Quelle est la durée maximale de conservation des données des candidats non retenus après un entretien ?
Réponse courte
La durée maximale recommandée de conservation des données des candidats non retenus est de six mois à compter de la clôture du processus de recrutement, en l'absence de consentement explicite du candidat. Cette durée correspond à la pratique courante au Luxembourg et aux recommandations en matière de protection des données.
Au-delà de ce délai de six mois, toute conservation nécessite le consentement libre, spécifique, éclairé et documenté du candidat pour une durée déterminée, généralement limitée à deux ans maximum. Le candidat peut retirer son consentement à tout moment, entraînant la suppression immédiate de ses données.
La CNPD luxembourgeoise applique elle-même une politique stricte : destruction immédiate des candidatures non retenues après chaque processus de recrutement, démontrant l'exemplarité attendue des employeurs en matière de protection des données. Cette approche minimaliste constitue une bonne pratique à privilégier.
L'employeur doit justifier toute durée de conservation par une finalité légitime précise et proportionnée, dans le respect des principes de minimisation et de limitation de la conservation imposés par le RGPD.
Définition
La conservation des données des candidats non retenus correspond à la période pendant laquelle un employeur est autorisé à conserver les informations personnelles collectées lors d'un processus de recrutement, lorsque la candidature n'a pas été retenue. Ces données incluent le curriculum vitae, la lettre de motivation, les notes d'entretien, les tests de compétences, ainsi que toute correspondance échangée dans le cadre de la procédure de recrutement.
Cette conservation vise principalement à permettre à l'employeur de constituer un vivier de talents pour des recrutements futurs ou de se prémunir contre d'éventuelles réclamations relatives à la procédure de recrutement (discrimination, égalité de traitement). Elle doit respecter les principes fondamentaux de proportionnalité, de finalité, de minimisation des données et de limitation de la conservation.
Au Luxembourg, la pratique tend vers des durées de conservation courtes, la CNPD elle-même détruisant immédiatement les candidatures non retenues, établissant ainsi une référence en matière de protection des données dans le recrutement.
Conditions d’exercice
L'employeur doit disposer d'une base légale valide pour conserver les données des candidats non retenus. Les bases légales applicables sont principalement l'intérêt légitime de l'employeur (constitution d'un vivier de candidats, gestion d'éventuels contentieux) ou le consentement explicite du candidat.
La durée de conservation doit être strictement limitée à ce qui est nécessaire au regard de la finalité poursuivie. En l'absence de consentement explicite, la durée recommandée ne dépasse généralement pas six mois à compter de la clôture du processus de recrutement. Cette durée permet de répondre aux demandes d'information des candidats sur les motifs de non-sélection et de gérer d'éventuels recours.
| Base légale | Durée maximale recommandée | Conditions |
|---|---|---|
| Intérêt légitime | 6 mois | Gestion du processus et contentieux éventuel |
| Consentement | 2 ans maximum | Consentement libre, spécifique, éclairé et documenté |
| Pratique CNPD | Destruction immédiate | Aucune conservation au-delà du processus |
Toute conservation au-delà de six mois nécessite le consentement libre, spécifique, éclairé et renouvelé du candidat. L'égalité de traitement entre les candidats doit être assurée, et l'accès aux données limité aux seules personnes habilitées dans le cadre du recrutement.
Modalités pratiques
L'employeur doit informer chaque candidat, dès la collecte des données et au plus tard lors du premier contact, de la durée de conservation prévue, des finalités du traitement, de la base légale, ainsi que de l'ensemble de ses droits (accès, rectification, effacement, limitation, opposition, portabilité). Cette information doit être claire, concise, accessible et compréhensible.
| Élément | Délai/Action | Base RGPD |
|---|---|---|
| Information candidat | Dès la collecte | Articles 13-14 RGPD |
| Conservation sans consentement | 6 mois maximum | Article 5(1)(e) RGPD |
| Conservation avec consentement | 2 ans maximum | Article 6(1)(a) RGPD |
| Suppression sécurisée | À l'issue du délai | Article 17 RGPD |
| Documentation consentement | Preuve conservée | Article 7(1) RGPD |
À l'issue de la période de conservation, les données doivent être supprimées de manière sécurisée et définitive, y compris dans les sauvegardes et archives. Si l'employeur souhaite conserver les données au-delà de six mois, il doit obtenir un consentement explicite du candidat, qui peut retirer ce consentement à tout moment sans avoir à se justifier.
L'employeur doit assurer la traçabilité des opérations de suppression et documenter les procédures internes relatives à la gestion des données des candidats non retenus. La preuve du consentement doit être conservée et un mécanisme de rappel prévu pour solliciter son renouvellement avant expiration.
Pratiques et recommandations
Il est fortement recommandé de limiter la conservation des données des candidats non retenus à la durée strictement nécessaire, idéalement six mois maximum sans consentement. Les employeurs doivent mettre en place des procédures automatisées de suppression à l'issue de ce délai, avec documentation systématique des opérations.
L'accès aux données doit être restreint aux personnes habilitées (service RH, managers impliqués dans le recrutement), et toute opération de suppression doit être documentée pour garantir la traçabilité. En cas de conservation fondée sur le consentement, il convient de conserver la preuve écrite du consentement et de prévoir un mécanisme de rappel avant expiration.
La pratique de la CNPD luxembourgeoise (destruction immédiate des candidatures non retenues) constitue une référence d'excellence. Cette approche minimaliste limite les risques de contrôle et de sanction, tout en respectant pleinement les droits des candidats. Pour les employeurs souhaitant constituer un vivier de talents, la solution recommandée est d'obtenir systématiquement le consentement explicite des candidats intéressés.
Il est conseillé de sensibiliser les équipes RH à la protection des données, de prévoir un encadrement humain dans le traitement automatisé des candidatures, et d'effectuer régulièrement des audits de conformité sur les durées de conservation appliquées.
Cadre juridique
| Référence | Objet |
|---|---|
| Règlement (UE) 2016/679 (RGPD) | Cadre général de protection des données personnelles |
| Article 5 RGPD | Principes de minimisation et limitation de conservation |
| Article 6 RGPD | Bases légales du traitement (intérêt légitime, consentement) |
| Articles 13-14 RGPD | Obligation d'information des candidats |
| Article 17 RGPD | Droit à l'effacement des données |
| Loi du 1er août 2018 | Organisation de la CNPD et mise en œuvre du RGPD au Luxembourg |
Note
La mise en place d'une procédure systématique d'effacement des données des candidats non retenus à l'issue d'un délai de six mois maximum est essentielle pour limiter les risques de contrôle et de sanction par la CNPD. La pratique luxembourgeoise tend vers des durées courtes, privilégiez donc la destruction immédiate ou la conservation minimale.