Qu'est-ce qu'une évaluation CCPA ? Guide de mise en conformité à l'intention des recruteurs

Si votre équipe de recrutement traite des données relatives à des candidats californiens, la CCPA s'applique à vous, et les enjeux sont désormais plus importants qu'auparavant. L'exemption accordée aux RH a été supprimée, ce qui signifie que les CV, les vérifications d'antécédents et les notes d'entretien sont désormais considérés comme des données de consommateurs protégées par la loi. [1] L'autorité californienne chargée de la protection de la vie privée peut désormais tenir les dirigeants personnellement responsables en cas de négligence. Avant tout traitement de données à haut risque, votre organisation doit disposer d'une évaluation formelle écrite, appelée « évaluation CCPA », démontrant que vos pratiques justifient le risque lié à la confidentialité. Voici comment mettre en place ce cadre de conformité.

Qu'est-ce qu'une évaluation au titre de la CCPA ?

Une évaluation CCPA, souvent appelée « évaluation des risques liés à la vie privée », est une évaluation obligatoire que les organisations doivent réaliser avant de lancer des recherches pour des postes impliquant un traitement de données à haut risque, tels que les postes de direction, les fonctions impliquant des données sensibles, les postes techniques ou ceux nécessitant le traitement d'un volume important de données. Cette évaluation permet de s'assurer que la collecte de données sensibles sur les candidats est légalement justifiée par des besoins opérationnels, tout en atténuant les risques liés à la vie privée et en attestant que les mesures de sécurité nécessaires sont en place.

Guide étape par étape sur la conformité à la CCPA destiné aux équipes de recrutement

Conformément aux dernières exigences de la CCPA 2026, le respect de ces étapes aidera votre équipe de recrutement à limiter les risques juridiques, à protéger les données des candidats et à mettre en place un processus de recrutement digne de confiance.

Étape 1 : Analyser et cartographier vos données de recrutement

Pour réaliser une évaluation CCPA valable, il faut avant tout savoir exactement où se trouvent les données des candidats. Répertoriez toutes les sources avec lesquelles votre équipe interagit :

• Systèmes de gestion des candidatures: Votre ATS stocke les candidatures, les CV et les historiques de communication. L'utilisation d'une plateforme telle que Manatal intègre directement la gouvernance des données dans votre flux de travail. Les logiciels hérités ou les disques partagés de l'entreprise entraînent une prolifération importante des données.
• Boîtes de réception : les candidats envoient souvent leur CV directement par e-mail aux recruteurs. Ces fichiers restent indéfiniment enfouis dans les boîtes de réception individuelles, ce qui rend difficile l'exécution rigoureuse des demandes de suppression.
• Notes d'entretien : Les évaluations de performance rédigées sur papier ou dans des documents numériques personnels constituent des données à caractère personnel au sens de la législation californienne. Elles doivent bénéficier de la même protection que les documents officiels.
• Vérification des antécédents Portails : ces prestataires traitent des informations hautement sensibles, notamment des adresses et des numéros d'identification. Votre accord de traitement des données doit définir explicitement leurs obligations en matière de suppression.
• Sites d'offres d'emploi tiers : les plateformes de recrutement telles que LinkedIn ou Indeed les profils des candidats. L'importation de ces données dans votre système entraîne des obligations en matière de conformité, ce qui signifie que votre processus doit inclure une procédure adéquate d'obtention du consentement.

La gestion manuelle des consentements, des délais de conservation et des demandes de suppression dans des tableurs n'est plus viable. Manatal centralise les données des candidats dans des bases de données sécurisées et facilite la mise en conformité grâce à des outils intégrés. Lorsqu'un candidat soumet une demande de suppression, les équipes peuvent l'exécuter immédiatement depuis le profil du candidat, sans avoir à fouiller dans leurs e-mails.

{{cta}}

Étape 2 : Mise en œuvre de la minimisation des données

Supprimez les champs de données superflus avant de rédiger votre politique de confidentialité. Vous devez savoir quelles données vous collectez réellement avant de les divulguer. Si un formulaire de candidature demande des informations sans obligation légale claire, telles que la date de naissance, supprimez-les. Appliquez votre calendrier de conservation documenté et supprimez systématiquement les profils obsolètes et les CV non retenus. Une base de données de candidats contenant des enregistrements obsolètes sans politique de conservation documentée crée un risque important de sanctionsau titre du CCPA/CPRA, notamment des amendes pouvant aller jusqu’à 7 500 dollars par infraction intentionnelle. [2]

Étape 3 : Mettre à jour votre politique de confidentialité à l'intention des candidats

Fournissez votre politique de confidentialité au moment de la collecte des données, avant que les candidats ne soumettent leur CV. Cette politique doit préciser les catégories de données collectées, la finalité de la collecte, les durées de conservation, les divulgations à des tiers et les droits prévus par la CCPA.

Publiez cette annonce sur votre page « Carrières », ajoutez-y un lien dans tous les formulaires de candidature et intégrez-la dans vos premiers messages de prise de contact avec les candidats ciblés.

Étape 4 : Mettre en place un protocole DSAR

Un protocole de demande d'accès aux données (DSAR) est un processus d'entreprise structuré, conçu pour traiter les demandes légales individuelles relatives au contrôle des données à caractère personnel. Mettez en place un processus clair pour gérer trois types de demandes : accès, rectification et suppression. Désignez un responsable d'équipe, consignez par écrit le délai de réponse de 45 jours et tenez un registre de toutes les mesures prises. Formez les recruteurs à identifier les demandes et à les transmettre immédiatement à leur supérieur.

Le principal risque lié à la mise en œuvre réside ici dans la dispersion des données entre différents systèmes. Lorsqu’un candidat demande la suppression de ses données, votre équipe doit rechercher et supprimer les enregistrements présents dans le système de gestion des candidatures (ATS), les fils de discussion par e-mail, les notes d’entretien et tous les journaux d’activité liés à ce profil. La fonctionnalité de gestion des activités et des notes de Manatal centralise toutes ces interactions au sein d’un seul dossier candidat. Cela signifie un seul endroit pour consulter les informations, un seul endroit pour agir, ainsi qu’une piste d’audit documentée si CalPrivacy venait à demander des justificatifs.

Étape 5 : Audit des fournisseurs tiers

Passez en revue tous les outils de recrutement qui traitent les données des candidats, notamment les vérifications d'antécédents, les évaluations de compétences, les entretiens vidéo et les plateformes CRM dédiées au recrutement. Vérifiez que chaque prestataire tiers a signé un accord de traitement des données conforme aux normes légales et définissant explicitement les obligations en matière de suppression des données. Remplacez tout prestataire qui refuse de s'y conformer.

Étape 6 : Réaliser une évaluation des risques pour l'ADMT

La technologie de prise de décision automatisée (ADMT) désigne tout système d'intelligence artificielle ou algorithmique utilisé pour présélectionner, noter ou classer des candidats à un poste sans intervention humaine directe. Réalisez une évaluation formelle des risques avant de déployer des outils automatisés basés sur l'IA pour les candidats californiens. Documentez le fonctionnement de l'outil, l'utilisation des données, son impact sur le recrutement, les risques de partialité et les mesures de protection mises en place. Conservez cette documentation à disposition pour un contrôle de CalPrivacy.

Liste de contrôle relative à la conformité aux exigences de la CCPA pour les RH

Cette liste de contrôle s'appuie principalement sur la loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act, CCPA) et les directives connexes publiées par l'Agence californienne de protection de la vie privée (California Privacy Protection Agency, CPPA), ainsi que sur les nouvelles exigences réglementaires concernant l'intelligence artificielle et les technologies de prise de décision automatisée dans le domaine de l'emploi et du recrutement.

Inventaire et cartographie des données

• Répertorier toutes les sources de données relatives aux candidats (ATS, e-mails, notes d'entretien, portails de vérification des antécédents, sites d'offres d'emploi)
• Décrire les catégories de données à caractère personnel collectées ainsi que la finalité commerciale associée à chacune d'entre elles
• Répertorier tous les prestataires de services, sous-traitants et tiers qui reçoivent des données relatives aux candidats
• Vérifier que les accords appropriés avec les prestataires (tels que les accords de traitement des données ou les conditions générales des prestataires de services requises par la CCPA) sont bien en place

Politique de confidentialité

• Mettez à jour la politique de confidentialité de la page « Carrières » de votre entreprise afin de respecter les exigences de la CCPA/CPRA en matière d'information.
• Lien vers la déclaration de confidentialité figurant dans les formulaires de candidature et les processus de recrutement dans le cadre desquels des données à caractère personnel sont collectées
• Si l'ADMT est utilisée dans le cadre des décisions de recrutement, communiquez les informations requises concernant l'utilisation de cette technologie de prise de décision automatisée ainsi que les droits éventuels des candidats.

Conservation et consentement

• Définir les durées de conservation pour les différentes catégories de données relatives aux candidats
• Configurer les systèmes RH afin de prendre en charge les processus de suppression ou de vérification à l'expiration des délais de conservation
• Décrire la manière dont les données relatives aux candidats sont obtenues à partir de plateformes de recrutement tierces
• Veiller à ce que les boîtes de réception des recruteurs et les outils de collaboration soient pris en compte dans les processus de conservation et de suppression des données

Préparation aux demandes des personnes concernées (DSAR)

• Élaborer et documenter un processus permettant de répondre aux demandes relatives à la protection de la vie privée en Californie dans les délais prévus par la loi
• Désigner le personnel chargé de la réception et de la coordination des demandes
• Tenir à jour un registre des demandes indiquant les dates de réception, les délais de réponse et les mesures prises
• Former les recruteurs et le personnel des ressources humaines à identifier les demandes relatives à la protection de la vie privée et à les transmettre aux instances compétentes

ADMT et évaluation des risques

• Outils d'IA ou de prise de décision automatisée utilisés dans le recrutement ou l'embauche
• Déterminer si la réglementation californienne relative à l'ADMT s'applique à chaque outil et si des exceptions liées à l'emploi sont applicables
• Réaliser et consigner des analyses portant sur les biais, la discrimination et la précision des outils ADMT utilisés dans le cadre du recrutement
• Lorsque la loi l'exige, garantir les droits d'information, d'accès, de refus ou de recours liés au traitement des données ADMT

Contrôles d'accès et sécurité

• Mettre en place des contrôles d'accès basés sur les rôles pour les systèmes de recrutement
• Activer l'authentification multifactorielle (MFA) pour les utilisateurs des services RH et du recrutement
• Vérifier régulièrement et supprimer les autorisations d'accès inutiles
• Vérifier que les données sont chiffrées tant en transit qu’au repos pour les systèmes stockant des informations sur les candidats

Formation interne

• Former les recruteurs et le personnel des ressources humaines aux droits en matière de protection de la vie privée en Californie et aux procédures DSAR
• Former les responsables du recrutement à la minimisation des données et aux bonnes pratiques en matière de documentation des entretiens
• Tenir à jour les registres relatifs à la conformité et à la validation des formations en matière de protection de la vie privée

Questions clés relatives à l'évaluation de la conformité à la CCPA pour les recruteurs

Ce modèle de questions d'évaluation CCPA est tiré des règlements CCPA/règlements CPRA régissant les pratiques des employeurs et des candidats en matière de données. Il sert à vérifier la conformité afin de garantirla transparence (notification lors de la collecte),le consentement explicite et laprotection des droits à la vie privée des candidats tout au long du cycle de recrutement.

1. Confirmation de la réception de la déclaration de confidentialité

• Question/Remarque : « Avant que nous examinions votre dossier de candidature, avez-vous eu l'occasion de consulter notre Avis de confidentialité destiné aux candidats en Californie, qui détaille les catégories spécifiques de données à caractère personnel que nous collectons et la manière dont elles sont utilisées ? »
• Objectif de conformité : répond à l'exigence de la CCPA relative à la notification lors de la collecte.

2. Consentement à la vérification des informations personnelles sensibles (SPI)

• Question/Déclaration : « Étant donné que ce poste spécifique nécessite une vérification approfondie des antécédents, du casier judiciaire ou de la solvabilité, acceptez-vous expressément la collecte et le traitement de cesinformations personnelles sensibles , et ce, uniquement dans le cadre des nécessités opérationnelles liées à l’examen de votre candidature ? »
• Objectif de conformité : garantir l'obtention d'un consentement explicite pour le traitement des données à haut risque ou relevant de la catégorie SPI.

3. Information relative aux technologies de prise de décision automatisée (outils d'IA)

• Question/Déclaration : « Notre processus d’évaluation initial utilise des outils automatisés de profilage et de présélection pour évaluer les compétences techniques essentielles. Êtes-vous d'accord pour passer cette évaluation automatisée, et comprenez-vous comment demander une révision humaine de vos résultats si vous le souhaitez ? »
• Objectif de conformité : répond aux dispositions de la CCPA relatives à la prise de décision automatisée et aux risques liés au profilage.

4. Autorisation de transfert de données à des tiers

• Question/Déclaration : « Afin de donner suite à votre candidature, nous devons communiquer votre identité et vos coordonnées à nos prestataires agréés chargés de la vérification des antécédents. Nous autorisez-vous à transférer et partager vos données avec ces tiers autorisés, exclusivement dans le cadre de ce processus de vérification ? »
• Objectif de conformité : empêcher le « partage ou la vente » non autorisé des données des consommateurs/candidats.

5. Consentement à la conservation dans le vivier de talents pour l'avenir

• Question/Déclaration : « Si votre candidature n'était pas retenue pour ce poste à pourvoir immédiatement, nous souhaiterions conserver votre CV et votre dossier de candidature dans notre vivier de talents pendant une durée maximale de 12 mois en vue d’opportunités futures. Acceptez-vous cette durée de conservation, ou préférez-vous que nous supprimions vos données dès la clôture de ce poste spécifique ? »
• Objectif de conformité : respecte les principes de minimisation des données et de transparence totale en matière de durée de conservation.

6. Vérification du « droit à l'information » et de l'accès

• Question/Déclaration : « Savez-vous que, conformément à la CCPA, vous avez le droit de demander officiellement l'accès à, ou une copie transférabledes données à caractère personnel spécifiques, y compris les notes du recruteur ou celles prises lors des entretiens, que nous avons collectées à votre sujet au cours de ce processus de recrutement ? »
• Objectif de conformité : Favorise le respect du droit des consommateurs à l'information et à l'accès.

7. Instructions explicites concernant le « droit à l'effacement »

• Question/Déclaration : « Si vous décidiez de retirer votre candidature ou de demander la suppression de votre profil à n'importe quel moment, savez-vous comment soumettre une demande officielle visant à faire supprimer définitivement vos données personnelles soient définitivement supprimées de nos bases de données de recrutement actives ? »
• Objectif de conformité : répond à l'obligation de mettre en place un mécanisme clair pour le droit à l'effacement (droit à l'oubli).

8. Déclaration de non-discrimination

• Question/Déclaration : « Soyez assuré(e) que l’exercice de l’un de vos droits en matière de protection de la vie privée en vertu de la CCPA n’aura aucune incidence négative sur votre candidature, votre notation ou votre évaluation pour ce poste. Avez-vous des questions concernant vos droits en matière de protection des données avant que nous passions à l’étape suivante ? »
• Objectif de conformité : garantit le respect strict du droit à la non-discrimination prévu par la CCPA dans le cadre de l'exercice des droits à la vie privée.

Conclusion

La réglementation CCPA de 2026 met l’accent sur le fait de traiter la responsabilité en matière de protection de la vie privée au même titre que la responsabilité financière, en exigeant une documentation, des audits et la désignation de responsables. Ce modèle se généralise : six États américains disposent déjà de lois complètes sur la protection de la vie privée, et il est probable qu’il s’étende à l’ensemble du pays. Il est essentiel d’investir dans une gestion centralisée des données et une gouvernance solide des données au sein des opérations de recrutement pour garantir la conformité future. Les agences doivent intégrer de manière proactive des mesures de protection de la vie privée, plutôt que de considérer la conformité comme une simple formalité administrative. Il est essentiel de commencer par des évaluations au regard de la CCPA et par la mise à jour des déclarations de confidentialité, afin de montrer l’importance de prendre dès maintenant la protection de la vie privée au sérieux.

Commencez dès aujourd’hui votre essai gratuit de 14 jours avec Manatal pour centraliser les données des candidats et gérer la conformité à la CCPA à grande échelle.

Questions fréquemment posées

Q : Votre équipe RH utilise-t-elle des outils de recrutement automatisés ?

R : Si votre système de suivi des candidatures (ATS), tel que Manatal, évalue les CV avant qu’un recruteur ne les consulte, il s’agit d’une prise de décision automatisée (ADMT). Si votre plateforme d’entretien vidéo classe les candidats en fonction de leur style de communication, il s’agit également d’une prise de décision automatisée (ADMT). Ces outils nécessitent une évaluation des risques distincte et doivent être portés à la connaissance des candidats. En vertu de la CCPA, les candidats ont le droit de refuser la prise de décision automatisée, et vous devez mettre en place une procédure permettant de respecter ce droit.

Q : Qui a accès aux données des candidats, et comment un système de gestion des candidatures (ATS) gère-t-il ce risque lié à la conformité ?

R : Un accès sans restriction aux données au sein d’une organisation représente un risque majeur en matière de conformité. Une solution ATS telle que Manatal résout ce problème en mettant en place un contrôle d’accès strict basé sur les rôles. Au lieu de permettre à n’importe quel collaborateur de l’entreprise d’effectuer des recherches dans l’intégralité de la base de données des candidats, elle personnalise les droits d’accès en fonction des rôles : les recruteurs bénéficient d’un accès complet à l’historique des candidatures, les responsables du recrutement ne voient que les CV et les notes d’entretien, et l’accès du service financier est totalement restreint. Parallèlement, les directeurs des ressources humaines et les équipes de sécurité conservent les droits d’accès nécessaires à l’audit.

Q : Quelles sont les mesures de sécurité mises en place pour protéger les données des candidats ?

R : Énumérez-les précisément. Contrôles d’accès basés sur les rôles. Chiffrement des données au repos et en transit. Authentification multifactorielle (MFA) pour les connexions des recruteurs. Workflows de suppression automatique des données. Journaux d’audit indiquant qui a accédé à quoi. Accords de traitement des données (DPA) avec les fournisseurs. C’est dans cette section que votre évaluation au regard du CCPA sera jugée satisfaisante ou rejetée. La réglementation exige une « conclusion de mise en balance », c’est-à-dire une détermination documentée attestant que vos mesures de protection réduisent suffisamment les risques pour justifier le traitement.

Citation

1. SHRM
2. Code civil californien, article 1798.155 (2025)