas, le recruteur peut conserver les documents qui ont été fournis par le candidat pendant le temps nécessaire à la procédure de recrutement (pour plus d’informations, voir la fiche n° 8 de ce guide). Le candidat peut en effet être considéré comme ayant consenti à ce que les documents qu’il a fournis soient conservés et consultés à l’occasion du processus de recrutement.
En revanche, il est interdit au recruteur d’extraire et d’utiliser en elles-mêmes les éventuelles données sensibles qui auraient été communiquées par le candidat (sauf dans le cas très particulier où ces données seraient en lien direct et nécessaire avec l’emploi proposé, pour plus d’informations voir la fiche n° 19 de ce guide).
❷ Le recruteur demande au candidat la communication de données sensibles dépourvues de lien direct et nécessaire avec l’emploi proposé (par exemple, le fait de demander à un candidat s’il est membre d’une association à caractère religieux dans le cadre d’un entretien pour un poste de manutentionnaire).
Dans ce cas de figure, la collecte de telles données est interdite.
