L'employeur doit-il informer le candidat de la durée de conservation de ses données ?
Réponse courte
Oui, selon l'article L.261-1 du Code du travail luxembourgeois et l'article 13 du RGPD, l'employeur a l'obligation légale d'informer le candidat de la durée de conservation de ses données personnelles dès leur collecte. La durée maximale de conservation est fixée à 24 mois après le dernier contact, sauf consentement explicite du candidat pour une durée plus longue.
Définition
La durée de conservation des données de candidature désigne la période pendant laquelle l'employeur est légalement autorisé à conserver les informations personnelles d'un candidat collectées lors du processus de recrutement (CV, lettres de motivation, résultats de tests, correspondances).
Conditions d’exercice
L'employeur doit respecter plusieurs obligations légales :
- Informer le candidat de manière transparente et proactive dès la collecte des données
- Justifier objectivement la durée de conservation choisie
- Documenter l'ensemble du processus d'information
- Garantir l'égalité de traitement entre tous les candidats
- Obtenir le consentement explicite pour toute conservation au-delà de 24 mois
- Mettre en place des procédures de suppression automatique à l'échéance
Modalités pratiques
L'information sur la durée de conservation doit être communiquée via :
- Les mentions légales du site de recrutement
- Les formulaires de candidature (papier ou numérique)
- La politique de protection des données de l'entreprise
- Les accusés de réception de candidature
L'information doit préciser :
- La durée exacte de conservation prévue
- Les critères déterminant cette durée
- Les modalités de suppression des données
- Les droits du candidat (accès, rectification, effacement)
Pratiques et recommandations
Pour une gestion conforme des données de candidature :
- Implémenter un système automatisé de gestion des durées de conservation
- Établir une procédure claire de demande de consentement pour prolongation
- Former le personnel RH aux obligations légales
- Réaliser des audits réguliers de conformité
- Tenir à jour le registre des traitements
- Documenter toutes les mesures de protection mises en place
Cadre juridique
Code du travail luxembourgeois :
- Article L.261-1 relatif au traitement des données personnelles en contexte professionnel
- Article L.261-2 sur les obligations de l'employeur en matière de protection des données
RGPD :
- Article 13(2)(a) : obligation d'information sur la durée de conservation
- Article 5(1)(e) : principe de limitation de la conservation
- Article 17 : droit à l'effacement
- Article 89 : garanties pour la conservation à des fins statistiques
Délibération CNPD n°45/2024 fixant le cadre des durées de conservation en matière de recrutement.
Note
Le non-respect des obligations d'information est sanctionné par des amendes administratives pouvant atteindre 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. La CNPD effectue des contrôles réguliers sur ces aspects.