Vous postulez. Quelques semaines plus tard, un email type arrive. "Nous avons décidé de retenir d'autres candidats." C'est le seul transfert d'information. Vous ne savez pas quel système a traité votre CV, si un humain l'a lu, quel score lui a été attribué, ni combien de temps vos données seront conservées.
Le refus n'est pas la fin du processus pour vos données. C'est le début d'une période de rétention qui peut durer des mois, voire des années, pendant laquelle l'entreprise conserve votre historique professionnel, vos coordonnées et souvent les documents que vous avez soumis.
L'article 15 du RGPD vous donne le droit de demander tout ce qu'une entreprise détient sur vous. Un email, adressé au délégué à la protection des données, citant l'article 15. Dans un délai d'un mois, ils doivent répondre.
J'ai envoyé plus de quinze de ces demandes au cours des derniers mois, toutes à des entreprises qui avaient rejeté ma candidature. Voici ce que j'ai appris.
Ce que vous recevez réellement
Les réponses varient plus que vous ne le pensez. Certaines entreprises fournissent un export complet de données : votre CV tel que soumis, l'enregistrement de candidature avec ses horodatages, les notes internes éventuelles, le nom de la plateforme ATS, et le calendrier de rétention. D'autres répondent avec un refus type affirmant qu'elles ne détiennent rien au-delà de ce que vous avez soumis, ce qui est rarement exact. Certaines ratent entièrement le délai d'un mois, ce qui constitue en soi une violation.
Les réponses les plus utiles sont les plus détaillées. Elles nomment le système qui a géré votre candidature. Elles listent chaque champ de données stocké dans votre profil. Dans plusieurs cas, elles comprenaient un champ de statut de candidature auquel je n'avais pas accès en tant que candidat, avec des valeurs comme "Traité", "Examiné", ou un score numérique. Une réponse a confirmé qu'un traitement automatisé du CV avait eu lieu et nommait le sous-traitant responsable. Une autre révélait que la candidature avait été marquée comme doublon car j'avais postulé à un autre poste dans la même entreprise deux ans auparavant.
Ce qu'il faut chercher
Le nom du système importe. Savoir qu'une entreprise utilise SAP SuccessFactors, Workday ou Lever vous indique dans quel modèle de données votre candidature est stockée, quelle est la durée de rétention typique par défaut, et si la documentation de confidentialité de la plateforme décrit un scoring automatisé. Ces informations ne sont disponibles nulle part sur le site carrière de l'entreprise.
La description du traitement importe davantage. L'article 15(1)(h) du RGPD exige que les entreprises divulguent "l'existence d'une prise de décision automatisée, y compris le profilage". Si la réponse d'une entreprise indique qu'aucun traitement automatisé n'a eu lieu, mais que l'export de données montre un horodatage d'analyse du CV et un champ d'extraction de mots-clés structuré, ces deux affirmations ne concordent pas. J'ai observé cet écart dans plusieurs réponses.
Comment envoyer la demande
L'email lui-même est simple. Adressez-le au délégué à la protection des données de l'entreprise ou, si aucun DPD n'est mentionné, au contact confidentialité dans leur politique. Indiquez que vous exercez vos droits en vertu de l'article 15 du RGPD et demandez toutes les données personnelles vous concernant, y compris la base légale du traitement, la durée de rétention, si un traitement automatisé a eu lieu, et l'identité des sous-traitants ayant reçu vos données.
Conservez l'email et la date d'envoi. Le délai commence à la réception.
Pourquoi cela vaut la peine
La valeur pratique est celle du renseignement. Après suffisamment de réponses, des tendances émergent. Certaines plateformes ATS gèrent les données de manière systématique et répondent clairement. D'autres sont inconsistantes. Les entreprises qui conduisent un processus soigné fournissent généralement des réponses détaillées et ponctuelles. Celles qui ne le font pas répondent tard, de manière incomplète, ou pas du tout.
Un refus est une donnée sur un poste. La réponse à la demande d'accès est une donnée sur une entreprise.