Un candidat peut-il demander la suppression de ses données après un recrutement non retenu ?
Réponse courte
Oui, un candidat non retenu peut exercer son droit à l'effacement prévu par l'article 17 du RGPD dès la notification de la décision de non-sélection. L'employeur dispose d'un délai d'un mois pour répondre et procéder à la suppression de l'ensemble des données collectées (CV, lettre de motivation, notes d'entretien, tests, correspondances).
L'effacement peut être refusé uniquement si la conservation est nécessaire à la défense d'un droit en justice, au respect d'une obligation légale ou à la constatation d'une discrimination. Dans ces cas, l'employeur doit motiver son refus par écrit et informer le candidat de son droit de réclamation auprès de la CNPD. Par défaut, les candidatures non retenues ne doivent pas être conservées au-delà de six mois sans consentement exprès du candidat.
Définition
Le droit à l'effacement, ou « droit à l'oubli », permet à toute personne concernée d'obtenir du responsable de traitement la suppression des données à caractère personnel la concernant. Il s'applique pleinement au contexte du recrutement : le candidat peut exiger la suppression de l'intégralité des éléments collectés lors du processus de sélection.
Conditions d’exercice
Le droit à l'effacement s'exerce selon des conditions précises, avec des exceptions limitativement énumérées.
| Condition | Détail |
|---|---|
| Fin de la finalité | Le recrutement est clos, le candidat n'a pas été retenu |
| Demande du candidat | Requête écrite ou électronique au responsable de traitement |
| Vérification d'identité | L'employeur vérifie l'identité du demandeur |
| Délai de réponse | Un mois à compter de la réception (art. 12 RGPD) |
| Refus possible | Obligation légale, défense d'un droit en justice, intérêt public |
| Motivation du refus | Obligation d'informer le candidat par écrit |
| Voie de recours | Réclamation auprès de la CNPD toujours ouverte |
Modalités pratiques
La procédure interne couvre sept étapes clés, de la réception de la demande à la traçabilité finale, incluant la vérification d'identité, la notification aux sous-traitants (cabinet de recrutement) et la réponse écrite dans le délai d'un mois prévu à l'article 12 du RGPD.
| Étape | Détail |
|---|---|
| Réception | Enregistrement de la demande dans un registre dédié |
| Identification | Vérification de l'identité du candidat |
| Analyse | Examen des bases de conservation et des exceptions |
| Exécution | Suppression sur tous supports : dossiers, mails, sauvegardes |
| Information des tiers | Notification aux sous-traitants concernés (cabinet de recrutement) |
| Réponse | Confirmation écrite au candidat dans le mois |
| Traçabilité | Conservation d'une preuve de la suppression effective |
Pratiques et recommandations
Informer chaque candidat, dès la réception de sa candidature, de la durée de conservation prévue et des modalités d'exercice de ses droits.
Limiter la conservation par défaut à six mois maximum après la fin du processus, sauf consentement exprès pour un maintien en vivier.
Désigner un point de contact RGPD clairement identifiable (DPO ou référent RH) pour traiter les demandes dans le délai d'un mois.
Centraliser les candidatures dans un outil permettant la suppression effective sur tous les supports, y compris les sauvegardes et les messageries.
Documenter chaque suppression et conserver une trace écrite pour démontrer la conformité en cas de contrôle de la CNPD.
Cadre juridique
Le droit à l'effacement repose sur le RGPD et la loi luxembourgeoise.
| Référence | Objet |
|---|---|
| Art. 17 RGPD | Droit à l'effacement (droit à l'oubli) |
| Art. 12 RGPD | Modalités d'exercice des droits et délais |
| Art. 15 RGPD | Droit d'accès |
| Art. 21 RGPD | Droit d'opposition |
| Loi du 1er août 2018 | Régime général de protection des données au Luxembourg |
| Art. L.251-1 Code du travail | Principe d'égalité de traitement |
| Règlement (UE) 2016/679 | Cadre général applicable |
Note
Le non-respect du droit à l'effacement est une violation du RGPD sanctionnée par la CNPD. Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Une procédure claire et documentée est essentielle pour éviter tout contentieux.