Comment conjuguer recrutement de personnel et respect de la vie privée des candidats et candidates? La Commission d’accès à l’information s’est récemment penchée sur la question

Obligations de l’employeur quant à la collecte de renseignements personnels dans un processus d’embauche

Au Québec, la vie privée est un droit fondamental protégé par plusieurs textes législatifs. Le Code civil du Québec[1], la Charte des droits et libertés de la personne[2] ainsi que les lois sur la protection des renseignements personnels encadrent la manière dont les organisations sont autorisées à traiter les renseignements personnels des individus.

Le critère de nécessité est l’un des principes clés sur lequel reposent les lois sur la protection des renseignements personnels. Ainsi, une entreprise ne peut recueillir que les renseignements personnels qui sont réellement requis pour atteindre un objectif précis ayant été défini à l’avance. La collecte doit se faire de façon licite, transparente et proportionnée.

En matière de recrutement, ce principe prend tout son sens. Avant même l’embauche, l’employeur doit s’assurer que chaque renseignement demandé est pertinent pour le poste, justifié par un intérêt légitime et utilisé uniquement aux fins prévues. Il ne s’agit pas simplement d’une bonne pratique : c’est une exigence légale.

Dans cette optique, la Commission d’accès à l’information (la « CAI ») a publié des lignes directrices[3] encadrant la collecte de renseignements personnels. Nous les examinerons ici à la lumière du droit du travail et du droit à la vie privée, tel qu’ils s’appliquent aux entreprises du secteur privé.

Processus de pré-embauche : le critère de « nécessité »

Le critère de « nécessité » impose à l’employeur le devoir de recueillir uniquement les renseignements personnels nécessaires à l’évaluation des candidatures. En plus d’être nécessaire à l’embauche, cette collecte doit être ciblée, justifiée et proportionnelle au besoin de chacune des étapes du processus. Même le consentement du ou de la candidate n’est pas suffisant pour justifier la collecte de renseignements non nécessaires.

Au stade de la réception des candidatures, la CAI indique que seuls les renseignements nécessaires afin d’évaluer les aptitudes et qualifications requises pour le poste visé peuvent être demandés, tels que la formation et l’expérience de travail. Ces informations peuvent être recueillies notamment par l’entremise de tests, d’examens, d’entrevues et de questionnaires, pour autant que ces outils soient adaptés aux exigences spécifiques du poste. Il est important de noter que le recours à des tests psychologiques, psychométriques ou médicaux à cette étape est considéré très intrusif. On peut cependant en justifier l’utilisation par le critère de « nécessité » si l’employeur arrive à démontrer un lien direct avec les exigences du poste.

Au moment de l’entrevue d’embauche et selon la CAI, l’employeur ne peut poser de questions portant sur des caractéristiques personnelles telles que l’âge, la religion, l’origine ethnique, l’état civil, l’orientation sexuelle si celles-ci sont impertinentes pour l’évaluation des capacités du ou de la candidate à occuper le poste à pourvoir. Il existe toutefois des exceptions lorsque la question concerne une exigence du poste à combler (p. ex. avoir l’âge pour servir de l’alcool). Après l’entrevue, il serait possible d’envisager des vérifications externes (prise de références ou consultation d’antécédents judiciaires), mais uniquement si une offre d’emploi conditionnelle a été faite. Nous y reviendrons plus loin dans l’article. Le cas échéant, ces vérifications doivent demeurer justifiées par le critère de « nécessité » et cibler les exigences du poste.

Finalement, la CAI énonce que l’employeur est autorisé à collecter certaines données supplémentaires telles que le numéro d’assurance sociale, les coordonnées bancaires, la date de naissance ou le contact d’urgence, mais uniquement au moment de l’embauche, et ce, afin de permettre la gestion des ressources humaines (versement de la paie, respect des lois fiscales, etc.).

Non-respect des obligations

Un employeur qui enfreint le droit à la vie privée au cours du processus de recrutement peut faire l’objet d’une sanction devant les tribunaux. À titre d’exemple, un test de dépistage de drogue ainsi que des tests médicaux non nécessaires au regard de la nature du poste à pourvoir ont été considérés comme une intrusion dans la vie privée d’un candidat, à qui l’employeur a dû verser un dédommagement de 50 000 $[4]. De même, le Tribunal des droits de la personne a jugé qu’un employeur avait contrevenu à la Charte des droits et libertés de la personne en posant, lors de l’entrevue d’embauche, des questions discriminatoires sur l’âge, la grossesse, l’état civil et le nombre d’enfants d’une candidate. L’employeur a été condamné au paiement d’une somme de 5 000 $[5].

En matière de protection des renseignements personnels, la Loi sur la protection des renseignements personnels dans le secteur privé[6] (la « Loi sur le secteur privé ») prévoit des sanctions pouvant atteindre 25 000 000 $ ou 4 % du chiffre d’affaires mondial pour toute entreprise qui collecte, utilise, communique, conserve ou détruit des renseignements personnels en contravention à cette loi[7].

Enfin, la CAI rappelle que toute personne peut porter plainte en vertu de la Loi sur le secteur privé si elle soupçonne un traitement inadéquat de ses renseignements personnels par un employeur.

Questions et réponses en rafale concernant les obligations de l’employeur quant à la protection des renseignements personnels obtenus lors du processus d’embauche

L’IA dans le recrutement : comment l’employeur peut-il concilier innovation et respect de la vie privée?

À l’ère de l’intelligence artificielle, les entreprises ont de plus en plus recours à des systèmes autonomes pour traiter les renseignements personnels. Bien que l’IA permette d’optimiser l’analyse des candidatures et de rendre le processus plus efficace, elle soulève d’importants enjeux en matière de protection de la vie privée. Ainsi, la Loi sur le secteur privé prévoit qu’avant d’utiliser un système basé sur l’IA pour traiter des renseignements personnels, l’entreprise doit effectuer une évaluation des facteurs relatifs à la vie privée (ÉFVP). Lorsqu’une décision est prise uniquement par un système d’IA sans intervention humaine, l’employeur doit en informer les candidats et candidates au moment de la décision, leur fournir des explications et leur offrir la possibilité de demander une révision.

La CAI déconseille l’usage de systèmes d’IA analysant les états émotionnels ou psychologiques en entrevue vidéo, les jugeant généralement disproportionnés et contraires au droit à la vie privée.

Quelles vérifications un employeur est-il autorisé à faire après une entrevue?

Selon la CAI, l’employeur peut effectuer certaines vérifications après une entrevue, mais uniquement après avoir présenté une offre conditionnelle et obtenu le consentement des candidats et candidates aux différentes vérifications. Il peut, par exemple, contacter des références professionnelles, vérifier les antécédents judiciaires si le poste le justifie et s’il est en mesure d’en démontrer la légitimité, ou encore consulter un dossier de crédit, en faisant preuve de prudence quant aux conclusions qu’il en tire.

En revanche, la CAI déconseille de consulter les réseaux sociaux, même lorsqu’ils sont ouverts et accessibles, sauf si cela est clairement requis en raison de la nature du poste (p. ex. : personnel politique). Elle rappelle également que la collecte de renseignements médicaux n’est permissible que si elle est strictement nécessaire, ciblée et traitée avec une confidentialité renforcée.

Pour ce qui est de la forme du consentement et du niveau de transparence requis, nous vous invitons à consulter le diagramme que nous avons précédemment préparé, lequel présente les exigences de la Loi sur le secteur privé ainsi que les lignes directrices de la CAI sur la validité du consentement[8].

Le recours à un prestataire externe dans le cadre du recrutement libère-t-il l’employeur de ses obligations en matière de protection des renseignements personnels des candidats et candidates?

La CAI rappelle que l’employeur demeure responsable de la protection des renseignements personnels des candidats et candidates, même lorsqu’un prestataire externe participe au processus de recrutement. La Loi sur le secteur privé prévoit que les renseignements peuvent être communiqués à un tiers sans le consentement de la personne concernée, à condition que cette communication soit nécessaire à l’exécution d’un contrat de service ou de mandat. Cette transmission doit toutefois être encadrée par un contrat écrit précisant notamment les mesures que le prestataire doit prendre pour assurer la protection des renseignements reçus, et pour limiter leur utilisation à ce qui est strictement nécessaire à l’exécution du mandat.

N’hésitez pas à contacter notre équipe Cybersécurité et protection des données et notre équipe Travail, emploi et droits de la personne pour toute question sur les lignes directrices[9] encadrant la collecte de renseignements personnels en contexte de recrutement.