Légal / Droit du travail
Le RGPD impose que tout traitement de données personnelles repose sur une base légale explicite. Pour la vérification de CV, trois bases légales sont potentiellement applicables, avec des degrés de solidité différents.
Base recommandée. L'employeur a un intérêt légitime à recruter sur des informations exactes. Applicable si la vérification est proportionnée au poste.
Possible mais fragile : le consentement d'un candidat n'est pas libre au sens strict du RGPD en raison du déséquilibre de la relation avec l'employeur.
Applicable uniquement pour certains secteurs réglementés (santé, enseignement, finance) où la vérification des qualifications est imposée par la loi.
Quelle que soit la base légale retenue, l'employeur doit informer le candidat de la vérification. Cette information doit être fournie au moment de la collecte des données, c'est-à-dire lors de la candidature ou au plus tard avant le début de la vérification.
La CNIL a publié des lignes directrices claires sur la durée de conservation des données de candidats. Ces durées s'appliquent que le candidat soit retenu ou non.
Conservation justifiée pendant toute la durée du processus. Aucune limite fixe, mais le processus doit avoir une durée raisonnable.
2 ans maximum à compter du dernier contact, selon les recommandations CNIL. Le candidat doit avoir été informé de cette conservation prolongée.
Les données passent dans le dossier salarié, soumis à des règles différentes (durée de la relation contractuelle + 5 ans).
Au-delà de 2 ans sans contact, suppression ou anonymisation obligatoire. Les données anonymisées ne sont plus soumises au RGPD.
Le candidat dispose de droits que vous devez respecter et être en mesure d'exercer dans un délai d'un mois.
| Droit | Ce que le candidat peut demander | Délai de réponse |
|---|---|---|
| Accès (art. 15) | Obtenir copie de toutes ses données traitées | 1 mois |
| Rectification (art. 16) | Corriger des données inexactes ou incomplètes | 1 mois |
| Effacement (art. 17) | Demander la suppression de ses données | 1 mois |
| Opposition (art. 21) | S'opposer au traitement basé sur l'intérêt légitime | 1 mois |
| Limitation (art. 18) | Geler l'utilisation des données pendant un litige | 1 mois |
Si vous faites appel à un prestataire externe pour vérifier les CV (comme CVérifié), ce prestataire est un sous-traitant au sens du RGPD. Cette relation implique des obligations spécifiques.
La vérification doit être limitée aux informations en lien direct avec le poste et les compétences requises. Certaines vérifications sont explicitement interdites.
CVérifié gère l'ensemble du processus en conformité avec le RGPD : information candidat, DPA, hébergement en France, suppression des données. Vous recevez un rapport certifié sans contrainte administrative.
La base légale principale recommandée est l'intérêt légitime de l'employeur (art. 6.1.f RGPD). Elle permet la vérification sans recueillir le consentement du candidat, sous réserve que la vérification soit proportionnée au poste et que le candidat soit informé. Pour les secteurs réglementés, l'obligation légale (art. 6.1.c) peut également s'appliquer.
La CNIL recommande une durée maximale de 2 ans à compter du dernier contact avec le candidat. Au-delà, les données doivent être supprimées ou anonymisées, sauf accord exprès du candidat pour une conservation plus longue (par exemple pour être recontacté pour des offres futures).
Oui, obligatoirement. En vertu de l'art. 13 RGPD, le candidat doit être informé de la vérification, de sa finalité, de sa base légale, et de ses droits. Cette information peut figurer dans l'offre d'emploi, dans un email de confirmation de candidature, ou via un lien vers votre politique de confidentialité RH.
Oui, il peut exercer son droit d'opposition (art. 21 RGPD). Mais si vous avez des motifs légitimes impérieux qui prévalent sur ses intérêts, vous pouvez maintenir la vérification malgré son opposition. Pour un poste à responsabilité, financier ou réglementé, ce motif est généralement solide. En cas de doute, consultez votre DPO ou un avocat spécialisé.
La désignation d'un DPO n'est obligatoire que pour les organismes publics et les entreprises traitant des données sensibles à grande échelle. Pour la plupart des TPE/PME, elle est facultative. En revanche, documenter le traitement dans votre registre des activités de traitement (RAT) est obligatoire pour toute entreprise de plus de 250 salariés, et fortement recommandé en dessous.