Le recrutement est devenu mondial. Une entreprise de Dubaï recrute un ingénieur basé en Allemagne, une société américaine intègre un consultant irlandais, et une entreprise indienne ouvre un centre de services en Pologne. Chacun de ces recrutements implique de vérifier l'identité, la formation et le parcours professionnel d'une personne, et chacun peut faire entrer en jeu le Règlement général sur la protection des données (GDPR) de l'Union européenne.
Le GDPR est en vigueur depuis mai 2018, mais la vérification des antécédents (BGV) reste l'un des domaines où les organisations trébuchent le plus souvent. Cet article explique pourquoi le GDPR concerne le contrôle des candidats, comment il modifie la manière de mener les vérifications et à quoi ressemble une approche de conformité raisonnable.
Pourquoi le GDPR s'applique au-delà de l'Europe
Le GDPR ne se limite pas aux entreprises établies dans l'UE. Il s'applique aux organisations établies dans l'UE, ainsi qu'aux organisations situées ailleurs qui traitent les données personnelles de personnes se trouvant dans l'UE en lien avec l'offre de biens ou de services ou le suivi de leur comportement. Pour une demande de vérification concernant un candidat situé en Europe, les règles peuvent suivre les données où qu'elles aillent.
C'est pourquoi un prestataire de vérification et l'employeur qui le mandate doivent tous deux comprendre le règlement, même si ni l'un ni l'autre n'a de bureau en Europe.
Les idées essentielles, en langage clair
Le GDPR repose sur un ensemble de principes qui s'appliquent à chaque étape d'un dossier de vérification :
- Licéité, loyauté et transparence. Le traitement doit reposer sur une base juridique valable, et les candidats doivent être informés de ce qu'il advient de leurs données.
- Limitation des finalités. Les données recueillies pour une vérification précise ne doivent pas être réutilisées à des fins sans rapport.
- Minimisation des données. Ne collectez que ce qui est pertinent et nécessaire pour le poste.
- Exactitude. Les données doivent être correctes et tenues à jour.
- Limitation de la conservation. Les données ne doivent pas être conservées plus longtemps que nécessaire.
- Intégrité et confidentialité. Une sécurité appropriée doit protéger les données.
- Responsabilité. Les organisations doivent être en mesure de démontrer leur conformité, et non de simplement l'affirmer.
Choisir la bonne base juridique
L'une des premières questions de tout programme de contrôle en Europe est : pourquoi sommes-nous autorisés à traiter ces informations ? Le GDPR prévoit plusieurs bases juridiques, et celles le plus souvent envisagées en matière de recrutement sont l'obligation légale, les intérêts légitimes et, dans des cas limités, le consentement.
Le consentement exige une attention particulière dans un contexte d'emploi. Les autorités de régulation s'inquiètent depuis longtemps du fait que le consentement donné par un candidat peut ne pas être véritablement libre, en raison du déséquilibre évident de pouvoir entre le candidat et l'employeur. De nombreuses organisations s'appuient donc sur une évaluation documentée des intérêts légitimes ou sur une exigence légale, tout en informant clairement les candidats. La bonne réponse dépend du pays et du type de vérification ; un avis juridique local est donc utile.
Là où la vérification des antécédents devient sensible
Vérification du casier judiciaire
Les informations relatives aux condamnations pénales et aux infractions bénéficient d'une protection particulière en vertu du GDPR. En général, leur traitement doit être effectué sous le contrôle de l'autorité publique ou autorisé par le droit de l'UE ou d'un État membre, avec des garanties appropriées. Les règles diffèrent sensiblement d'un pays à l'autre, et dans certains pays, les employeurs ne peuvent demander un certificat que lorsque le poste le justifie légalement. Une politique mondiale unique de « vérification du casier judiciaire pour tous » est risquée.
Catégories particulières de données
La santé, l'origine ethnique, la religion, l'appartenance syndicale et les catégories similaires sont soumises à des conditions plus strictes. Les processus de contrôle doivent éviter de collecter ces données sans besoin clair et licite, et veiller à ce que les champs de texte libre, les réponses des références et les documents téléversés n'introduisent pas discrètement de telles données dans le dossier.
Décision automatisée
Si le résultat d'un contrôle est produit entièrement par un processus automatisé et a un effet significatif sur un candidat, le GDPR accorde à cette personne des protections, notamment la possibilité de demander un examen humain. La vérification assistée par l'IA peut toujours être bien utilisée, tant qu'un humain reste réellement impliqué dans les décisions qui affectent les perspectives d'emploi de quelqu'un.
Ce que les candidats peuvent vous demander
Le GDPR confère aux personnes un ensemble de droits qui s'appliquent directement aux dossiers de contrôle :
- L'accès aux données personnelles détenues à leur sujet et aux informations sur leur utilisation.
- La rectification des données inexactes.
- L'effacement dans certaines circonstances.
- La limitation et l'opposition dans des situations précises.
- La portabilité le cas échéant.
Les employeurs et leurs partenaires de vérification doivent être en mesure de répondre à ces demandes dans le délai d'un mois fixé par le règlement, ce qui suppose de savoir où se trouve chaque copie du dossier d'un candidat.
Des responsabilités partagées entre employeur et prestataire
Dans la plupart des cas, l'employeur est le responsable du traitement (controller), qui décide des finalités et des moyens, tandis que la société de vérification est un sous-traitant (processor), qui agit selon les instructions de l'employeur. Le GDPR exige un accord écrit entre les deux, couvrant l'objet du traitement, les mesures de sécurité, les sous-traitants ultérieurs, l'assistance pour les droits des personnes et la suppression ou la restitution des données à la fin de la relation.
Deux autres points méritent attention :
- Notification des violations. Une violation de données personnelles présentant un risque pour les personnes doit en général être notifiée à l'autorité de contrôle dans les meilleurs délais et, si possible, dans un délai de 72 heures. Les sous-traitants doivent alerter rapidement les responsables du traitement ; les contrats doivent donc préciser dans quel délai.
- Transferts internationaux. L'envoi de données de vérification depuis l'UE vers un pays ne bénéficiant pas d'une décision d'adéquation nécessite une garantie approuvée, telle que les clauses contractuelles types, ainsi qu'une évaluation des risques. La vérification de diplômes étrangers ou d'anciens employeurs à l'étranger implique souvent précisément ce type de transfert.
Le coût d'une erreur
Les autorités de régulation peuvent imposer des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les infractions les plus graves. Au-delà des amendes, les dommages pratiques peuvent inclure l'arrêt de programmes de recrutement, une perte de confiance des candidats et des échanges difficiles avec des clients qui comptent sur vous pour protéger les données de leurs collaborateurs.
Une checklist pratique pour le contrôle en Europe
- Cartographiez chaque flux de données de votre processus de vérification, y compris où les données sont stockées et qui peut les consulter.
- Documentez votre base juridique pour chaque type de vérification et chaque pays.
- Remettez aux candidats une notice de confidentialité claire et concise avant toute collecte.
- Adaptez les vérifications au poste et supprimez celles qui ne sont pas justifiées.
- Réalisez une analyse d'impact relative à la protection des données lorsque le contrôle est à grande échelle ou porte sur des données à plus haut risque.
- Mettez en place des accords de sous-traitance conformes et examinez les sous-traitants ultérieurs.
- Fixez des durées de conservation et vérifiez que la suppression a bien lieu.
- Préparez un processus simple pour les demandes d'accès, de rectification et d'effacement.
- Formez les recruteurs et les équipes RH, car l'erreur humaine est à l'origine de nombreux incidents.
- Testez votre plan de réponse aux violations afin que le délai de 72 heures soit réaliste.
Confidentialité et rapidité peuvent coexister
Certains employeurs craignent que les règles de confidentialité ne ralentissent le recrutement. D'après notre expérience, c'est plutôt l'inverse. Un processus avec un consentement clair, des vérifications ciblées et des dossiers propres entraîne moins de litiges, moins de revérifications et une intégration plus rapide. Les candidats remarquent aussi lorsqu'une organisation traite leurs informations avec soin, et cela influence leur perception de l'employeur.
Comment Quinfy soutient un contrôle international conforme
Quinfy assure la vérification des antécédents dans plus de 45 pays, avec le soutien des certifications ISO 27001, ISO 9001 et SOC 2 Type II. Notre plateforme est conçue pour que le consentement des candidats, les contrôles d'accès et le traitement des données fassent partie du parcours de vérification. Si vous construisez ou révisez un programme de contrôle qui touche l'Europe, nous serions ravis d'examiner vos besoins avec vous.
Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Les exigences varient selon les pays et les situations ; veuillez donc consulter un conseil juridique qualifié avant de finaliser vos politiques de contrôle.
À propos de l'auteur : Prathap P est Senior Sales Manager chez Quinfy, une société de vérification des antécédents native de l'IA qui aide les employeurs à vérifier les talents dans le monde entier.
