Regards croisés : droit des données personnelles et Droit du travail.

En pratique, force est de constater qu’un mauvais recrutement est une source d’angoisse pour les employeurs, si bien que certains d’entre eux peuvent, afin de se rassurer et de limiter le risque sur leur potentielle recrue, réaliser des recherches « annexes », notamment sur les réseaux afin de voir si la perle rare est un véritable trésor ou si elle « cache » des choses inavouables…

Selon une étude publiée le 11 juillet 2023 par la DARES (Direction de l’Animation de la Recherche, des Études et des Statistiques), au 1er trimestre 2023, 297 600 fins de période d’essai ont été constatées en France.

Ce chiffre peut être mis en comparaison avec le 1er trimestre 2022, où 274 209 fins de période d’essai ont été constatées. Il y a donc eu une légère augmentation : ce qui peut pousser les employeurs à redoubler de vigilance lors du recrutement.

Légitimement, on peut se poser la question suivante : un employeur peut-il jouer au détective grâce aux outils proposés sur Internet ? Quelles sont les limites ?

L’accessibilité efficiente d’un contenu en ligne et l’accès immédiat à des informations sur une personne fait parfois oublier à chacun que certaines d’entre elles relèvent du régime protecteur de l’article 9 du Code Civil en application duquel « Chacun a droit au respect de sa vie privée ».

Ce sujet se situe au cœur des dispositions du droit du travail et du droit des données personnelles. Les deux visions seront dès lors exposées ci-dessous.

I. La conciliation entre la collecte d’informations sur les candidats et le respect de sa vie privée.

Pendant la phase de recrutement, l’employeur va être conduit à collecter des informations sur les candidats.

Quelles informations peuvent être demandées au candidat ?

L’article L1221-6 du Code du Travail exclut les informations personnelles. L’employeur ne peut donc demander que des informations lui permettant d’apprécier la capacité du candidat à occuper l’emploi proposé et ses aptitudes professionnelles (par exemple, les diplômes ou les expériences professionnelles).

Ce principe semble aller de soi, pourtant, certains employeurs peuvent être tentés de poser des questions extra-professionnelles (vie sentimentale, état de santé, appartenance syndicale, opinion politique).

Même si un candidat est tenu de répondre de bonne foi aux questions posées, il a droit au respect de sa vie privée [1], et ne peut donc refuser de répondre à des questions sans lien avec l’emploi proposé.

Sans surprise, la jurisprudence va en ce sens, et a pu considérer qu’il est interdit de demander à un candidat à un emploi son numéro de sécurité sociale, des informations sur son état de santé [2], ou encore concernant sa famille, ses opinions politiques, son appartenance syndicale [3].

Par exemple, l’état de santé peut être au cœur de préoccupation voire suspicions de l’employeur.

Toutefois, un candidat n’a pas à révéler son état de santé ou son handicap. Si l’employeur le découvre postérieurement à l’embauche, toute rupture consécutive du contrat pour ce motif est nulle [4].

Bannissez donc toutes questions extra-professionnelles lors de vos entretiens d’embauche !

Comment déterminer et mettre en place des méthodes de recrutement tout en respectant les libertés et droits fondamentaux du candidat ?

Le choix des méthodes de recrutement est à la libre appréciation de l’employeur (questionnaire d’embauche, tests de personnalités, etc.).

Néanmoins, les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie [5]. Bien entendu, ces méthodes doivent être impliquer des actions de conformité afin de respecter le règlement pour la protection des données.

L’employeur devra nécessairement mettre en balance la légitimité professionnelle de ces méthodes de recrutement avec le respect des libertés et droits fondamentaux du candidat (notamment vie privée du candidat).

Si votre entreprise est dotée d’un CSE, vous devez le consulter dans le cadre des informations-consultations ponctuelles, et ce préalablement à leur utilisation, et en cas de modification [6].

Il y a donc une double exigence à respecter :

• déterminer en amont la finalité des méthodes de recrutement ou d’évaluation des candidats
• informer le CSE, si l’entreprise en est dotée.

II. S’agissant de l’accès aux données personnelles publiquement disponibles lors d’un recrutement.

En sus du respect des dispositions du Code du Travail édictées ci-dessus, l’employeur devra respecter la règlementation relative aux données personnelles, à savoir le Règlement Général pour la Protection des Données (RGPD), ainsi que la Loi pour la confiance dans l’économique numérique (LIL).

La collecte, par l’employeur de données personnelles afférentes au candidat constitue un « traitement » au sens des dispositions du règlement général pour la protection des données.

L’employeur doit dès lors respecter l’ensemble des principes édictés par cette règlementation. Au sein de ces principes se trouvent notamment :

• le principe de minimisation des données : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » [7]

• le principe de loyauté et transparence : « les données doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée » (Article 5.1.a). De ce principe, incombe notamment une obligation d’information auprès du responsable des traitements [8]

• le principe de limitation de conservation : « les données conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » [9]. Il ressort donc de ces dispositions, qu’une durée de conservation des données doit être raisonnable.

Le principe de minimisation des données.

En pratique, force est de constater que les employeurs lors de recrutements ne respectent pas le principe de minimisation des données et sollicitent de nombreuses informations qu’ils ne devraient pas avoir dans le cadre d’un recrutement (c’est ce qui ressort des différents audits juridiques réalisés au sein de plusieurs structures petites, moyennes ou grandes).

En effet, beaucoup d’employeurs opèrent une confusion entre les données recueillies dans le cadre de l’entretien d’embauche et l’embauche. Au stade de la première phase, les données collectées sont plus restreintes que dans le cadre de l’embauche. C’est ainsi que de nombreux employeurs collectent à tort le code NIR (Numéro de sécurité sociale) des candidats !

En tant qu’employeur, vous ne pourrez obtenir des éléments supplémentaires qu’à partir du moment où le candidat est embauché, et devient donc salarié de votre entreprise.

Ainsi, vous serez en droit de lui demander son numéro de sécurité sociale, son RIB (avec coordonnées bancaires), son justificatif de domicile.

La Commission Nationale de l’Informatique et des Libertés (CNIL) le rappelle à plusieurs reprises dans ses multiples publications : les données collectées dans le cadre d’un recrutement doivent permettre à l’employeur d’apprécier la capacité du candidat à occuper l’emploi proposé et de mesurer ses aptitudes professionnelles : qualifications, expériences…

Par exemple et dans le cadre d’un recrutement, il peut s’agir d’informations telles que l’identité du candidat (nom et prénom), sa formation (diplômes) et de ses expériences professionnelles (stages, alternances, postes précédents…). Ces informations sont souvent présentes dans le CV communiqué par le candidat.

Alors, qu’en est-il des données issues des réseaux professionnels tels que LinkedIn ? et des réseaux non-professionnels et/ou des données issues des résultats de moteurs de recherche ?

Au sein de son Guide de recrutement, publié le 30 janvier 2023, la CNIL indique que

« pour s’assurer de la conformité de leur démarche, les acteurs concernés doivent mener une réflexion sur la manière dont la consultation des réseaux sociaux, et autres sources ouvertes peut être intégrée dans le processus de recrutement, et particulièrement s’assurer de leur pertinence par rapport à cette finalité : quelles sources consulter ? Quelles données en extraire ? Comment identifier les finalités du traitement initial ? » [10].

Internet permet en quelques clics, d’avoir accès très rapidement à différentes informations comme des photographies, des vidéos, des textes, des blogs personnels, l’adhésion à des clubs de sports ou à des associations, des engagements, à des résultats de performances sportives…

L’adhésion à des partis politiques peut également faire partie des renseignements collectés par un employeur lorsqu’il se rend sur les moteurs de recherche !

Or, et en application de l’article 9 du RGPD, de telles données sont sensibles. L’article 9.1 du RGPD dispose à cet effet :

« le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits ».

En seulement quelques clics, l’employeur peut donc avoir rapidement accès à cette catégorie de données.

Concrètement, ces données ne respectent pas le principe de minimisation des données et ne permettent pas à l’employeur de savoir si le candidat est ou non apte à réaliser le poste proposé. Ce sont les raisons pour lesquelles nous déconseillons fortement à un employeur de réaliser de telles pratiques dans le cadre d’un recrutement.

La CNIL rejoint à cet effet notre analyse puisqu’elle indique :

« en particulier, il n’existe aujourd’hui pas d’interdiction formelle, pour un recruteur, de consulter un site, une plateforme ou un réseau social spécifique, pour chercher des données relatives à un candidat. Néanmoins, il est évident que le risque, pour un recruteur, de trouver des éléments ne présentant aucun lien avec les activités professionnelles du candidat, est très élevé lorsqu’il consulte des éléments disponibles sur des plateformes, sites et réseaux sociaux dont l’utilité première n’est pas professionnelle. La prise en compte de tels éléments dans le cadre du processus de recrutement serait illicite et constituerait un manquement à la règlementation applicable » [11].

Dans ces conditions, la CNIL recommande aux recruteurs de concevoir leurs schémas organisationnels de manière à éviter par principe la consultation de toutes sources autres que des réseaux sociaux, sites et plateformes spécialement dédiés à des échanges professionnels. Cette dernière indique que : « toute exception à cette règle doit être justifiée et limitée à des types de postes spécifiques. La formalisation de ces procédures dans une charte éthique et des actions de sensibilisation des personnes en charge de recrutement, pourraient constituer autant de démarches conformité pour les acteurs concernés » [12].

L’obligation d’information.

L’employeur peut légitimement, et afin de compléter ou d’évaluer la cohérence des informations communiquées par le candidat, se rendre sur des réseaux professionnels tels que Viadeo ou LinkedIn.

A ce stade, l’employeur devra veiller à ne consulter que les contenus strictement en lien avec l’activité professionnelle du candidat.

En la matière, une telle pratique peut engendrer des risques tels que l’inexactitude des données collectées en cas d’homonymie (point soulevé par la CNIL au sein de son guide de recrutement), ou l’accès à des informations privées, qui ne permettent pas à l’employeur d’apprécier manifestement la capacité du candidat à occuper l’emploi proposé et à mesurer ses aptitudes professionnelles.

La consultation de tels profils devra dès lors faire l’objet d’une information auprès du candidat concerné. Cette obligation d’information s’apprécie au regard du principe de loyauté qui régit les relations contractuelles entre le salarié et l’employeur.

Lorsque l’employeur consulte des contenus mis en ligne sur les réseaux sociaux, l’article L1221-9 du Code du Travail s’applique, et indique qu’aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.

Etant précisé qu’aucune condition de forme n’est posée par l’article précité. Toutefois, l’employeur doit se ménager la preuve d’une telle information : un écrit est donc la forme la plus adaptée (par exemple au sein d’une politique de confidentialité).

Le principe de limitation de conservation.

Les données doivent être supprimées ou archivées pour une durée déterminée (notamment en cas de contentieux). L’archivage limité de ces données peut permettre à l’employeur de se parer également contre toute accusation de discrimination à l’embauche, et d’avancer des raisons objectives justifiant le rejet d’une ou des candidatures. L’employeur pourra, au regard des notes prises lors des entretiens d’embauche, s’appuyer sur le manque d’expérience professionnelle d’un candidat ou bien l’absence d’un diplôme.

Un candidat peut ressentir à tort une discrimination à l’embauche, s’il considère avoir rempli les conditions requises. Sur ce point, la jurisprudence peut paraître contradictoire, dans la mesure où le candidat écarté n’est pas en droit de connaître le choix final de l’employeur, mais le refus d’un employeur de donner une justification du rejet de sa candidature pourrait constituer un indice présumant l’existence d’une discrimination [13].

Par exemple, un salarié avait sollicité le versement de dommages et intérêts au titre d’une discrimination à l’embauche en raison de son nom à consonance extra-européenne. Il avait établi et produit des statistiques faisant apparaître une surreprésentation d’embauches aux patronymes européens. L’employeur n’a pas pu apporter d’éléments objectifs étrangers à toute discrimination. Il a été condamné à verser 3 000 euros de dommages et intérêts au salarié en raison d’une discrimination à l’embauche [14].

III. S’agissant des bonnes pratiques à avoir en cas de consultation des données afférentes au salarié présentes sur Internet.

En considération de ce qui précède, nous recommandons à l’employeur de suivre les bonnes pratiques suivantes avant d’obtenir des informations sur son candidat par l’intermédiaire d’Internet :

• informer au préalable le candidat des techniques et sources de données

• informer le candidat d’une telle démarche : l’employeur doit informer les salariés lorsqu’un dispositif est mis en place pour recueillir les données personnelles. Le RGPD dresse une liste des éléments qui doivent être porter à la connaissance des salariés [15]

• intégrer ce traitement au sein de la politique de confidentialité candidat/Salarié de votre entreprise

• intégrer ce traitement au sein du registre des activités de traitement (Le registre des activités de traitement est un outil de pilotage qui participe à la documentation de la conformité)

• se rendre exclusivement sur des réseaux professionnels qui sont susceptibles de permettre à l’employeur de consulter des contenus strictement en lien avec le parcours du candidat et à l’appréciation de ses aptitudes professionnelles

• si à titre exceptionnel, l’employeur considère que la consultation de réseaux autres que professionnels est nécessaire en considération de l’emploi proposé (pour des emplois spécifiques) : limiter et justifier l’utilisation de tels réseaux

• comme le recommande la CNIL au sein de son guide : formaliser ces procédures dans une charte éthique ainsi que par des actions de sensibilisation des personnes en charge du recrutement

• évaluer la nécessité de réaliser une analyse d’impact relative à la protection des données (AIPD) en cas de consultation régulière de sites non professionnels dans le cadre du processus de recrutement (L’AIPD un outil qui permet de construire un traitement conforme au RGPD et respectueux de la vie privée, lorsqu’un traitement de données personnelles est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées)

• supprimer les informations collectées dans les délais raisonnables. A cet effet, la CNIL a émis des recommandations (CNIL, Guide recrutement, les fondamentaux en matière de protection des données personnelles et questions-réponses, publié le 30 janvier 2023, p 49 à 53).

En définitive, les renseignements pris lors du recrutement son à manier avec prudence et être minimes.