Quand et comment informer les candidats de la base juridique du traitement de leurs données personnelles ?

Réponse courte

L'employeur doit informer les candidats de la base juridique du traitement de leurs données personnelles au plus tard lors de la première collecte de ces données. Cette information peut être intégrée directement dans l'offre d'emploi ou accessible via un lien vers une politique de confidentialité, à condition qu'elle soit claire, accessible et traçable.

Définition

La base juridique du traitement désigne le fondement légal autorisant un employeur à collecter et traiter les données personnelles des candidats. Dans le cadre du recrutement, elle repose principalement sur l'exécution de mesures précontractuelles (Art. 6.1.b du RGPD) ou sur l'intérêt légitime de l'employeur (Art. 6.1.f du RGPD).

Conditions d’exercice

L'information sur la base juridique doit être :

Fournie avant ou au moment de la collecte des données
Claire, transparente et facilement accessible
Rédigée en termes simples et compréhensibles
Documentée et traçable
Accompagnée des autres informations obligatoires (finalités, durée de conservation, droits des personnes)

Modalités pratiques

L'employeur peut communiquer l'information de plusieurs manières :

Dans le corps de l'offre d'emploi
Via un lien vers une politique de confidentialité
Dans le formulaire de candidature
Par une mention d'information spécifique lors de la collecte

Un point de contact humain doit être désigné pour répondre aux questions des candidats sur le traitement de leurs données.

Pratiques et recommandations

Il est recommandé de :

Intégrer systématiquement un lien vers la politique de confidentialité dans les offres d'emploi
Conserver une preuve de la transmission de l'information
Mettre à jour régulièrement les mentions d'information
Former les équipes RH aux obligations en matière de protection des données
Documenter les procédures d'information des candidats

Cadre juridique

Règlement (UE) 2016/679 (RGPD) :
- Article 6 : Bases juridiques du traitement
- Article 13 : Information lors de la collecte directe
- Article 14 : Information lors de la collecte indirecte
Loi du 1er août 2018 portant organisation de la CNPD :
- Article 12 : Obligations d'information
- Article 57 : Pouvoirs de contrôle et de sanction
Code du travail luxembourgeois :
- Article L.261-1 : Protection des données dans les relations de travail

Note

Le non-respect de l'obligation d'information peut entraîner des sanctions administratives importantes de la CNPD (jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial). Une documentation rigoureuse de la procédure d'information est essentielle pour démontrer la conformité en cas de contrôle.