Combien de temps puis-je conserver les données de candidature et de personnel ?

La durée de conservation découle de la finalité, non d'une liste fixe

La durée pendant laquelle les données de candidature ou de personnel peuvent être conservées dépend de la finalité pour laquelle elles ont été collectées — il n'existe aucune durée fixe qui soit identique pour chaque situation. Pour les données de candidature, cette finalité est la procédure de candidature elle-même : dès que celle-ci est terminée, par une embauche ou un refus, la raison de conserver les données de ce candidat disparaît. La conservation ne reste possible que tant qu'il existe une autre finalité concrète, par exemple parce que le candidat lui-même a indiqué vouloir rester sur la liste des candidats pour une prochaine offre d'emploi.

Pour les données de personnel, c'est différent, car la finalité — la relation de travail — persiste tant que l'emploi dure. Les données nécessaires pour exécuter cette relation peuvent donc être conservées tant que la relation existe. Après la fin de l'emploi, cette finalité disparaît pour une partie des données, mais pas pour tout : d'autres législations en dehors du RGPD peuvent imposer leur propre obligation de conservation à certaines parties du dossier de personnel, indépendamment de ce que le RGPD lui-même prescrit. Les données exactes concernées et la durée de cette obligation ne figurent pas dans le RGPD mais dans cette autre législation.

Cela découle du principe de limitation de la conservation

Cette approche provient de l'article 5 du RGPD, où le principe de limitation de la conservation est établi : les données personnelles ne peuvent pas être conservées plus longtemps que nécessaire pour les finalités pour lesquelles elles ont été collectées. Ce principe s'applique directement et uniformément dans chaque État membre, car le RGPD est un règlement. Ce qui varie, c'est qui le contrôle : aux Pays-Bas, c'est l'Autorité de protection des données, comme le prévoit également la loi de mise en œuvre du Règlement général sur la protection des données, tandis qu'en Allemagne, l'autorité de surveillance du Land où est établi le siège est compétente.