Dans sa quête du candidat idéal, l’employeur souhaite souvent recueillir des informations autres que celles contenues dans le CV reçu afin de s’assurer des compétences du candidat. La prise de références auprès d’un ancien employeur est fréquente. Attention toutefois à respecter certaines précautions au regard du RGPD !
Collecte orale ou notes manuscrites ?
La prise de référence auprès d’un ancien employeur, d’un ancien collègue ou auprès d’un client, constitue une collecte d’information indirecte au sens du RGPD. Les références professionnelles, y compris les appréciations subjectives et communiquées oralement, sont en effet des données à caractère personnel. Leur échange dans le cadre d’un recrutement constitue donc un traitement soumis au RGPD, quel qu’en soit le support.
Le RGPD s’applique dès qu’il y a un traitement de données automatisé, en tout en partie. A ce titre, un échange de courriels avec un ancien employeur est donc soumis au RGPD.
Le seul fait qu’un échange ait lieu oralement, sans enregistrement ni prise de note, ne permet pas d’exclure l’application du RGPD : la communication orale de données à caractère personnel constitue en principe un traitement au sens de l’article 4.2 du RGPD.
Toutefois, en l’absence de toute conservation ou formalisation des informations, les conséquences pratiques du RGPD sont limitées : le responsable du traitement ne pourra, par exemple, communiquer au candidat que les données effectivement détenues. En revanche, les notes prises par le recruteur, qu’elles soient encodées dans la fiche du candidat ou conservées sous forme manuscrite, sont soumises au RGPD dès lors qu’elles sont conservées et structurées.
Quelle base de licéité ?
Lorsque le RGPD s’applique, comme tout traitement de données, la collecte de références doit reposer sur l’une des 6 bases de licéité prévues par le RGPD.
Consentement
Il peut s’agir du consentement du candidat. Si un CV mentionne une personne de référence, cela peut être interprété comme un consentement de la part du candidat.
Si le candidat ne précise pas de référent dans son CV, alors l’employeur recruteur doit demander le consentement du candidat, précisant :
- les organisations et personnes pouvait être consultées par le recruteur ;
- la durée de conservation des données.
Toutefois, la liberté du consentement, dans un contexte de dépendance économique, pourra être remise en question.
Intérêt légitime
La prise de références peut-elle se fonder sur l’intérêt légitime du recruteur ? En théorie, oui, si le recruteur peut démontrer que :
- la collecte de données auprès d’un ancien employeur était la seule option possible : en effet, le recruteur devra envisager la solution la moins intrusive eu égard le candidat pour obtenir les informations manquantes.
- il ne pouvait pas solliciter des éclaircissements auprès du candidat directement avant de se tourner vers un tiers pour effectuer sa prise de référence ;
- les droits et intérêts du candidat, compte tenu de ses attentes raisonnables, ne prévalent pas sur l’intérêt légitime du recruteur.
Attention toutefois : le fait que le recruteur puisse se fonder sur son intérêt légitime ne signifie pas que l’ancien employeur puisse librement communiquer des références. L’APD a rappelé que l’ancien employeur est responsable de traitement et doit donc disposer de sa propre base de licéité pour transmettre des informations concernant un ancien travailleur. En pratique, cette communication reposera sur le consentement préalable de l’intéressé.
En définitive, aucune base de licéité n’est donc totalement confortable pour le recruteur.
Devoir d’information
Quelle que soit la base de licéité, l’employeur devra remplir son obligation d’information, et par conséquent communiquer au candidat toutes les informations requises par l’article 14 du RGPD (finalité du traitement, base de licéité, destinataire des données, droits du candidat relatifs à ses données…).
Ces informations devront être portées à la connaissance du candidat de manière claire, transparente et accessible, que ce soit oralement ou par écrit. Idéalement, le candidat devra être informé le plus tôt possible que l’employeur demandera des références à une tierce personne, et au maximum 1 mois après la collecte des informations si les circonstances le justifient.
Notre conseil :
En tant que recruteur, ne perdez pas de vue le RGPD lors de la prise de références ! Un candidat éconduit pourrait en effet vous reprocher une violation du RGPD.
Nous nous tenons à votre disposition pour toute question liée au RGPD dans le cadre du recrutement.
