Les informations concernant des candidats foisonnent sur Internet : profils LinkedIn, réseaux sociaux, blogs, articles, forums… Les recruteurs peuvent être tentés de les consulter pour mieux cerner les qualités d’un candidat, mais cette pratique est soumise à des règles strictes, même si les contenus sont publics.
Le RGPD s’applique dès lors qu’un traitement de données est réalisé, même sur des données librement accessibles. Les principes de transparence, de proportionnalité, de finalité et le respect des droits des personnes concernées restent pleinement en vigueur.
Le guide de la CNIL sur le recrutement confirme que les employeurs doivent appliquer avec rigueur les principes du RGPD lorsqu’ils consultent des données en ligne. Cela implique notamment de limiter la collecte aux informations pertinentes, d’informer clairement le candidat et de prévoir des mécanismes de correction ou de contestation lorsque ces informations influencent la décision de recrutement.
Dans quels cas est-il permis de consulter ces informations ?
La consultation des données publiques en ligne est un traitement de données personnelles. Elle est possible si elle répond à deux conditions :
- être limitée à l’évaluation des compétences, aptitudes ou de la cohérence du profil du candidat,
- ne collecter que les informations pertinentes et strictement nécessaires au regard de la finalité poursuivie.
Cela est acceptable lorsque les informations permettent de vérifier un CV ou de documenter des réalisations du candidat. En revanche, consulter des contenus sans lien avec l’emploi, ou utiliser ces données pour écarter un candidat sans justification, n’est pas permis.
Quid de l’information des candidats ?
Le RGPD impose que tout candidat dont les données sont collectées en ligne soit informé de manière claire, même si les données sont publiques. Il s’agit d’un droit essentiel, comprenant :
- l’identité du responsable du traitement,
- les finalités de la collecte,
- la base de licéité (souvent l’intérêt légitime),
- les droits dont dispose le candidat, notamment accès, rectification, effacement, opposition, limitation, portabilité,
- et, lorsque les données influencent la décision, la possibilité d’un réexamen humain.
Le guide CNIL rappelle que cette information doit être délivrée le plus tôt possible, par exemple dans la politique de confidentialité jointe à l’offre d’emploi ou au formulaire de candidature.
La décision allemande BAG 8 AZR 117/24 du 5 juin 2025 rappelle que l’employeur doit informer le candidat avant toute consultation en ligne : même l’usage de données publiques peut créer un préjudice moral si cette transparence n’est pas assurée.
La cour a jugé que l’absence d’information prive le candidat de la maîtrise de ses données en ligne et entraîne un dommage moral. Une indemnisation de 1000 euros a été accordée à ce titre. Cela montre que l’accès à des données publiques ne dispense pas du devoir d’information, et que l’employeur doit être prêt à réparer un préjudice.
Fondement juridique
La base légale la plus fréquente est l’intérêt légitime, mais le fait que les données soient publiques ne dispense pas de l’information des candidats.
Le guide CNIL précise qu’il n’est pas nécessaire de demander un consentement spécifique, mais que l’information claire et l’encadrement strict de l’usage de ces données sont indispensables.
Notre conseil :
Pour utiliser des données publiques sans risque :
- Informer le candidat avant toute recherche en ligne, via mention sur formulaire de candidature, e-mail ou page carrière
- Décrire les finalités : vérification, complément d’information
- Limiter la collecte aux données strictement nécessaires à l’évaluation
- Offrir au candidat la possibilité de corriger ou compléter les données tirées d’Internet
- Permettre un réexamen humain si ces données influencent la décision finale.
