Peut-on conserver les coordonnées d’anciens candidats ?
Réponse courte
La conservation des coordonnées d’anciens candidats est possible uniquement si l’employeur obtient leur consentement explicite, libre, spécifique, éclairé et univoque, recueilli séparément de la candidature initiale. Ce consentement doit être prouvé et la durée de conservation ne peut excéder deux ans à compter du dernier contact, sauf renouvellement exprès du consentement.
L’employeur doit informer clairement les candidats de la finalité, de la durée de conservation et de leurs droits, et garantir la sécurité, la confidentialité et la traçabilité des données. À l’expiration du délai ou sur demande du candidat, les données doivent être supprimées sans délai.
Définition
La conservation des coordonnées d’anciens candidats correspond à la pratique par laquelle un employeur ou un service RH conserve, après la clôture d’un processus de recrutement, les données personnelles (nom, adresse, téléphone, courriel, CV, etc.) de personnes non retenues pour un poste. Cette conservation vise principalement à constituer un vivier de talents pour de futurs recrutements, tout en respectant les droits fondamentaux des personnes concernées.
La notion de données personnelles s’entend au sens de l’article 1er de la loi du 1er août 2018 et de l’article 4 du Règlement (UE) 2016/679 (RGPD), c’est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable.
Conditions d’exercice
La conservation des données des anciens candidats est strictement encadrée par la législation luxembourgeoise sur la protection des données à caractère personnel. L’employeur doit disposer d’une base légale pour conserver ces données après la procédure de recrutement. En l’absence d’une obligation légale ou contractuelle, le consentement explicite, libre, spécifique, éclairé et univoque du candidat est requis (article 6, RGPD ; article 5, loi du 1er août 2018).
La conservation ne peut excéder la durée strictement nécessaire à la finalité poursuivie, à savoir la prise de contact pour de futures opportunités d’emploi. Le principe de minimisation des données (article 5, RGPD) impose de ne conserver que les informations pertinentes et nécessaires.
L’égalité de traitement entre candidats doit être respectée (article L.241-1 et suivants du Code du travail), et toute conservation doit être traçable et encadrée par des mesures humaines et organisationnelles appropriées.
Modalités pratiques
Lors de la collecte des données, l’employeur doit informer le candidat, de manière claire et distincte, de la possibilité de conserver ses données après la procédure de recrutement, de la durée de conservation envisagée, ainsi que de ses droits (accès, rectification, effacement, limitation, opposition) conformément à l’article 13 du RGPD et à l’article 12 de la loi du 1er août 2018.
Le consentement doit être recueilli séparément de la candidature initiale, par une action positive (case à cocher non pré-cochée, signature distincte, etc.), et sa preuve doit être conservée. La durée maximale de conservation recommandée par la CNPD est de deux ans à compter du dernier contact avec le candidat. À l’issue de ce délai, les données doivent être supprimées, sauf renouvellement exprès du consentement.
Des mesures techniques et organisationnelles appropriées doivent être mises en place pour garantir la sécurité, la confidentialité et la traçabilité des données conservées (article 32, RGPD ; article 33, loi du 1er août 2018). L’accès aux données doit être limité aux seules personnes habilitées.
Pratiques et recommandations
Il est recommandé de documenter systématiquement le recueil du consentement et de tenir un registre des traitements mentionnant la conservation des données de candidats non retenus (article 30, RGPD ; article 34, loi du 1er août 2018).
Les responsables RH doivent veiller à limiter l’accès à ces données aux seules personnes autorisées et à ne pas utiliser les coordonnées à d’autres fins que celles initialement prévues. Toute communication ultérieure avec l’ancien candidat doit rappeler la finalité de la conservation et offrir la possibilité de retirer son consentement à tout moment.
En cas de demande d’effacement, l’employeur doit procéder à la suppression effective des données dans les meilleurs délais (article 17, RGPD). Il est déconseillé de conserver les données sans consentement ou au-delà de la durée strictement nécessaire, sous peine de sanctions administratives et pénales prévues par la législation luxembourgeoise.
Cadre juridique
- Loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel (articles 1, 5, 12, 33, 34)
- Règlement (UE) 2016/679 (RGPD) : articles 4, 5, 6, 13, 17, 30, 32
- Code du travail luxembourgeois : articles L.241-1 et suivants (égalité de traitement)
- Recommandations et lignes directrices de la Commission nationale pour la protection des données (CNPD)
- Jurisprudence luxembourgeoise relative à la conservation des données de candidats
Note
Veillez à obtenir et conserver la preuve du consentement explicite de chaque candidat pour toute conservation de données au-delà du recrutement. Supprimez systématiquement les données à l’expiration du délai autorisé ou sur demande du candidat, et assurez-vous que seules les personnes habilitées y ont accès.