Pour les données de candidature des candidats qui n'ont pas été retenus, il n'existe pas de délai fixe dans le RGPD lui-même. Le règlement établit uniquement le principe de limitation du stockage: vous ne pouvez pas conserver les données plus longtemps que nécessaire pour l'objectif pour lequel vous les avez collectées. L'Autorité de protection des données complète cette disposition pour la pratique du recrutement et de la sélection par une directive fixant un délai de quatre semaines suivant l'achèvement de la procédure, avec la possibilité de l'étendre jusqu'à un an maximum si le candidat y consent.
Cela signifie en pratique que vous supprimez le CV, la lettre de motivation, les rapports d'entretien et les résultats de tests éventuels d'un candidat rejeté dans les quatre semaines, sauf si vous avez explicitement et séparément demandé son consentement pour conserver les données plus longtemps, par exemple pour un prochain poste à pourvoir.
Pourquoi ce délai ne figure pas dans la loi elle-même
Le RGPD ne mentionne pas, pour la plupart des types de données, un nombre concret de semaines ou de mois. Le législateur a opté pour une norme ouverte: ne conservez pas plus longtemps que nécessaire, et si vous ne pouvez plus justifier l'objectif, les données doivent être supprimées ou anonymisées. Pour des situations spécifiques, comme les procédures de candidature, les autorités de contrôle ont donc publié des directives pratiques qui recommandent un délai concret. Ce n'est pas une obligation légale au sens d'un article contenant un chiffre, mais c'est l'étalon auquel l'Autorité de protection des données se conforme lorsqu'elle examine si un délai de conservation est raisonnable.
Cette distinction est importante pour la façon dont vous le documentez en interne: vous ne pouvez pas faire référence à «le délai légal de quatre semaines», car il ne figure pas ainsi dans le RGPD. Vous pouvez cependant faire référence à la directive de l'autorité de contrôle et expliquer pourquoi vous utilisez ce délai comme point de départ.
Consentement pour une période plus longue
Si vous souhaitez conserver le CV d'un candidat plus longtemps, par exemple parce que les profils se rapprochent et qu'un poste similaire s'ouvrira bientôt, le consentement explicite du candidat est la voie habituelle. Vous demandez ce consentement séparément, indépendamment de la candidature elle-même, et le candidat doit pouvoir le retirer aussi facilement qu'il l'a donné. Sans ce consentement, il n'existe pas de base légale pour conserver plus longtemps les données d'un candidat rejeté, et cela s'applique également lorsque vous laissez les données dans un tiroir ou un dossier numérique «pour plus tard».
Il est recommandé de lier la demande de consentement à un délai concret, par exemple un an, plutôt qu'à une période indéterminée. Un candidat qui donne son consentement sait alors aussi quand ses données disparaîtront automatiquement.
Ce que vous documentez à ce sujet
Ce délai de conservation ne doit pas rester dans votre tête, mais aussi dans votre registre des activités de traitement: quelles données de candidature vous traitez, dans quel but, combien de temps vous les conservez et sur quelle base légale une éventuelle prolongation a lieu. Cela facilite également votre propre travail en supprimant régulièrement plutôt que de laisser traîner les données «parce qu'il n'y a pas encore eu de raison de les supprimer». Dans la base de connaissances sur les délais de conservation par type de données vous trouverez, en plus des données de candidature, les délais qui s'appliquent aux autres dossiers de personnel et aux données administratives.
Il est judicieux de ne pas dissocier cet accord du reste de vos processus RH. Celui qui gère la procédure de candidature est généralement aussi celui qui doit s'assurer que les CV des candidats rejetés disparaissent réellement des boîtes aux lettres électroniques, des dossiers partagés et du système de suivi des candidatures, pas seulement du premier système auquel quelqu'un pense.
Les autres données de personnel obéissent à des délais différents
Le délai de conservation des données de candidature des candidats rejetés est distinct des périodes de rétention qui s'appliquent une fois qu'une personne est effectivement embauchée. Les données salariales, contrats et documents fiscaux des collaborateurs sont soumis à d'autres règles, souvent avec une obligation légale de conservation découlant de la législation fiscale plutôt que du RGPD. Pour voir cela côte à côte, vous trouverez dans la foire aux questions sur les données de personnel un aperçu des situations les plus courantes.
Le fait qu'un délai de conservation spécifique soit approprié à votre situation, quel texte de consentement vous convient le mieux et comment vous l'assurez en interne est finalement quelque chose que vous alignerez mieux avec un juriste ou, en cas de doute sur l'application de la loi, avec l'Autorité de protection des données. Ce que nous proposons est une structure : un lieu où ce délai s'exécute automatiquement dans votre registre, au lieu que vous deviez y penser vous-même. Plus de détails sur le fonctionnement du lien entre le registre et le délai, vous pouvez le lire via l'explication sur le fonctionnement du système.
Si vous souhaitez savoir si votre manière actuelle de conserver les données de candidature correspond à celle d'autres PME, effectuez alors le diagnostic rapide gratuit ou parcourez les sujets de la base de connaissances. Les deux sont consultables sans compte et vous donnent en quelques minutes une première image de votre situation.