Test de personnalité et RGPD : comment rester en conformité ?

Un test de personnalité professionnel permet d'explorer certaines tendances comportementales d'un individu : sa manière d'interagir, de prendre des décisions, de réagir aux contraintes ou d'aborder son environnement de travail.

En recrutement, ces informations complètent l'entretien, l'analyse de l'expérience et les autres méthodes d'évaluation. Elles ne doivent cependant pas constituer l'unique fondement d'une décision.

D'ailleurs, ces approches ne présentent pas toutes les mêmes garanties scientifiques. Le choix d'un questionnaire doit donc tenir compte de sa validité, de sa fidélité et de son adéquation avec l'objectif poursuivi.

Les recherches de Barrick et Mount ont notamment documenté les relations statistiques entre certains traits du Big Five, comme la conscienciosité, et la performance professionnelle.

Mais un outil scientifiquement valide n'est pas nécessairement conforme au RGPD.

La qualité psychométrique concerne la pertinence des mesures. Le RGPD encadre la collecte, l'utilisation, la conservation et la protection des données personnelles.

Un recruteur doit donc examiner ces deux dimensions avant d'intégrer un test dans son processus d'évaluation. Au-delà de la conformité réglementaire, il est notamment essentiel de savoir reconnaître un test de personnalité professionnel fiable.

La CNIL rappelle que les méthodes d'évaluation doivent présenter un lien objectif, direct et nécessaire avec l'appréciation des aptitudes professionnelles ou de la capacité à occuper l'emploi proposé.

Avant de proposer un questionnaire, le recruteur doit donc pouvoir répondre à trois questions. Cette réflexion permet également de mieux définir les critères d'évaluation et de limiter certains biais de recrutement :

• Pourquoi ce test est-il pertinent pour le poste ?
• Quelles caractéristiques cherche-t-on à évaluer ?
• Comment les résultats contribueront-ils à la décision RH ?

Une attention particulière doit être portée aux décisions automatisées. L'article 22 du RGPD encadre les décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, lorsqu'elles produisent des effets juridiques ou affectent significativement la personne.

Écarter automatiquement un candidat sur la seule base d'un score psychométrique peut donc soulever des difficultés juridiques importantes. L'article 22 ne s'applique toutefois pas automatiquement à toute utilisation d'un test.

Pour approfondir ces obligations, la CNIL met à disposition un guide du recrutement.

L'information préalable du candidat est obligatoire. Son consentement n'est cependant pas systématiquement la base légale appropriée.

En recrutement, le consentement peut être difficile à considérer comme entièrement libre, notamment lorsqu'un candidat craint qu'un refus compromette ses chances d'obtenir le poste.

Selon la finalité et les circonstances, d'autres bases légales peuvent être envisagées, notamment les mesures précontractuelles ou l'intérêt légitime.

Le recruteur doit déterminer et documenter la base légale adaptée avant le traitement.

Les résultats d'un test psychométrique constituent des données personnelles. Leur consultation doit être réservée aux personnes qui en ont réellement besoin pour exercer leurs missions.

Selon l'organisation, cela peut concerner :

• Les professionnels RH chargés du recrutement.
• Le manager directement impliqué dans la sélection.
• Un cabinet de recrutement ou un prestataire habilité.

Ces fonctions ne donnent toutefois pas automatiquement accès à l'intégralité des résultats.

Un manager peut, par exemple, recevoir une synthèse pertinente pour le poste sans consulter toutes les réponses individuelles du questionnaire. Il est également important de savoir interpréter les résultats d'un test psychométrique pour éviter toute conclusion hâtive à partir des informations communiquées.

L'entreprise doit définir des habilitations adaptées et éviter toute diffusion générale des rapports psychométriques.

Les données recueillies pendant un recrutement ne peuvent pas être conservées sans limite.

La durée dépend de la finalité poursuivie et de la situation du candidat.

Pendant le recrutement, les résultats nécessaires à l'évaluation peuvent être conservés pour les besoins du processus.

Après un refus, certaines informations peuvent être conservées pendant une durée justifiée, notamment pour répondre à d'éventuelles contestations, dans les conditions juridiques applicables.

Pour constituer un vivier de candidats, la finalité est différente. La CNIL recommande notamment de recueillir le consentement des personnes concernées et de ne pas dépasser, en principe, deux ans à compter du dernier contact.

Cette recommandation ne constitue pas une durée universelle applicable à toutes les données de recrutement.

L'entreprise doit documenter ses durées de conservation et prévoir des procédures d'archivage, de suppression ou d'anonymisation adaptées.

Un candidat conserve des droits sur les données recueillies lors de son évaluation, y compris lorsque le test est administré par un prestataire externe.

Le RGPD prévoit notamment :

• Le droit d'accès, permettant d'obtenir communication des données personnelles concernées, notamment des résultats.
• Le droit de rectification, pour corriger des informations inexactes ou compléter des données incomplètes.
• Le droit à l'effacement, lorsque les conditions légales sont réunies.
• Le droit d'opposition, applicable à certains traitements.
• Le droit à la limitation, dans les situations prévues par le RGPD.
• Le droit à la portabilité, lorsque ses conditions d'application sont remplies.

Un candidat peut donc, en principe, demander à accéder aux résultats de son test de personnalité.

Lorsque leur compréhension nécessite des explications, les informations communiquées doivent lui permettre de les interpréter.

L'organisme doit généralement répondre aux demandes d'exercice des droits dans un délai d'un mois, sous réserve des prolongations légalement prévues.

La conformité ne concerne pas uniquement les tests psychométriques. Elle s'étend également aux autres données recueillies pendant le recrutement.

Lors d'une prise de références, le recruteur doit notamment s'assurer que les informations recherchées sont pertinentes pour le poste et que le candidat a été informé des méthodes utilisées.

Les données recueillies auprès d'anciens employeurs restent soumises aux principes de finalité, de minimisation, de transparence et de confidentialité.

L'objectif est d'éviter une collecte excessive ou disproportionnée, tout en sécurisant l'ensemble du parcours de recrutement.

Une mauvaise gestion des résultats psychométriques peut exposer l'entreprise à plusieurs conséquences.

Les candidats peuvent exercer leurs droits, déposer une plainte auprès de la CNIL ou contester certaines pratiques.

En fonction des manquements constatés, l'autorité de contrôle peut prononcer des mesures correctrices et des sanctions financières.

Le RGPD prévoit, pour certaines violations, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Au-delà du risque juridique, une utilisation opaque des tests peut également fragiliser la confiance des candidats et l'image de l'employeur.

La conformité doit être intégrée dès la conception du processus d'évaluation, et non vérifiée uniquement au moment de la passation. Cette démarche suppose également de réfléchir à la manière d'intégrer les tests psychométriques dans le recrutement, en tenant compte des exigences du poste et des conditions d'utilisation des outils.

Cette logique correspond notamment aux principes de protection des données dès la conception et par défaut (Privacy by Design et Privacy by Default).

Pour structurer leurs pratiques, les équipes RH peuvent s'appuyer sur une checklist :

• Définir la finalité et la base légale du test.
• Vérifier la pertinence des dimensions évaluées.
• Informer le candidat avant la passation.
• Limiter les accès aux résultats.
• Définir les durées de conservation.
• Prévoir l'exercice des droits et la suppression des données.
• Vérifier les garanties proposées par les prestataires.

Un registre des traitements, des notices d'information adaptées et des procédures internes permettent également de documenter les pratiques.

Selon les risques associés au traitement, une analyse d'impact relative à la protection des données (AIPD) peut être nécessaire.

Faire passer un test de personnalité en conformité avec le RGPD ne consiste pas simplement à sécuriser un questionnaire.

Il s'agit de construire une démarche d'évaluation transparente, proportionnée et respectueuse des droits des candidats.

En associant rigueur psychométrique, confidentialité et bonnes pratiques RH, les entreprises peuvent utiliser les tests de personnalité comme de véritables outils d'aide à la décision, tout en renforçant la confiance des candidats.

La conformité devient alors une composante essentielle d'une évaluation professionnelle responsable.