Règlement (UE) 2016/679, articles 6 et 88

DPO externalisé pour les directions RH et les cabinets de recrutement

La relation de travail est le terrain où le consentement, base légale reine du droit commun, ne fonctionne pas. Le considérant 43 du règlement (UE) 2016/679 écarte le consentement lorsqu'il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement, et la relation employeur-salarié en est l'exemple canonique. Toute la conformité RH se construit à partir de ce constat.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Le consentement du salarié n'est pas une base légale utilisable

Le consentement suppose, selon l'article 4.11 du règlement, une manifestation de volonté libre. Un salarié qui refuse une collecte demandée par son employeur s'expose, au moins en perception, à une conséquence sur sa situation : la liberté du consentement est donc douteuse par nature. Le considérant 43 en tire la conséquence expresse.

Les traitements RH reposent en pratique sur trois autres bases. L'exécution du contrat de travail, au sens de l'article 6.1 b), pour ce qui est nécessaire à la relation elle-même : paie, congés, affectation. L'obligation légale, au sens de l'article 6.1 c), pour ce que la réglementation sociale impose : déclarations, registre du personnel, médecine du travail. L'intérêt légitime, au sens de l'article 6.1 f), pour les dispositifs de sécurité et d'organisation, sous réserve d'une mise en balance écrite.

L'article 88 du règlement autorise par ailleurs les États membres à prévoir des règles plus spécifiques pour les traitements dans le cadre des relations de travail : la conformité RH ne s'apprécie donc jamais au seul regard du règlement, mais aussi du droit du travail applicable, qui impose notamment l'information et la consultation des instances représentatives du personnel avant la mise en place d'un dispositif de contrôle.

Recrutement : collecter peu, conserver peu

Les informations demandées à un candidat ne peuvent porter que sur ses aptitudes professionnelles au regard du poste. Cette règle, issue du droit du travail, rejoint le principe de minimisation de l'article 5.1 c) du règlement : la situation familiale, la nationalité au-delà de ce qu'exige le droit au travail, l'état de santé ou l'appartenance syndicale n'entrent pas dans le champ, et figurer dans un formulaire ne les y fait pas entrer.

La durée de conservation des candidatures non retenues est le point le plus régulièrement en écart. Conserver un dossier au-delà de la procédure suppose une finalité propre — constituer un vivier — qui doit être annoncée au candidat et assortie d'une durée définie et effectivement appliquée. Un vivier sans purge n'est pas un vivier, c'est une base de données de personnes qui ne savent plus qu'elles y figurent.

Sélection automatisée et outils d'évaluation

Un outil qui trie, classe ou écarte des candidatures sans intervention humaine effective relève de l'article 22 du règlement : la personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou l'affectant de manière significative. L'écartement d'une candidature entre dans cette seconde catégorie.

L'intervention humaine qui fait sortir du champ de l'article 22 doit être réelle : une personne qui dispose du pouvoir de modifier le classement, qui en a le temps et les éléments, et non une validation formelle d'une liste déjà ordonnée. C'est la condition la plus difficile à réunir sur un volume élevé de candidatures, et celle qu'il faut documenter.

Le règlement (UE) 2024/1689 se superpose ici : son annexe III vise les systèmes d'intelligence artificielle destinés au recrutement et à la sélection de personnes physiques, ainsi qu'aux décisions affectant les relations de travail, ce qui les fait entrer dans la catégorie à haut risque avec les obligations qui s'y attachent.

Contrôler l'activité sans surveiller en permanence

Les dispositifs de contrôle — vidéoprotection, badgeuse, géolocalisation des véhicules de service, journalisation des accès, outils de mesure de l'activité — sont licites lorsqu'ils reposent sur une finalité précise et proportionnée. Ils cessent de l'être lorsqu'ils placent un salarié sous surveillance constante, ce qui est le critère constamment retenu par l'autorité de contrôle.

Trois règles en découlent, transposables à tous ces dispositifs. Une caméra ne filme pas en continu un poste de travail déterminé, sauf circonstance particulière justifiée. Un dispositif de géolocalisation est désactivable en dehors du temps de travail et ne suit pas les représentants du personnel dans l'exercice de leur mandat. Et la journalisation des accès sert la sécurité du système d'information, pas l'évaluation individuelle, ce qui suppose que les durées de conservation et les destinataires des journaux soient définis en conséquence.

Questions fréquentes

Faut-il le consentement du salarié pour traiter ses données ?

Non, et le rechercher est une erreur. Le considérant 43 du règlement (UE) 2016/679 écarte le consentement en cas de déséquilibre manifeste entre les parties, ce qui vise la relation de travail. Les traitements RH reposent sur l'exécution du contrat, l'obligation légale ou l'intérêt légitime. Un consentement demandé à un salarié crée en outre l'illusion d'un droit de retrait qui ferait cesser un traitement pourtant nécessaire.

Combien de temps conserver les CV des candidats non retenus ?

Le règlement ne fixe pas de durée : l'article 5.1 e) impose de ne pas conserver au-delà du nécessaire. Passée la procédure de recrutement, la conservation suppose une finalité de vivier, annoncée au candidat, assortie d'une durée définie à l'avance et d'une purge effective à l'échéance. Sans information ni purge, la conservation n'a plus de fondement.

Peut-on installer des caméras dans les locaux de l'entreprise ?

Oui pour une finalité de sécurité des biens et des personnes, à condition que les caméras ne placent pas les salariés sous surveillance permanente et ne filment pas en continu un poste de travail déterminé. L'information individuelle des salariés et la consultation des instances représentatives du personnel sont requises avant la mise en service, et non après.

Un logiciel de tri de candidatures est-il autorisé ?

Il l'est, sous réserve de l'article 22 du règlement lorsqu'il écarte seul des candidatures : il faut alors une intervention humaine ayant un pouvoir réel de modification, l'information du candidat et la possibilité de contester. Si l'outil relève de l'intelligence artificielle, l'annexe III du règlement (UE) 2024/1689 le classe parmi les systèmes à haut risque, ce qui ajoute les obligations propres à ce texte.

Ce que ce régime déclenche ailleurs

Les traitements RH sont mis en œuvre par des gestionnaires et des managers, non par le délégué : c'est leur pratique quotidienne qui produit ou évite l'écart.

La formation des équipes qui manipulent les données

Responsable ou sous-traitant selon la mission, arrêts de travail et données de l'article 9, portail d'échange, archivage et articulation avec le secret professionnel.

Cabinet comptable

Pièces exigibles d'un candidat locataire, sort des dossiers non retenus, gestion locative et de copropriété, prospection de vendeurs et sous-traitance des outils métier.

Immobilier

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.