Le point de départ est, selon Validato, la conservation des preuves prévue par la loi sur l’égalité (LEg) : en cas de refus discriminatoire, un délai de péremption de trois mois s’applique, durant lequel une action en justice est possible. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) précise que les dossiers de candidature peuvent, en cas de non-embauche, être conservés jusqu’à trois mois après la communication du refus, afin de pouvoir se défendre contre une telle action. En pratique, de nombreuses entreprises travaillent donc avec un court délai de « quarantaine » d’environ trois mois, assorti d’une petite marge organisationnelle, avant qu’une routine de suppression définie ne s’enclenche.

La situation se complique avec le vivier de talents : pour garder à l’œil des candidates et candidats prometteurs au-delà de la candidature concrète, il faut, selon Validato, un consentement clair et actif – ainsi qu’une gestion des délais, car un consentement n’est pas valable indéfiniment. « Un vivier de talents sans délai de conservation est en principe un cimetière de données qui porte bien son nom. Quiconque conserve des données de candidats plus d’un an sans renouveler le consentement accumule un risque qui finit par se retourner contre lui, au plus tard lors d’un contrôle ou d’un incident de sécurité », selon André Naef, CEO de Validato. Un délai de conservation d’environ douze mois est recommandé, à l’issue duquel le consentement est renouvelé ou les données supprimées.

Même après une embauche réussie, l’obligation de conservation ne prend pas fin automatiquement : une partie des documents de candidature est versée au dossier du personnel, où le principe de minimisation des données continue toutefois de s’appliquer. Les résultats sensibles d’un screening perdent de leur pertinence avec le temps ; il suffit souvent au lieu de conserver l’ensemble des documents, d’une brève mention telle que « contrôlé le [date] – sans observation », pour autant qu’aucun motif légal n’impose une conservation plus longue. Les informations particulièrement sensibles, par exemple relatives à l’intégrité financière, devraient en outre être protégées par des droits d’accès restrictifs. Validato recommande de remplacer la suppression manuelle – notoirement sujette aux erreurs dans les boîtes mail et les dossiers locaux – par des retention policies automatisées, qui suppriment ou anonymisent automatiquement les données des candidats non retenus après 90 à 120 jours.

Pour les services RH suisses, cela implique, selon Validato, une répartition claire des tâches : définir des délais propres pour les refus, les viviers de talents et les dossiers du personnel, les documenter et automatiser autant que possible le travail de routine sur le plan technique. Validato propose notamment aux entreprises des règles de conservation configurables au sein de sa propre plateforme de screening, exploitée sur une infrastructure dont les serveurs se trouvent en Suisse, respectivement dans l’UE, et certifiée ISO 27001 – de sorte que les délais de suppression ne soient plus laissés au hasard de boîtes mail individuelles.