Chaque embauche commence par la confiance, et chaque vérification des antécédents commence par des données personnelles. Un candidat remet des pièces d'identité, des adresses, ses diplômes et son parcours professionnel, souvent avant même d'avoir rencontré son futur manager. Pendant des années, ces informations ont circulé dans les circuits de recrutement avec très peu de contrôle. Le Digital Personal Data Protection (DPDP) Act de 2023 en Inde est en train de changer cela.
Si votre organisation recrute, ou vérifie les personnes que d'autres recrutent, cette loi fait désormais partie de votre quotidien. Voici un tour d'horizon en langage clair de ce que dit la loi, de son importance, et de la façon dont elle transforme la vérification des antécédents (BGV).
Le DPDP Act en bref
Le DPDP Act est la première loi indienne spécifique et transversale sur les données personnelles numériques. Elle s'applique aux données personnelles traitées sous forme numérique, ou numérisées après leur collecte, et peut concerner des organisations situées hors d'Inde lorsqu'elles traitent les données de personnes se trouvant en Inde.
La loi utilise deux termes principaux :
- Data Principal : la personne à laquelle les données se rapportent. Dans le recrutement, il s'agit du candidat ou de l'employé.
- Data Fiduciary : l'organisation qui décide des finalités et des moyens d'utilisation des données. Dans le recrutement, il s'agit de l'employeur. Les prestataires de vérification agissent généralement comme Data Processors (sous-traitants), pour le compte de l'employeur, ce qui signifie que l'employeur reste responsable de ce qu'il advient des données.
Les Rules (règles) qui encadrent l'application de la loi ont été notifiées, et les obligations entrent en vigueur par phases. Le message pratique pour les entreprises est simple : la période de préparation est ouverte dès maintenant, et elle ne le restera pas indéfiniment.
Pourquoi cette loi concerne les équipes de recrutement
Le recrutement est l'une des activités les plus riches en données de toute entreprise. Un seul dossier de vérification peut contenir un numéro d'identité officiel, une adresse personnelle, des informations familiales, des relevés de notes, un historique de salaires et les retours d'anciens employeurs. C'est exactement le type d'information qui cause un préjudice réel lorsqu'elle est mal gérée.
La loi relève le niveau d'exigence de plusieurs façons qui touchent directement le recrutement :
- Le consentement doit être réel. Il doit être libre, spécifique, éclairé et sans ambiguïté, donné par un acte positif clair. Une clause noyée dans une lettre d'offre est une base fragile.
- L'information préalable passe en premier. Les candidats doivent être informés des données collectées, de la raison de cette collecte et de la manière d'exercer leurs droits.
- Limitation de la finalité. Les données collectées pour la vérification doivent servir à la vérification, et non être réutilisées discrètement à des fins de marketing ou d'analyses sans rapport.
- Limitation de la conservation. Les données personnelles ne doivent pas être conservées indéfiniment. Une fois la finalité atteinte, elles doivent être effacées, sauf si la loi en dispose autrement.
- Mesures de sécurité. Les organisations doivent maintenir des protections techniques et organisationnelles raisonnables contre les violations.
- Notification des violations. En cas de violation de données personnelles, l'autorité de régulation et les personnes concernées doivent être informées.
- Droits des personnes. Les candidats peuvent demander des informations sur leurs données, en demander la rectification ou l'effacement, et recourir à une procédure de réclamation.
- Des sanctions réelles. Le défaut de mise en place de mesures de sécurité raisonnables peut entraîner des sanctions pouvant atteindre 250 crore ₹, ce qui en fait un sujet pour la direction générale et pas seulement pour l'informatique.
Une remarque sur l'« usage légitime » dans l'emploi
La loi reconnaît certaines situations où les données peuvent être traitées sans nouveau consentement, et les finalités liées à l'emploi en font partie. Cela ne donne pas carte blanche aux employeurs. L'exemption est liée aux finalités d'emploi et à la protection de l'employeur contre une perte ou une responsabilité, et les principes d'équité, de collecte minimale et de sécurité continuent de s'appliquer. La démarche la plus sûre est d'être transparent avec les candidats et de ne collecter que ce que le poste exige réellement. Les organisations doivent demander conseil à leur conseil juridique sur l'application de ces règles à leurs propres processus de recrutement.
Comment le DPDP Act transforme la vérification des antécédents
La vérification des antécédents repose sur la collecte et le recoupement de données personnelles. C'est donc l'un des premiers processus à en ressentir l'effet. Voici où le changement se manifeste.
1. Le consentement devient un workflow, plus une signature
Un formulaire signé et scanné n'est plus la référence. Les employeurs ont besoin d'un enregistrement du consentement traçable et horodaté, qui indique qui a accepté quoi, quand et pour quelles vérifications. Une collecte numérique du consentement, liée directement à chaque demande de vérification, facilite grandement les audits.
2. La minimisation des données change le menu des vérifications
Tous les postes n'exigent pas toutes les vérifications. Un forfait générique « tout vérifier » pour chaque candidat est difficile à défendre lorsque la loi demande de ne collecter que le nécessaire. Des forfaits fondés sur le risque, où un recrutement senior en finance fait l'objet d'autres vérifications qu'un cadre débutant du support, sont à la fois plus conformes et plus efficaces.
3. La responsabilité des prestataires est partagée
Lorsqu'un partenaire de vérification traite des données pour vous, vous restez responsable de la manière dont elles sont gérées. Les équipes de recrutement devraient poser des questions plus précises lors de la sélection des prestataires : où les données sont-elles stockées ? Qui peut y accéder ? Combien de temps sont-elles conservées ? Que se passe-t-il après une violation ? Des certifications indépendantes comme ISO 27001 et SOC 2 Type II constituent des preuves utiles que les pratiques de sécurité d'un prestataire ont été testées par des tiers.
4. La conservation et la suppression nécessitent un calendrier
Les rapports de vérification ne doivent pas rester indéfiniment dans les boîtes mail et les lecteurs partagés. Les organisations ont besoin de durées de conservation définies et d'un moyen fiable de supprimer ou d'anonymiser les données à l'issue de cette période, y compris celles détenues par leurs prestataires.
5. Les candidats gagnent en pouvoir d'action
Les personnes peuvent demander quelles données sont détenues à leur sujet et en demander la correction. En matière de BGV, c'est sain : un dossier erroné qui signale à tort un candidat peut lui coûter un emploi. Un processus qui permet aux candidats de consulter et de contester les résultats améliore l'équité autant que la conformité.
6. La vérification transfrontalière demande une vigilance accrue
De nombreux employeurs vérifient des candidats qui ont étudié ou travaillé à l'étranger. Le transfert de données personnelles au-delà des frontières soulève des considérations supplémentaires, et la loi permet au gouvernement de restreindre les transferts vers certains pays. Des clauses contractuelles claires avec les partenaires de vérification et une cartographie des flux de données sont indispensables.
Une checklist pratique de préparation pour les employeurs
- Cartographiez chaque point par lequel les données des candidats entrent dans votre processus de recrutement.
- Remplacez le consentement papier ou informel par un parcours de consentement numérique et auditable.
- Rédigez une courte notice d'information sur la vie privée, en langage clair, à l'intention des candidats.
- Adaptez vos forfaits de vérification au niveau de risque de chaque poste.
- Examinez les contrats de vos prestataires : conditions de traitement des données, signalement des violations et engagements de suppression.
- Fixez des délais de conservation et vérifiez que la suppression a bien lieu.
- Mettez en place un canal simple permettant aux candidats de poser des questions ou de déposer des réclamations.
- Formez les recruteurs et le personnel RH, car la plupart des incidents de données commencent par des personnes, non par des systèmes.
La conformité, un atout pour le recrutement
Il est tentant de ne voir dans le DPDP Act qu'une contrainte. Nous le voyons autrement. Les candidats sont de plus en plus attentifs à la façon dont une entreprise traite leurs informations, et une expérience de vérification claire et respectueuse valorise la marque employeur. Une bonne hygiène des données réduit aussi les reprises, les litiges et les retards, ce qui accélère l'intégration.
Les organisations qui s'adapteront tôt ne se contenteront pas d'éviter les sanctions. Elles bâtiront des processus de recrutement auxquels les candidats font confiance et que les auditeurs peuvent vérifier.
L'approche de Quinfy
Chez Quinfy, nous avons conçu notre plateforme de vérification autour de l'idée que rapidité et confidentialité doivent aller de pair. Nos opérations s'appuient sur les certifications ISO 27001, ISO 9001 et SOC 2 Type II, et nous intégrons dès le départ le consentement, le contrôle d'accès et le traitement des données dans le parcours de vérification. Si vous souhaitez évaluer comment votre processus de vérification actuel se situe par rapport au cadre du DPDP, notre équipe se fera un plaisir de vous aider.
Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Veuillez consulter votre conseil juridique sur l'application du DPDP Act à votre organisation.
À propos de l'auteur : Rajasvi dirige les ventes internationales chez Quinfy, une société de vérification des antécédents native de l'IA qui sert des clients dans plus de 45 pays.
