Candidatures spontanées et IA : durée de conservation conforme nLPD

Des CV qui s'accumulent sans politique : le risque nLPD concret

Une PME lausannoise de 18 collaborateurs reçoit en moyenne 4 à 6 candidatures spontanées par mois par e-mail, soit 50 à 70 CV par an stockés dans une boîte générale recrutement@ que personne ne vide systématiquement. Sous l'ancienne LPD, l'absence de procédure formelle était un risque théorique. Depuis l'entrée en vigueur de la nouvelle loi fédérale sur la protection des données (nLPD) le 01.09.2023, c'est une violation documentable, exposant l'entreprise à des sanctions pénales pouvant atteindre CHF 250'000.- à l'encontre de la personne physique responsable.

L'IA — intégrée à un ATS (Applicant Tracking System) ou à un outil de traitement documentaire — peut automatiser la détection des dossiers périmés, envoyer des notifications de suppression et horodater chaque action. Encore faut-il que la politique de conservation soit correctement définie en amont, sinon l'IA optimise un processus illégal à grande vitesse.

Ce que la nLPD impose concrètement pour les CV de candidats

Principe de minimisation et limitation de la durée

L'art. 6 nLPD pose le principe de proportionnalité : les données personnelles ne doivent être traitées que dans la mesure nécessaire au but poursuivi. Pour une candidature spontanée, le but est l'éventuel recrutement futur. Dès que ce but disparaît — candidat recruté ailleurs, poste abandonné, refus définitif — la conservation n'est plus justifiée. La loi ne fixe pas de durée chiffrée pour les données RH de candidats non retenus, mais la pratique du Préposé fédéral à la protection des données et à la transparence (PFPDT) et les recommandations sectorielles convergent vers 6 mois maximum après la fin du processus de sélection pour un poste ouvert, et 12 mois au plus absolu pour les candidatures spontanées conservées dans un vivier.

Consentement explicite pour la conservation dans un vivier

Conserver un CV au-delà du délai standard dans un vivier de talents nécessite un consentement libre, spécifique, éclairé et univoque du candidat (art. 6 al. 6 nLPD). Un simple texte de pied de mail du type « votre CV sera conservé dans notre base de données » ne suffit pas : il faut une action positive du candidat (case à cocher, réponse confirmant l'accord), une information sur la durée de conservation, et la possibilité de retirer ce consentement à tout moment. L'entreprise doit pouvoir prouver ce consentement — horodatage, log d'acceptation — ce qui exclut les processus 100 % papier ou les échanges informels.

Droits du candidat : accès, rectification, effacement

Tout candidat peut exercer ses droits d'accès (art. 25 nLPD) et d'effacement dans un délai de 30 jours suivant la demande. L'entreprise doit être capable de localiser tous les exemplaires du CV : boîte mail, dossier partagé, ATS, fichier Excel du responsable d'équipe. Un CV envoyé en copie à trois personnes implique trois points de suppression. L'absence de registre des activités de traitement (obligatoire pour les entreprises traitant des données sensibles ou à grande échelle, mais recommandé pour toutes) rend cette traçabilité quasi impossible sans outil dédié.

Ce que l'IA peut faire — et ce qu'elle ne peut pas décider seule

Tri, extraction et classification automatisés

Les outils d'IA intégrés aux ATS modernes (analyse sémantique de CV, matching compétences-poste) peuvent réduire le temps de tri de 60 à 80 % selon les éditeurs. Ils extraient automatiquement nom, coordonnées, expériences, diplômes et les structurent dans une fiche candidate. Cette opération constitue un traitement de données au sens de la nLPD dès la première extraction : la politique de conservation s'applique donc dès l'ingestion, pas à partir du moment où un humain consulte le dossier.

Alertes de suppression et purge automatique

Un ATS correctement paramétré peut déclencher une alerte à J-30 avant l'expiration du délai de conservation, envoyer un e-mail automatique au candidat lui proposant de renouveler son consentement ou d'effacer son dossier, puis supprimer le dossier à date si aucune réponse n'est reçue. Ce workflow doit être documenté dans le registre des activités de traitement. La purge automatique doit être irréversible (suppression définitive, pas simple archivage) ou, si l'entreprise travaille avec des backups cloud, le délai de rétention des sauvegardes doit être aligné.

Ce que l'IA ne peut pas décider

L'IA ne peut pas fixer unilatéralement la durée de conservation ni qualifier juridiquement une donnée comme « sensible » ou non. Sous nLPD, les données relatives à la santé, à l'origine raciale ou ethnique, aux opinions politiques, à l'appartenance syndicale ou aux condamnations pénales sont des données sensibles (art. 5 let. c nLPD). Un CV mentionnant un handicap ou une nationalité extra-européenne contient potentiellement des données sensibles : leur traitement requiert un consentement explicite ou une base légale spécifique. L'IA peut détecter certains mots-clés, mais la qualification juridique reste une décision humaine, idéalement documentée.

Procédure de mise en conformité : étape par étape

1. Inventaire des sources de réception — Lister toutes les adresses e-mail, formulaires web, LinkedIn, plateformes d'emploi et boîtes physiques où des CV entrent dans l'entreprise. Désigner un responsable par canal.
2. Définir les durées de conservation — Candidature spontanée sans vivier : suppression dans les 3 mois si aucun poste ouvert, 6 mois si un poste est susceptible de s'ouvrir. Vivier actif avec consentement : 12 mois renouvelables sur consentement explicite.
3. Rédiger ou mettre à jour la politique de confidentialité recrutement — Accessible avant tout dépôt de candidature ; mentionner la base légale du traitement, la durée, les droits d'accès/effacement, les éventuels destinataires (fiduciaire RH, ATS tiers).
4. Paramétrer l'outil de gestion — Dans l'ATS ou le gestionnaire de mails, créer des tags par date d'entrée et type de candidature. Configurer les alertes automatiques à J-30 et la suppression à l'échéance.
5. Collecter le consentement pour les viviers — Ajouter une case à cocher sur le formulaire web ou un lien de confirmation dans la réponse automatique à la candidature. Logguer date, heure et adresse IP ou identifiant e-mail.
6. Inscrire le traitement dans le registre des activités — Même si la nLPD n'oblige pas toutes les PME à tenir un registre, le documenter protège en cas de contrôle du PFPDT ou de litige. Inclure : finalité, catégories de données, durées, destinataires, mesures de sécurité.
7. Former les personnes qui reçoivent des CV — Tout collaborateur qui reçoit un CV en direct (responsable technique, associé) doit transférer immédiatement dans le canal officiel et supprimer sa copie locale.
8. Tester la procédure d'exercice des droits — Simuler une demande d'effacement : temps de réponse cible ≤ 30 jours, traçabilité de la suppression dans tous les systèmes y compris backups.

Sanctions, responsabilités et point sur le droit cantonal

Sanctions pénales nLPD

L'art. 60 nLPD prévoit une amende allant jusqu'à CHF 250'000.- contre la personne physique (dirigeant, responsable RH) — et non l'entreprise — qui viole intentionnellement les obligations d'information, de communication ou les droits d'accès. La violation doit être intentionnelle pour déclencher la sanction pénale ; la négligence n'est pas punissable pénalement mais reste une faute civile. En pratique, un dirigeant qui sait que des CV sont conservés sans base légale depuis plus d'un an et ne fait rien est exposé.

Droit cantonal : rien de spécifique pour les PME privées

La nLPD est une loi fédérale qui s'applique uniformément à toutes les PME privées de Suisse, y compris en Romandie. Les cantons de Vaud, Genève, Valais ou Fribourg n'ont pas de législation cantonale divergente pour les entreprises privées — les lois cantonales sur la protection des données ne s'appliquent qu'aux organes cantonaux. En revanche, les PME qui traitent des données pour le compte d'administrations cantonales (externalisation RH, fiduciaires gérant des collectivités) sont soumises à la fois à la nLPD et à la loi cantonale applicable.

Responsabilité du sous-traitant (fiduciaire, ATS SaaS)

Si une fiduciaire gère le recrutement ou si l'ATS est hébergé par un prestataire étranger (UE, USA), un contrat de traitement des données est obligatoire (art. 9 nLPD). Pour un transfert vers un État sans niveau de protection adéquat reconnu par le Conseil fédéral, des garanties appropriées sont requises — clauses contractuelles types, règles d'entreprise contraignantes. Vérifier que l'ATS SaaS utilisé dispose d'une Data Processing Agreement (DPA) conforme nLPD et que les serveurs sont localisés en Suisse ou dans l'UE/EEE.

Cas pratique

Situation : Entreprise Mécanique Bonvin Sàrl, Sierre (VS), 22 employés. Responsable administrative : Valérie Rebord. Entre janvier et décembre 2024, l'entreprise a reçu 58 candidatures spontanées via l'adresse jobs@bonvin-mecanique.ch : 41 par e-mail direct, 17 via le formulaire du site. Aucun ATS. Les CV sont stockés dans un sous-dossier Outlook partagé, accessible à Valérie et aux deux associés.

Problème identifié : En janvier 2025, un candidat — Marcello Ferretti, 34 ans, technicien CNC — écrit pour demander l'effacement de ses données. Il avait postulé en mars 2023 (soit 22 mois plus tôt). Son CV est encore dans le dossier Outlook. De plus, son CV mentionne une RQTH (reconnaissance de qualité de travailleur handicapé française, analogue helvétique : invalide reconnu AI) — donnée de santé sensible conservée sans base légale ni consentement.

Calcul de l'exposition : Durée de conservation effective : 22 mois. Durée maximale acceptable sans consentement pour un vivier : 12 mois. Dépassement : 10 mois. Données sensibles (santé) traitées sans base légale : violation distincte de l'art. 6 al. 2 let. b nLPD. Droit d'effacement non satisfait dans les 30 jours : violation de l'art. 32 nLPD. Trois violations simultanées, potentiellement imputables à Valérie Rebord en tant que responsable du traitement désignée.

Procédure de régularisation appliquée :

1. Valérie répond à Marcello Ferretti dans les 5 jours, confirme l'effacement et fournit une preuve écrite.
2. Suppression du CV dans Outlook (dossier partagé + dossier personnel des deux associés + corbeille vidée), dans le formulaire web (base de données du CMS) et vérification dans les backups OneDrive (politique de rétention réduite à 30 jours).
3. Audit complet du dossier Outlook : 14 CV datant de plus de 12 mois identifiés. Envoi d'un e-mail à chaque candidat proposant effacement immédiat ou renouvellement de consentement avec nouvelle durée (12 mois). Délai de réponse : 14 jours. Sans réponse : suppression automatique.
4. Rédaction d'une politique de confidentialité recrutement publiée sur le site, formulaire mis à jour avec case de consentement au vivier.
5. Paramétrage d'une règle Outlook : tout e-mail dans le dossier Candidatures est marqué avec la date de réception ; une alerte calendario mensuelle rappelle de purger les dossiers de plus de 6 mois sans suite active.

Coût opérationnel : 4 heures de travail pour Valérie pour l'audit et les e-mails ; mise à jour du site web par le prestataire : CHF 180.-. Aucun ATS acquis à ce stade — la PME reste sur Outlook avec un protocole manuel documenté.

Récapitulatif opérationnel

• Fixer par écrit deux durées : 6 mois pour les candidatures à un poste ouvert, 12 mois pour les viviers avec consentement explicite renouvelable.
• Ajouter une case de consentement active (non pré-cochée) sur tout formulaire de candidature web avant que le candidat ne soumette son dossier.
• Identifier tous les points de stockage de CV dans l'entreprise : boîtes mail individuelles, partages réseau, cloud, ATS, fichiers Excel — et désigner un seul canal officiel.
• Configurer une alerte automatique à J-30 avant l'expiration ; en l'absence d'ATS, une règle de calendrier ou un tableur horodaté suffit à condition d'être tenu à jour.
• Vérifier que les contrats avec fiduciaires ou éditeurs SaaS incluent une DPA conforme nLPD ; exiger la localisation des données en Suisse ou UE/EEE.
• Former tout collaborateur susceptible de recevoir un CV hors canal officiel : obligation de transfert immédiat et suppression de la copie locale dans les 24 heures.
• Documenter chaque effacement : date, identité du candidat, systèmes concernés, responsable de l'action — même sur un simple fichier de log Excel.
• Répondre à toute demande d'effacement dans les 30 jours civils (art. 32 nLPD) ; si la demande est complexe, accuser réception dans les 5 jours et indiquer le délai de traitement.
• Ne jamais conserver un CV mentionnant une donnée de santé (handicap, maladie chronique, grossesse) sans consentement explicite portant spécifiquement sur cette catégorie de données.

SynHR propose un registre des activités de traitement préconfigurable et des workflows de suppression automatisée adaptés aux PME romandes de 5 à 50 collaborateurs.

Sources

• Loi fédérale sur la protection des données (nLPD), RS 235.1 — Fedlex — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, avec tous les articles cités.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Recommandations, guides pratiques et décisions de l'autorité de surveillance fédérale.
• Secrétariat d'État à l'économie (SECO) — Informations sur le droit du travail suisse, conditions d'engagement et obligations de l'employeur.
• ch.ch — Travailler en Suisse — Portail officiel sur les droits et obligations liés à l'emploi, incluant les données personnelles des travailleurs.