Peut-on automatiser la présélection des candidatures sans notification préalable au Luxembourg ?
Réponse courte
L’automatisation de la présélection des candidatures sans notification préalable n’est pas autorisée au Luxembourg. L’employeur doit impérativement informer les candidats, au plus tard lors de la collecte de leurs données, de l’existence, des modalités et des conséquences du traitement automatisé.
L’absence de notification préalable constitue une violation du Code du travail et de la législation sur la protection des données, exposant l’employeur à des sanctions administratives, à la nullité des décisions de recrutement concernées et à un risque de contentieux.
Définition
L’automatisation de la présélection des candidatures consiste à utiliser des systèmes informatisés, algorithmes ou logiciels pour trier, filtrer ou classer les candidatures reçues lors d’un processus de recrutement, sans intervention humaine directe à cette étape. La notification préalable désigne l’obligation d’informer les candidats, avant ou au moment de la collecte de leurs données, de l’existence et des modalités d’un traitement automatisé affectant leur candidature.
Ce traitement implique la collecte et l’analyse de données à caractère personnel, soumises à des règles strictes de transparence, de loyauté et de respect des droits des personnes concernées, conformément au droit luxembourgeois.
Conditions d’exercice
Au Luxembourg, l’automatisation de la présélection des candidatures est autorisée sous réserve du respect des obligations prévues par le Code du travail et la législation sur la protection des données à caractère personnel. L’employeur doit impérativement informer les candidats de l’existence d’un traitement automatisé, de la logique sous-jacente, ainsi que de l’importance et des conséquences prévues de ce traitement.
L’article L.241-1 du Code du travail impose l’égalité de traitement et interdit toute discrimination lors du recrutement, y compris dans le cadre de traitements automatisés. L’article 13 du Règlement (UE) 2016/679 (RGPD), transposé par la loi modifiée du 1er août 2018, impose l’information préalable des personnes concernées. L’article 22 du RGPD, également applicable, garantit le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, sauf exceptions strictement encadrées.
L’absence de notification préalable constitue une violation de ces obligations et expose l’employeur à des sanctions administratives et à la nullité des décisions prises sur cette base.
Modalités pratiques
Avant toute automatisation de la présélection, l’employeur doit :
- Informer explicitement les candidats, au plus tard lors de la collecte de leurs données, de l’existence d’un traitement automatisé, de ses finalités, de la logique sous-jacente, ainsi que de l’importance et des conséquences prévues.
- Mentionner dans la politique de confidentialité ou dans une communication distincte :
- L’existence et la nature du traitement automatisé ;
- Les critères utilisés par le système ;
- Les droits des candidats, notamment le droit d’obtenir une intervention humaine, d’exprimer leur point de vue et de contester la décision.
- Mettre en place une procédure permettant aux candidats d’exercer leurs droits, y compris la possibilité de demander une révision humaine de la décision automatisée.
- Assurer la traçabilité des traitements et la documentation des processus, conformément à l’article 30 du RGPD et à l’article 12 de la loi modifiée du 1er août 2018.
Toute modification substantielle du système automatisé ou de ses critères doit faire l’objet d’une nouvelle notification aux candidats concernés.
Pratiques et recommandations
Il est recommandé d’intégrer une mention explicite sur l’automatisation de la présélection dans toutes les offres d’emploi, formulaires de candidature et politiques de confidentialité. Cette mention doit détailler la nature du traitement, la logique du tri automatisé et les droits des candidats.
L’employeur doit veiller à ce qu’une intervention humaine soit possible à tout moment, notamment pour la révision des décisions automatisées. Il est conseillé de former les équipes RH à la gestion des droits des candidats et à la documentation des traitements automatisés.
La traçabilité des opérations et la conservation des preuves d’information sont essentielles pour démontrer la conformité en cas de contrôle de la CNPD ou de contentieux.
Cadre juridique
Les principales références juridiques applicables sont :
- Code du travail luxembourgeois :
- Loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel :
- Article 12 (transparence du traitement)
- Article 13 (information des personnes concernées)
- Article 14 (droit d’accès)
- Article 15 (droit de rectification et d’effacement)
- Règlement (UE) 2016/679 (RGPD) :
- Article 13 (obligation d’information)
- Article 22 (décision individuelle automatisée)
- Article 30 (registre des activités de traitement)
- Avis et recommandations de la CNPD sur la prise de décision automatisée et le recrutement.
Note
L’automatisation de la présélection sans notification préalable constitue une violation caractérisée du Code du travail et de la législation sur la protection des données. L’employeur s’expose à des sanctions administratives, à la nullité des décisions de recrutement concernées et à un risque de contentieux prud’homal ou devant la CNPD.