Un candidat peut-il exiger la suppression immédiate de ses données ?
Réponse courte
Un candidat peut demander la suppression immédiate de ses données personnelles, notamment si celles-ci ne sont plus nécessaires, si le consentement est retiré, si les données ont été traitées illicitement ou si la loi l’exige. L’employeur doit alors répondre à cette demande dans un délai d’un mois, prolongeable de deux mois en cas de complexité, et motiver tout refus.
Cependant, l’employeur peut refuser la suppression immédiate si la conservation des données est nécessaire pour respecter une obligation légale ou pour la défense de ses droits en justice. Toute décision de refus doit être justifiée et le candidat informé de ses voies de recours auprès de la CNPD ou des juridictions compétentes.
Définition
Le droit à l’effacement, ou « droit à l’oubli », permet à un candidat de demander à un employeur la suppression de ses données personnelles collectées lors d’un processus de recrutement. Ce droit concerne toutes les informations permettant d’identifier directement ou indirectement le candidat, telles que le CV, la lettre de motivation, les notes d’entretien ou toute correspondance liée à la candidature.
Ce droit s’inscrit dans le cadre de la protection des données à caractère personnel, qui impose à l’employeur de traiter ces données de manière loyale, transparente et sécurisée, conformément aux principes du Code du travail luxembourgeois et de la législation sur la protection des données.
Conditions d’exercice
Le candidat peut exercer son droit à l’effacement dans les situations suivantes :
- Les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées (par exemple, la procédure de recrutement est terminée et la candidature n’a pas été retenue).
- Le candidat retire son consentement, lorsque le traitement était fondé sur ce consentement et qu’aucun autre fondement légal ne justifie la conservation.
- Les données ont fait l’objet d’un traitement illicite.
- L’effacement est requis pour respecter une obligation légale incombant à l’employeur.
L’employeur peut toutefois refuser la suppression immédiate si la conservation des données est nécessaire pour :
- Respecter une obligation légale, notamment en matière de défense en justice ou de conservation des preuves en cas de litige relatif au recrutement.
- Constater, exercer ou défendre des droits en justice, conformément à l’article L.261-1 du Code du travail.
Modalités pratiques
La demande d’effacement doit être adressée par écrit à l’employeur, de préférence par voie électronique ou courrier recommandé, et permettre d’identifier clairement le demandeur. L’employeur dispose d’un délai d’un mois à compter de la réception de la demande pour y répondre.
Ce délai peut être prolongé de deux mois en cas de complexité ou de multiplicité des demandes, sous réserve d’en informer le candidat dans le délai initial d’un mois. En cas de refus, l’employeur doit motiver sa décision et informer le candidat de son droit d’introduire une réclamation auprès de la Commission nationale pour la protection des données (CNPD) ou de former un recours juridictionnel.
L’employeur doit également garantir la traçabilité des demandes et des réponses, et veiller à ce que la suppression soit effective et sécurisée, conformément à l’article L.261-1 et suivants du Code du travail.
Pratiques et recommandations
Il est recommandé aux employeurs de limiter la conservation des données des candidats non retenus à une durée maximale de six mois après la clôture du recrutement, sauf consentement exprès du candidat pour une conservation prolongée en vue de futurs recrutements.
Toute conservation au-delà de cette durée doit être justifiée par un intérêt légitime, documentée et faire l’objet d’une information claire auprès du candidat. Les employeurs doivent mettre en place des procédures internes pour permettre la suppression rapide et sécurisée des données à la demande du candidat.
Il est également conseillé d’informer les candidats, dès la collecte, de leurs droits, des modalités d’exercice et de la possibilité de saisir la CNPD en cas de litige.
Cadre juridique
- Code du travail luxembourgeois :
- Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données
- Règlement (UE) 2016/679 (RGPD), applicable au Luxembourg
- CNPD : recommandations et lignes directrices en matière de recrutement et de gestion des données des candidats
Note
L’absence de réponse ou le refus injustifié de suppression peut exposer l’employeur à des sanctions administratives prononcées par la CNPD, ainsi qu’à des actions en responsabilité civile de la part du candidat. L’égalité de traitement et la traçabilité des demandes doivent être assurées à chaque étape du processus.