Protection des données en recrutement (revLPD)
La protection des données en recrutement signifie que vous devez collecter, stocker et traiter les informations personnelles des candidats—noms, CV, numéros de téléphone, résultats de tests—uniquement à titre de candidature, les sécuriser et les supprimer dans un délai défini. La Loi révisée sur la protection des données (revLPD, en vigueur depuis le 1er septembre 2023) régit cela. Les violations peuvent entraîner des plaintes auprès des autorités cantonales de protection des données et des amendes jusqu'à CHF 100'000.
Lorsque vous publiez un poste ou recevez des candidatures, vous êtes responsable des données personnelles. Il s'agit du texte du CV, des adresses e-mail, des références, des résultats de tests et des notes d'entretien. La revLPD définit comment vous devez les gérer.
De nombreux employeurs suisses supposent qu'une candidature signifie que les candidats acceptent une utilisation illimitée de leurs données. C'est faux. Vous avez besoin d'une base légale—généralement le contrat de travail ou un intérêt légitime—et devez être transparent sur ce que vous faites de leurs informations.
Quand les obligations de protection des données apparaissent
Vos obligations commencent dès que vous recevez la première candidature. Cela comprend les soumissions par e-mail, les messages LinkedIn, les recommandations et les candidats internes. Vous détenez leurs données personnelles et devez les traiter conformément à la revLPD à partir de ce moment.
L'obligation se poursuit tout au long des entretiens, des vérifications de références, des vérifications d'antécédents et de la décision d'embauche finale. Si vous refusez un candidat, vous conservez toujours ses données et devez les gérer légalement jusqu'à leur suppression.
- Offres d'emploi : informations claires sur la collecte et l'utilisation des données
- Stockage des candidatures : fichiers sécurisés et séparés des autres systèmes
- Notes d'entretien : documenter uniquement les informations pertinentes au poste
- Vérification de références : informer le candidat avant de contacter les références
- Candidats refusés : fixer une date limite de suppression (généralement 30 jours à 1 an)
- Embauche réussie : transférer les données au dossier personnel avec consentement renouvelé si nécessaire
Vos principales obligations selon la revLPD
Vous devez être transparent : informer les candidats de la collecte de données, de ce que vous en feites et de la durée de conservation. Un avis de confidentialité dans l'offre d'emploi ou le formulaire de candidature est une pratique standard. Vous devez également avoir une base légale—généralement le contrat de travail ou votre intérêt légitime à recruter.
La sécurité est obligatoire. Cela ne signifie pas un logiciel d'entreprise ; un dossier protégé par mot de passe, un e-mail chiffré ou un outil de recrutement avec des contrôles d'accès basiques suffisent souvent pour une petite entreprise. Vous devez aussi désigner un responsable de la protection des données si vous traitez des données de manière systématique.
- Fournir un avis de confidentialité avant ou au moment de la candidature
- Limiter les données à ce qui est nécessaire pour la décision d'embauche
- Ne pas partager les informations des candidats avec des tiers sans consentement
- Garder les fichiers de candidatures verrouillés et accessibles uniquement à l'équipe de recrutement
- Supprimer les données des candidats refusés après un délai raisonnable (vérifier la pratique de votre canton)
- Documenter par écrit vos pratiques de conservation et de suppression
L'erreur la plus courante
La plupart des employeurs suisses collectent des CV sans politique claire de conservation et ne les suppriment jamais. Les données personnelles des candidats restent indéfiniment dans les dossiers e-mail ou les lecteurs partagés. Cela viole le principe de limitation du stockage dans la revLPD : vous ne devez pas conserver les données plus longtemps que nécessaire.
Une deuxième erreur fréquente consiste à partager les détails des candidats avec les membres de l'équipe, les entrepreneurs ou les réserves de talents sans en informer le candidat. Même le partage interne nécessite une base légale et de la transparence. Établissez une règle : seule l'équipe de recrutement voit les candidatures, et seulement pour ce poste.
- Fixer une date limite de suppression avant le début du processus de recrutement (par exemple, 90 jours après refus)
- Conserver les CV en dehors des comptes e-mail partagés ou des dossiers génériques
- Ne pas transmettre les détails des candidats aux consultants ou recruteurs externes sans consentement
- Ne pas réutiliser les données de candidatures d'anciens cycles de recrutement sans nouveau consentement
- Informer les candidats si vous conservez leurs données pour des opportunités futures
- Si un candidat demande la suppression, se conformer dans les 30 jours (droit à l'effacement)
Questions fréquentes
- Puis-je conserver le CV d'un candidat refusé 'au cas où' pour des rôles futurs ?
- Uniquement si vous l'aviez indiqué au préalable. Votre avis de confidentialité au moment de la candidature doit l'indiquer clairement. Même dans ce cas, vous devez demander un renouvellement du consentement après 12 mois. Sans consentement explicite, supprimez le fichier dans les 90 jours suivant le refus.
- Ai-je besoin d'un délégué à la protection des données (DPD) pour ma PME ?
- Non, pas automatiquement. Vous en avez besoin uniquement si votre traitement est systématique, à grande échelle ou porte sur des données sensibles (comme les antécédents criminels). La plupart des PME ne le sont pas. Mais vous devriez désigner quelqu'un en interne (responsable administratif ou responsable du recrutement) comme responsable de la protection des données en recrutement.
- Que se passe-t-il en cas de violation de la revLPD ?
- Un candidat peut déposer une plainte auprès de l'autorité cantonale de protection des données (le bureau varie selon le canton). Les violations graves peuvent entraîner des amendes jusqu'à CHF 100'000. Plus souvent, l'autorité émet un avertissement ou un ordre de suppression. Consultez un avocat si vous recevez une plainte.
Informations générales pour les employeurs suisses, pas un conseil juridique. Faites valider par un juriste tout ce qui a des conséquences légales.