Qu'est-ce que la protection des données des candidats ?
La protection des données des candidats regroupe les obligations légales et les bonnes pratiques qui s'appliquent aux renseignements personnels recueillis pendant un recrutement : CV, coordonnées, notes d'entrevue, résultats de tests, références, vérifications, et même les scores produits par un logiciel. Le principe de base est partout le même : ne recueillir que ce qui est nécessaire, pour une fin connue du candidat, le protéger, et ne pas le garder plus longtemps que nécessaire.
Qu'est-ce qui compte comme renseignement personnel en recrutement ?
- Les informations fournies par le candidat (CV, lettre, formulaire).
- Les informations produites par l'employeur (notes d'entrevue, grilles, commentaires internes, courriels).
- Les informations obtenues de tiers (références, vérification des antécédents, profils publics).
- Les résultats d'un traitement automatisé : un score de correspondance ou un classement est lui aussi un renseignement sur la personne.
Exemples par juridiction
Québec. La Loi sur la protection des renseignements personnels dans le secteur privé, modernisée par la Loi 25, s'applique aux entreprises qui recueillent des renseignements sur des candidats. Son article 12.1 vise directement le recrutement automatisé : une entreprise qui rend une décision fondée exclusivement sur un traitement automatisé doit en informer la personne au plus tard au moment où elle l'informe de la décision. À sa demande, elle doit aussi lui indiquer les renseignements utilisés, les raisons et les principaux facteurs et paramètres ayant mené à la décision, ainsi que son droit de faire rectifier ces renseignements. La personne doit pouvoir présenter ses observations à un membre du personnel en mesure de réviser la décision.
Reste du Canada. Selon le Commissariat à la protection de la vie privée du Canada, la LPRPDE s'applique aux renseignements des employés des entreprises sous réglementation fédérale. Pour les employés des autres organisations, seules l'Alberta, la Colombie-Britannique et le Québec ont leur propre loi couvrant le secteur privé. Les principes de la LPRPDE (consentement, fins déterminées, limitation de la conservation) restent une bonne référence partout.
États-Unis. En Californie, depuis le 1er janvier 2023, les protections du California Consumer Privacy Act (CCPA) s'appliquent aux renseignements des employés et des candidats des entreprises visées : droit d'accès, de correction et de suppression, notamment. À New York, la Local Law 144 impose, avant d'utiliser un outil automatisé de décision en emploi, un audit de biais datant de moins d'un an et un avis aux candidats au moins 10 jours ouvrables avant l'utilisation. Les autres États ont des règles variables.
Ce résumé est de l'information générale, pas un avis juridique.
Bonnes pratiques
- Minimiser. Ne demandez pas de numéro d'assurance sociale, de date de naissance ou de photo à l'étape de la candidature.
- Informer. Dites au candidat à quoi serviront ses données, qui y aura accès et combien de temps elles seront conservées.
- Annoncer l'usage d'outils automatisés. Voir IA en recrutement. Une mention claire dans l'offre évite les surprises et répond à des obligations comme celle de l'Ontario.
- Garder un humain dans la décision. Une décision revue par une personne n'est pas « exclusivement automatisée ».
- Tracer. Consigner qui a vu, modifié ou décidé quoi facilite les réponses aux demandes d'accès.
- Détruire à échéance. Fixez une durée de conservation pour les candidatures non retenues et respectez-la.
Avec RecruitEasy
Les offres publiées avec RecruitEasy affichent par défaut une mention d'usage de l'IA, sur l'offre et le formulaire de candidature. Les feedbacks de refus ne partent jamais sans l'approbation d'un recruteur, et chaque approbation est enregistrée avec son auteur. Ces feedbacks ne mentionnent jamais la localisation. Le journal d'activité conserve l'historique des actions sur les candidatures. Le guide Loi 25 et recrutement au Québec approfondit les obligations propres au Québec.