Faut-il informer le candidat sur les traitements automatisés lors du recrutement au Luxembourg ?
Réponse courte
Oui, il est obligatoire d’informer le candidat sur l’existence de traitements automatisés lors du recrutement au Luxembourg. Cette information doit être fournie avant ou au moment de la collecte des données, généralement lors de la réception de la candidature, conformément à l’article L.261-1 du Code du travail et à l’article 13 du RGPD.
L’information doit être claire, accessible et comprendre au minimum la nature du traitement automatisé, ses finalités, les catégories de données concernées, la logique sous-jacente, les conséquences pour le candidat et les droits dont il dispose (notamment le droit à une intervention humaine, à exprimer son point de vue et à contester la décision). L’employeur doit également garantir la traçabilité de cette communication et conserver une preuve de l’information délivrée.
Définition
Le traitement automatisé désigne toute opération effectuée à l’aide de procédés informatiques sur des données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la conservation, la modification, l’extraction, la consultation, l’utilisation, la communication ou l’effacement de ces données. Dans le contexte du recrutement, cela inclut l’utilisation de logiciels ou d’algorithmes pour analyser, trier ou présélectionner les candidatures, sans intervention humaine systématique à chaque étape.
Le recours à des traitements automatisés dans le processus de recrutement implique que certaines décisions ou évaluations concernant les candidats peuvent être prises, en tout ou en partie, sur la base de ces traitements, ce qui soulève des enjeux particuliers en matière de transparence et de protection des droits des personnes concernées.
Conditions d’exercice
L’employeur luxembourgeois qui utilise des traitements automatisés lors du recrutement doit obligatoirement informer le candidat de l’existence de ces traitements, conformément à l’article L.261-1 du Code du travail et à l’article 13 du Règlement (UE) 2016/679 (RGPD), tel qu’appliqué par la loi du 1er août 2018. Cette obligation s’applique dès lors que des décisions ou évaluations sont fondées sur un traitement automatisé de données personnelles, même si la décision finale n’est pas entièrement automatisée.
L’information doit être délivrée avant ou au moment de la collecte des données, c’est-à-dire généralement lors de la réception de la candidature. L’égalité de traitement entre les candidats doit être garantie à chaque étape du processus, conformément à l’article L.241-1 du Code du travail.
Modalités pratiques
L’information doit être fournie de manière claire, accessible et compréhensible pour le candidat. Elle doit comporter au minimum :
- L’existence d’un traitement automatisé des données à caractère personnel ;
- Les finalités poursuivies par ce traitement (exemple : présélection des candidatures) ;
- Les catégories de données concernées ;
- La logique sous-jacente au traitement automatisé, au moins dans ses grandes lignes ;
- Les conséquences prévues pour le candidat, notamment si une décision individuelle est prise sur la base du traitement automatisé ;
- Les droits du candidat, en particulier le droit d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision (article 22 RGPD, article L.261-1 Code du travail).
L’information peut être intégrée dans la politique de confidentialité accessible lors du dépôt de candidature ou transmise par tout autre moyen garantissant sa réception effective par le candidat. L’employeur doit également assurer la traçabilité de la communication de cette information.
Pratiques et recommandations
Il est recommandé de formaliser l’information dans un document distinct ou dans une section clairement identifiée de la politique de confidentialité, afin d’éviter toute ambiguïté. Le contenu doit être adapté au niveau de compréhension du public visé et éviter le recours à un langage technique excessif.
L’employeur doit conserver une preuve de la communication de cette information, par exemple en recueillant un accusé de réception électronique ou en enregistrant l’accès à la politique de confidentialité. En cas de modification substantielle du traitement automatisé, une nouvelle information doit être communiquée aux candidats concernés.
Il est conseillé de prévoir une intervention humaine dans le processus de décision, conformément à l’article 22 du RGPD, et de documenter l’ensemble des démarches d’information et de gestion des droits des candidats.
Cadre juridique
- Code du travail luxembourgeois :
- Règlement (UE) 2016/679 (RGPD) :
- Article 13 (obligation d’information)
- Article 22 (décisions individuelles automatisées)
- Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données
La Commission nationale pour la protection des données (CNPD) veille au respect de ces obligations et peut sanctionner tout manquement constaté.
Note
L’absence d’information sur les traitements automatisés peut entraîner des sanctions administratives et compromettre la validité du processus de recrutement. Il est essentiel de documenter rigoureusement l’ensemble des démarches d’information effectuées auprès des candidats et de garantir l’intervention humaine dans toute décision ayant un impact significatif sur la situation du candidat.