Doit-on informer le candidat de la finalité du traitement de ses données au premier contact ?
Réponse courte
Oui, il est obligatoire d’informer le candidat de la finalité du traitement de ses données personnelles dès le premier contact, c’est-à-dire avant ou au moment de la collecte de ses données, quel que soit le canal utilisé (formulaire, courriel, entretien, etc.).
Cette information doit être claire, compréhensible et facilement accessible, et porter sur la finalité précise du traitement, l’identité du responsable, la durée de conservation, les droits du candidat, les destinataires éventuels et l’existence d’un transfert hors du Luxembourg. L’employeur doit pouvoir prouver que cette information a bien été communiquée.
L’absence d’information préalable ou concomitante constitue une violation de l’obligation de transparence et expose l’employeur à des sanctions administratives et à des actions en responsabilité.
Définition
L’information sur la finalité du traitement des données personnelles correspond à l’obligation, pour l’employeur ou le recruteur, de communiquer au candidat, dès la collecte de ses données, les raisons précises pour lesquelles celles-ci sont traitées. Cette exigence vise à garantir la transparence et la loyauté du traitement des données à caractère personnel recueillies dans le cadre d’un processus de recrutement.
Cette obligation s’inscrit dans le cadre du respect de la vie privée et de la protection des données à caractère personnel, conformément au Code du travail luxembourgeois et à la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel.
Conditions d’exercice
L’obligation d’information s’applique dès le premier contact avec le candidat, c’est-à-dire à partir du moment où des données personnelles sont collectées, que ce soit par formulaire en ligne, courriel, entretien téléphonique ou dépôt de candidature spontané.
L’information doit être délivrée avant ou au moment de la collecte des données. Elle doit porter sur la finalité précise du traitement, par exemple l’évaluation de la candidature en vue d’un recrutement pour un poste déterminé ou la constitution d’une réserve de recrutement.
Cette obligation s’applique quel que soit le support ou le canal utilisé pour la collecte des données. L’absence d’information préalable ou concomitante constitue une violation de l’obligation de transparence imposée par la législation luxembourgeoise.
Modalités pratiques
L’information sur la finalité du traitement doit être communiquée de manière claire, compréhensible et aisément accessible au candidat. Elle peut être intégrée dans une politique de confidentialité spécifique au recrutement, affichée sur le site de l’employeur, jointe à l’accusé de réception de la candidature ou transmise lors du premier échange écrit ou oral.
Le contenu de l’information doit inclure :
- L’identité et les coordonnées du responsable du traitement
- La ou les finalités déterminées, explicites et légitimes du traitement
- La durée de conservation des données ou les critères permettant de la déterminer
- L’existence des droits du candidat (accès, rectification, effacement, limitation, opposition) et les modalités d’exercice de ces droits
- Le cas échéant, les destinataires des données et l’existence d’un transfert hors du Luxembourg
L’employeur doit être en mesure de prouver que cette information a bien été délivrée au candidat, conformément à l’obligation de traçabilité.
Pratiques et recommandations
Il est recommandé d’intégrer systématiquement une mention d’information sur la finalité du traitement dans tous les supports de collecte de candidatures, y compris les annonces d’emploi, formulaires en ligne et courriels de réponse automatique.
Pour les candidatures spontanées ou les contacts informels, il convient de prévoir une procédure interne garantissant la remise de l’information dès le premier échange. L’information doit être adaptée au contexte du recrutement et actualisée en cas de modification de la finalité initialement annoncée.
En cas de conservation des candidatures pour des besoins futurs, une information spécifique et distincte doit être fournie, accompagnée, le cas échéant, de la collecte du consentement du candidat. Il est conseillé de conserver une preuve de la communication de l’information (copie d’e-mail, accusé de réception, capture d’écran du formulaire en ligne) afin de pouvoir justifier du respect de l’obligation en cas de contrôle par la Commission nationale pour la protection des données (CNPD).
Cadre juridique
- Code du travail luxembourgeois :
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel :
- Article 13 (obligation d’information lors de la collecte des données)
- Règlement (UE) 2016/679 (RGPD), applicable au Luxembourg :
- Article 5 (principes relatifs au traitement des données)
- Article 13 (informations à fournir lors de la collecte)
- Lignes directrices et décisions de la CNPD (Commission nationale pour la protection des données)
Note
L’absence d’information sur la finalité du traitement lors du premier contact expose l’employeur à des sanctions administratives de la CNPD et à des actions en responsabilité de la part des candidats concernés. Il est essentiel de garantir la traçabilité de cette information et de veiller à l’égalité de traitement entre tous les candidats.