Recrutement : la CNIL sanctionne une entreprise sur la collecte des données personnelles d'un candidat

Dans le cadre d’un recrutement, les données collectées ne peuvent vous servir qu’à évaluer la capacité du candidat à occuper l’emploi proposé (qualification, compétences, expérience, etc…).

Le Code du Travail prévoit en effet que, dans le cadre d’un recrutement, le principe de minimisation doit conduire le recruteur à ne collecter que les données présentant « un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles ».

Par ailleurs, le recruteur ne doit procéder à aucune discrimination illicite des candidats. Par exemple, une personne ne peut être écartée d'une procédure de recrutement en raison de son âge ou encore de sa situation de famille.

Vous ne pouvez pas demander à un candidat à un emploi son numéro de sécurité sociale, son lieu de naissance, des informations sur ses parents, ses frères et soeurs, ses opinions politiques, son appartenance syndicale, s’il souhaite avoir des enfants, ses mensurations, son poids, etc...

En revanche, vous êtes amené à collecter les données nécessaires à l’établissement de la DPAE, du contrat de travail, etc… 

La CNIL a été saisie récemment d’une plainte à l’encontre d’une société qui collectait de nombreuses données personnelles de candidats à l’embauche (lieu de naissance, nationalité, situation de famille, etc.).

Elle a jugé cette collecte contraire au principe de minimisation qui impose au responsable de traitement de traiter des informations limitées à ce qui est nécessaire à la réalisation des objectifs poursuivis.

Les informations demandées doivent avoir pour seul objectif de pouvoir valider ou non une candidature.

Ce n’est qu’au stade de l’embauche, c’est-à-dire une fois qu’une candidature a été définitivement retenue, que l’employeur pourra collecter des données supplémentaires (état civil complet, comprenant notamment la date et le lieu de naissance, l’adresse postale, le numéro de sécurité sociale, les copies des justificatifs, etc.).

En effet, seules les données des candidats retenus sont nécessaires pour l’accomplissement des formalités obligatoires de l’employeur (déclaration préalable à l’embauche, déclaration sociale nominative, etc.).

La société demandait en l'espèce aux candidats de fournir obligatoirement leur lieu de naissance, leur nationalité, leur situation de famille (s’ils étaient en couple, les nom et prénom de leur conjoint, leur date et lieu de naissance, leur profession, le nombre d’enfants et leur âge) ainsi que l’ensemble des salaires perçus dans les entreprises précédentes (salaire brut annuel global dont variable).

La présidente de la CNIL a rappelé dans ce contexte à la société que, dans le cadre d’un recrutement, n’est pas justifiée la collecte auprès d’un candidat à un emploi :

• des informations relatives aux membres de sa famille ;
   
• du lieu de naissance du candidat ;
   
• d’informations relatives à la nationalité d’un candidat pour évaluer sa capacité à occuper l’emploi proposé. Un niveau de détail agrégé (par exemple sous forme de trois options : « Français », « ressortissant de l’Union européenne » ou « hors UE ») devrait suffire, notamment pour les emplois dits « de souveraineté ».
  
  Dans le cas des candidats de nationalité étrangère, les informations relatives à la possession d’un titre les autorisant à travailler en France font partie des données susceptibles d’être collectées dans le cadre du recrutement ;
   
• du montant des salaires perçus par le passé d’un candidat, à l’initiative d’un recruteur.
  
  Cette information ne présente pas d’utilité pour apprécier la capacité à occuper l’emploi proposé ou les aptitudes du candidat, et ne sont de ce fait pas compatibles avec les dispositions du code du travail. Le candidat peut cependant, de sa propre initiative, fournir tout élément utile à la justification de ses prétentions salariales.

La société s’étant conformée à cette mise en demeure, la présidente de la CNIL a clôturé la procédure de mise en demeure à son encontre.

Communiqué CNIL du 25 avril 2024.