Employeurs : les contrôles de la CNIL en 2018 porteront notamment sur vos fichiers de recrutement

La CNIL vient de dévoiler les trois grandes thématiques prioritaires sur lesquelles porteront ses contrôles pour 2018 et précise qu’elle s’intéressera tout particulièrement aux traitements liés au recrutement, notant que « les acteurs de ce secteur sont amenés à recourir de plus en plus à des méthodes fondées sur le big data et l’utilisation d’algorithmes d’aide au recrutement ».

Une vérification sera donc faite « sur les moyens déployés pour l’identification de candidats, les outils utilisés par les équipes RH pour leur évaluation, les critères de sélection ainsi que les conditions de traitements des données ».

Les contrôles porteront sur le respect des droits fondamentaux de la protection des données personnelles lesquels demeurent inchangés (pertinence des données collectées, durée de conservation légitime, sécurité des données…) mais également sur le respect des nouvelles obligations édictées par le RGPD (études d’impact…) même si dans ce dernier cas, comme elle l’avait déjà annoncé, la CNIL n’entrera pas immédiatement en voie de condamnation et accompagnera les entreprises dans leur démarche de conformité.

Il convient de rappeler que les contrôles de la CNIL peuvent se dérouler sur place, sur pièces, sur audition ou en ligne, ce qui permet un nombre plus important de contrôles. Généralement, la CNIL effectue 300 contrôles et un quart d’entre eux sont réalisés sur les trois grands thématiques choisies par la Commission.

En cas de non-respect des dispositions du RGPD et de la nouvelle loi du 20 juin 2018 relative à la protection des données, un système de sanctions graduelles a été mis en place. Celles-ci sont cependant lourdes de conséquence pour les entreprises.

Dès lors, il est impératif pour chaque employeur de s’assurer que ses traitements RH sont conformes à la fois aux prescriptions du RGDP, de la nouvelle loi du 20 juin 2018 relative à la protection des données personnelles mais également du Code du travail.

Pour mémoire, dans le cadre d’un recrutement, les données collectées ne doivent servir qu’à évaluer la capacité du candidat à occuper l’emploi proposé et les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats doivent être pertinentes au regard de la finalité poursuivie.

Ainsi, les employeurs doivent s’assurer :

• qu’ils ont bien informé préalablement les candidats. En effet, aux termes de l’article L.1221-8 du Code du travail, « le candidat à un emploi est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard» et
• qu’ils ont bien préalablement informé leur Comité Social et Economique. L’article L.2312-38 du Code du travail prévoit expressément que « le comité social et économique est informé préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci ».

Cette vérification est d’autant plus importante que la CNIL révèle avoir enregistré plus de 1.000 plaintes en un mois depuis le 25 Mai 2018, date d’entrée en vigueur du RGPD. Bien que ces plaintes concernent  principalement « internet et le commerce », il est tout de même nécessaire pour les entreprises de vérifier que leurs traitements RH sont bien conformes dans la mesure où les plaintes déposées auprès de la CNIL relatives à l’emploi sont en constante augmentation.