Candidats et salariés : sécuriser la collecte des documents

Collectez les documents des candidats et salariés par étapes. Demandez le minimum nécessaire à l'étape en cours, dirigez chaque personne vers un point de collecte approuvé, limitez la consultation aux membres des ressources humaines chargés de cette étape et supprimez la copie temporaire une fois le résultat enregistré dans le système RH officiel.

Ne demandez pas à chaque candidat les mêmes documents qu'à une nouvelle recrue. Un CV utilisé pour la présélection, un justificatif contrôlé avant une offre conditionnelle et les données de paie conservées pendant l'emploi n'ont ni la même finalité, ni les mêmes destinataires, ni les mêmes règles de conservation.

Séparez les quatre étapes

L'amélioration pratique la plus sûre consiste à ne plus traiter les "documents de recrutement" comme un dossier unique. Définissez une demande courte à chaque étape.

Ce tableau est un modèle de processus, pas une liste universelle. Les exigences en matière d'emploi, de fiscalité, d'immigration, d'égalité et d'archivage varient selon le pays et le poste. Demandez au responsable du processus de confirmer l'exigence juridique avant d'ajouter un document.

Le guide de l'AEPD sur la protection des données dans les relations de travail traite du recrutement, des dossiers d'emploi et des traitements sur le lieu de travail en Espagne. Les recommandations de l'ICO britannique sur le recrutement et la sélection aident à concevoir le processus, même si la page qualifie son texte détaillé de projet de recommandations. Utilisez l'autorité et les règles applicables à votre organisation.

Construisez chaque demande autour d'une décision

Commencez par la décision que la demande doit étayer. "Confirmer que la personne peut exercer le poste" reste trop large. "Confirmer que la personne détient l'autorisation nécessaire pour utiliser cet équipement" permet de vérifier précisément les justificatifs nécessaires.

Pour chaque élément demandé, notez :

• La finalité et la base juridique retenues par l'employeur
• La raison pour laquelle un élément moins intrusif ne suffit pas
• L'étape du recrutement ou de l'emploi à laquelle il devient nécessaire
• Les personnes qui le consultent et ce qu'elles consignent
• La nécessité éventuelle de transférer l'original vers une archive officielle
• La date de suppression de la copie de collecte

Si l'équipe ne peut pas remplir ces champs, suspendez la demande. Collecter "au cas où" crée des informations qu'une personne devra protéger, expliquer et finalement supprimer.

Les principes de minimisation et de limitation de la conservation du RGPD exigent des données adéquates, pertinentes et limitées à ce qui est nécessaire, puis une conservation sous forme identifiable qui ne dépasse pas la finalité. D'autres lois peuvent imposer une conservation plus longue de certains documents d'emploi. La copie de collecte et le document officiel ont donc besoin de fins distinctes.

Fournissez une information et un canal clairs

La demande doit provenir d'un contact identifiable de l'entreprise et expliquer :

• Le document ou les pages demandés
• L'utilisation prévue par l'employeur
• Les personnes autorisées à les consulter
• La date limite et les formats acceptés
• Le délai de suppression prévu pour la copie de collecte
• L'emplacement des informations de confidentialité de l'employeur
• Le moyen de corriger ou retirer un dépôt lorsque cela s'applique

Utilisez une adresse de dépôt stable plutôt que la boîte personnelle d'une personne chargée du recrutement. Une adresse e-mail dédiée peut servir de repli, mais prévenez l'expéditeur que des copies peuvent rester dans son dossier Envoyés ou chez son prestataire de messagerie. Rédigez des objets de notification sobres et ne répétez jamais un diagnostic, le résultat d'un contrôle d'antécédents, un nom de fichier ou un autre détail sensible dans l'e-mail.

Notre processus général de collecte de documents sensibles contient un modèle de demande adaptable au recrutement.

Limitez la consultation à la décision

Un responsable du recrutement peut avoir besoin de la candidature et des notes d'entretien sans avoir besoin d'une pièce d'identité, de coordonnées bancaires ou d'un justificatif du droit au travail. Le service de paie peut avoir besoin des données approuvées d'une recrue, mais pas du dossier de candidature complet. L'informatique peut avoir besoin du nom et de la date d'arrivée sans voir aucun de ces documents.

Créez des comptes nommés et accordez l'accès au plus petit groupe capable d'accomplir la tâche. Évitez un identifiant partagé "RH". Si un cabinet de recrutement ou un prestataire de contrôle externe participe, consignez quelle organisation est responsable de chaque étape, ce qu'elle reçoit et comment se termine le transfert.

Utilisez notre liste de contrôle du moindre privilège pour distinguer consultation, téléchargement de l'original, modification de la conservation, suppression et administration des utilisateurs. La méthode reste valable pour les candidatures même si la relation est professionnelle plutôt que commerciale.

Traitez les contrôles sensibles comme un processus distinct

Les informations de santé, de handicap, d'appartenance syndicale, les identifiants biométriques et certaines informations sur la diversité peuvent relever des catégories particulières du RGPD. Les données relatives aux condamnations pénales suivent leurs propres règles. Ces contrôles nécessitent plus qu'une page de dépôt sécurisée : l'employeur doit établir une base juridique valable, toute condition supplémentaire, une information adaptée, des contrôles d'accès et une règle de conservation.

Ne placez pas ces fichiers dans un processus général simplement parce que la même équipe traite d'autres documents de recrutement. Utilisez un service et un accord approuvés pour la catégorie.

Sunset Docs n'autorise pas les données relevant de catégories particulières, relatives aux condamnations pénales, biométriques utilisées pour identifier une personne de manière unique ou concernant des mineurs sans accord écrit distinct. Cette limite concerne les postes qui impliquent des justificatifs médicaux, des contrôles d'antécédents ou des candidats mineurs. Le service standard n'est pas le bon canal pour ces documents.

La même restriction couvre les données complètes de carte bancaire, les mots de passe, les secrets d'authentification et les clés privées. Un justificatif bancaire peut lui aussi révéler plus que ce dont la paie a besoin. Demandez les champs précis ou le formulaire de paie approuvé plutôt qu'un relevé non masqué lorsque le processus le permet.

Ne confondez pas collecte et vérification d'identité

Recevoir l'image d'un passeport ne prouve pas qui l'a déposée, si elle est authentique ou si elle appartient à la personne qui utilise le lien. La validation du fichier et l'analyse antimalware répondent à d'autres questions.

Si l'employeur doit vérifier une identité, une qualification ou une autorisation de travail, définissez ce contrôle séparément. Il peut demander une personne habilitée, un service officiel de vérification, une comparaison en présence de la personne ou une autre méthode imposée par le droit applicable. Consignez le résultat requis par le processus au lieu de garder des copies supplémentaires sans motif.

Sunset Docs reçoit et prépare les fichiers autorisés pour consultation, mais ne vérifie ni l'identité de l'expéditeur ni l'exactitude d'un document.

Clôturez la collecte sans perdre les archives requises

Une collecte temporaire doit se terminer par un transfert explicite :

1. La personne désignée contrôle le dépôt.
2. Elle consigne le résultat dans le système de recrutement, RH ou de paie.
3. Si un original doit être conservé, une personne autorisée le place dans ce système approuvé.
4. Elle retire les notes de travail et téléchargements inutiles des appareils locaux.
5. Elle supprime la copie temporaire de collecte ou laisse arriver sa date documentée.
6. Elle ne conserve qu'une trace minimale qui ne reproduit pas le contenu des documents.

N'utilisez pas une courte date de suppression de la collecte pour contourner une obligation légale de conserver un document d'emploi. À l'inverse, ne transformez pas l'espace de collecte en archive permanente au seul motif qu'un autre système applique une durée plus longue.

Sunset Docs attribue une date de suppression à l'arrivée du dépôt et permet une suppression anticipée. Les données résiduelles de ses sauvegardes protégées suivent le cycle publié. La suppression active ne doit donc pas être présentée comme un retrait immédiat de chaque sauvegarde. La Politique de confidentialité explique ces périodes.

Un modèle de demande

Merci de déposer le document suivant depuis le lien de l'entreprise :

{upload_link}

Nous en avons besoin pour {finalité précise de recrutement ou d'emploi}. Merci de transmettre {document, page ou champ exact} avant le {date}. {Rôle ou équipe nommés} le consultera.

La suppression de la copie temporaire de collecte est programmée le {date ou après la période}. Si un document doit être conservé pour le processus d'emploi, nous placerons l'élément requis dans notre système RH approuvé, conformément à la règle décrite dans {lien vers la politique de confidentialité}.

N'utilisez pas ce lien pour des informations de santé, des données relatives aux condamnations pénales ou aux mineurs, des données de carte bancaire ou des identifiants de compte. Contactez {contact de l'entreprise} si le document demandé contient l'une de ces catégories ou si vous avez besoin d'un autre moyen de transmission.

Adaptez la ligne sur les catégories interdites au service approuvé et au processus réel. Ne promettez pas une date de suppression incompatible avec les obligations d'archivage de l'employeur.

Questions fréquentes

Tous les candidats doivent-ils déposer une pièce d'identité avec leur candidature ?

Il vaut généralement mieux commencer par se demander si ce justificatif est nécessaire à ce stade. Si seul un finaliste ou une nouvelle recrue doit passer un contrôle défini, collecter une copie auprès de chaque candidat augmente l'exposition sans aider la présélection.

Les responsables du recrutement peuvent-ils voir les documents d'embauche ?

Seulement s'ils ont une tâche définie qui exige ces informations. Le statut de responsable ne justifie pas à lui seul l'accès aux données de paie, d'identité ou à d'autres justificatifs administratifs.

Combien de temps conserver les documents des candidatures non retenues ?

Il n'existe aucune durée unique pour tous les pays et processus. Tenez compte de la finalité, des délais de prescription applicables, des recommandations de l'autorité, d'un éventuel vivier de candidats consenti et des droits de la personne. Documentez la règle et séparez la collecte temporaire du dossier de recrutement.

Peut-on garder le CV d'une personne pour de futurs postes ?

Il s'agit d'une finalité distincte du poste actuel. Évaluez la base juridique, fournissez l'information requise, définissez une durée et rendez le retrait pratique. Ne transformez pas silencieusement toutes les candidatures en base permanente de profils.

Un portail documentaire suffit-il pour contrôler le droit au travail ?

Non. Un portail peut recevoir les justificatifs autorisés, mais n'accomplit pas un contrôle légal et ne vérifie pas l'identité. Suivez la méthode officielle du pays concerné et consignez le résultat requis dans le système approuvé.

Sunset Docs peut-il conserver les dossiers des salariés de manière permanente ?

Non. Sunset Docs est un outil de collecte temporaire, pas une archive RH, un système de dossiers du personnel ou un service de vérification d'identité. Transférez les documents à préserver vers le système approuvé de l'employeur avant l'expiration de la copie de collecte.