Le screening des candidats sur les réseaux sociaux est permis s’il est limité aux réseaux professionnels comme LinkedIn ou Xing, s’il repose sur une mise en balance documentée au titre de l’art. 6 al. 1 lit. f RGPD et si la personne concernée en est informée. En revanche, l’examen systématique et sans motif des profils privés, les recherches dissimulées ou le contournement des paramètres de confidentialité sont illicites — quelle que soit la facilité avec laquelle le contenu est accessible. La ligne rouge ne passe donc pas entre « public » et « accessible en privé », mais entre professionnel et privé.
La ligne de partage : réseaux professionnels vs réseaux privés
Les autorités allemandes de contrôle de la protection des données (la position DSK — la position de la Conférence des autorités allemandes de protection des données) distinguent de manière constante selon la finalité du réseau : quiconque se présente sur LinkedIn ou Xing le fait précisément pour être perçu professionnellement — évaluer cette présentation de soi dans le contexte d’une candidature est régulièrement défendable dans le cadre de la mise en balance. Les réseaux privés, en revanche, servent à la vie privée des personnes ; le fait qu’un profil soit techniquement visible publiquement ne rend pas en soi son évaluation nécessaire ou proportionnée. S’y ajoute le principe de minimisation des données (art. 5 al. 1 lit. c RGPD) : seules les données réellement pertinentes pour la décision d’embauche peuvent être collectées. Concrètement : la question n’est pas de savoir si vous pouvez trouver quelque chose, mais si vous êtes autorisé à le chercher pour le poste spécifique — et si, en cas de contestation, vous pourriez justifier cette recherche devant l’autorité de contrôle.
Ce qui est permis
Dans ce cadre, une marge d’appréciation substantielle subsiste :
- Recoupement des profils professionnels — les étapes de carrière, titres et périodes sur LinkedIn/Xing correspondent-ils au CV ?
- Activité publique liée à la profession — articles spécialisés, conférences, mentions d’entreprises, dans la mesure où elles sont pertinentes pour le poste.
- Approfondissement fondé sur un motif — en cas de contradictions ou d’indices concrets, documenté et avec une justification énoncée.
- Recherches de médias négatifs dans les sources éditoriales — les reportages de presse ne relèvent pas du screening des réseaux sociaux et obéissent à leurs propres normes ; sur le cadre des bases juridiques en général, voir notre article sur les bases juridiques RGPD du screening pré-embauche.
Ce qui n’est pas permis
Les zones d’interdiction sont tout aussi claires — et elles s’appliquent même lorsque le poste est sensible du point de vue de la sécurité :
- Recherches dissimulées et faux profils pour accéder à des contenus protégés,
- contournement des paramètres de confidentialité, par exemple via des tiers ayant un accès au niveau des contacts,
- examen systématique et sans motif des profils visiblement privés sans lien avec le poste,
- déductions sur des catégories particulières de données au titre de l’art. 9 RGPD — santé, opinions politiques, religion et orientation sexuelle sont omniprésentes dans les profils sociaux et ne doivent pas alimenter la décision.
Ce dernier point en particulier est ce qui rend la « recherche Google rapide » du responsable du recrutement risquée : quiconque examine des profils privés perçoit inévitablement des données de l’art. 9 et peut difficilement prouver ensuite qu’elles n’ont pas influencé la décision.
Obligation d’information : l’art. 14 RGPD s’applique même aux sources publiques
Une idée fausse répandue veut que les données accessibles au public puissent être traitées sans autre formalité. En réalité, l’art. 14 RGPD impose d’informer la personne concernée même lorsque les données n’ont pas été collectées directement auprès d’elle — c’est-à-dire précisément dans les recherches sur les réseaux et autres sources publiques. Lorsque les données sont collectées directement, l’art. 13 RGPD s’applique. En pratique, chaque processus de candidature doit donc comporter une notice d’information désignant les types de sources évalués et à quelle fin. Une référence générale aux « sources accessibles au public » ne suffit pas ; la notice doit préciser les types de sources, la finalité et la base juridique. Un screening sans cette information est vulnérable même s’il était matériellement irréprochable.
Conduite recommandée
Si vous souhaitez utiliser les recherches sur les réseaux sociaux dans le recrutement, le cadre suivant est recommandé :
- Politique écrite : définir les réseaux autorisés, les zones d’interdiction et les déclencheurs d’une recherche approfondie — et exclure expressément les recherches ponctuelles informelles par les managers.
- Documenter la mise en balance : pour chaque groupe de postes, justifier pourquoi quelles sources sont nécessaires.
- Établir la transparence : étendre les notices d’information aux sources de screening (art. 13/14 RGPD).
- Impliquer le comité d’entreprise : tôt, dans les entreprises à codétermination — comment bien faire est montré dans notre article sur la codétermination dans les background checks.
Un screening professionnel et documenté avec des catégories définies, des sources datées et un examen final humain (art. 22 RGPD) bat la recherche en interne sur tous les points juridiques — voyez comment le rapport logiciel Indicium met cela en œuvre lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.