Copie de pièce d’identité par l’employeur et RGPD
Recruter produit du papier : CV, diplômes, références et, tôt ou tard, quelqu’un demande une copie de la pièce d’identité du candidat. Avant qu’un employeur conserve une copie de pièce d’identité, le RGPD pose une question : cette étape en a-t-elle besoin ? La plupart, non. Les RH peuvent collecter ce qu’exige l’étape en cours, voir une pièce d’identité au lieu de la copier, et ne rien détenir de plus que ce que cette étape demande. Voici comment cela se passe au fil d’un recrutement.
Collecter ce qu’exige l’étape en cours
La règle de minimisation des données du RGPD veut que les données personnelles soient « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard de la finalité (article 5, paragraphe 1, point c)). Dans un recrutement, la finalité change à mesure que le processus avance :
- La candidature : un CV et ce qui montre que la personne peut faire le travail. Ni pièce d’identité, ni coordonnées bancaires.
- Les entretiens et la présélection : éventuellement des diplômes ou des références.
- L’offre et l’intégration : ce dont le contrat et la paie ont besoin.
À chaque étape, ne demandez que ce dont cette étape a besoin. Un document demandé dès le départ reste dans vos dossiers pour chaque candidat qui n’est pas embauché.
Le RGPD permet aussi à chaque pays de prévoir des règles plus spécifiques pour les relations de travail (article 88). Vérifiez les règles du pays où vous recrutez ; cet article s’en tient au RGPD.
Copie de pièce d’identité par l’employeur et RGPD : voir, noter
Pour confirmer l’identité d’une personne, il suffit en général de voir sa pièce d’identité. Regardez-la en personne ou en visioconférence, puis notez que vous l’avez vérifiée, quand et par qui.
Cette mention est souvent la seule trace dont vous avez besoin. L’autorité de protection des données de Rhénanie-du-Nord-Westphalie, à propos des entreprises qui vérifient des cartes d’identité, indique que, lorsqu’une trace est nécessaire, une mention attestant que la pièce a été présentée suffit, et qu’une copie faite pour l’identification doit être détruite une fois la vérification terminée (LDI NRW, Allemagne, en allemand). Le même raisonnement, pour les clients : faut-il conserver une copie de la pièce d’identité d’un client ?
Quand une copie complète est exigée
Certains contrôles font exception. Au Royaume-Uni, la vérification du droit de travailler (right to work) est le contrôle de l’employeur lui-même, avec ses propres règles sur les copies (gov.uk, Royaume-Uni, en anglais) ; une copie occultée n’y suffit pas. Quels contrôles exigent une copie complète, et pourquoi : quand une copie complète de la pièce d’identité est exigée.
Demander aux candidats des copies occultées
Lorsqu’un document vous est nécessaire, demandez les champs dont vous avez besoin et rien d’autre, avec un marquage à votre nom et pour la finalité. Le kit de demande contient un message prêt à envoyer, en huit langues. Il oriente les candidats vers un outil gratuit qui occulte le reste sur leur propre appareil, sans envoyer le document en ligne.
Supprimer à temps
Le RGPD limite aussi la durée de conservation : pas plus longtemps que la finalité ne l’exige (article 5, paragraphe 1, point e)). Fixez une date de suppression pour chaque type de document au moment de le collecter, pour les candidats non retenus comme pour ceux qui sont embauchés. Ce que vous ne détenez plus ne peut pas fuiter.
La version de cette question pour les bailleurs se trouve dans ce qu’un bailleur peut garder de ses locataires. Prêt à demander moins ? Obtenir le kit de demande.