Recrutement par IA : le CEPD en fait la cible de son action coordonnée 2027, et finalise les BCR des sous-traitants

· Par Edouard Schlumberger
👈 les autres actualités

Le 10 novembre 2026, le Comité européen de la protection des données (CEPD) a choisi le thème de sa sixième action coordonnée : les décisions automatisées dans le recrutement, y compris celles prises par des outils d'IA. Lors de la même plénière, il a adopté la version finale de ses recommandations sur les règles d'entreprise contraignantes des sous-traitants (BCR-P) et une déclaration sur le réexamen de l'adéquation de la Corée du Sud. Trois sujets qui touchent le registre d'un DPO.

Ce que le CEPD a adopté

L'action coordonnée 2027 : le tri automatisé des candidats

Dans une action coordonnée (CEF), des autorités de protection des données contrôlent ensemble un même sujet. Selon le communiqué du CEPD du 11 novembre, la sixième portera sur l'application du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, et du droit d'accès qui s'y rattache, dans l'usage d'outils automatisés de sélection des candidats, y compris ceux reposant sur l'IA. Les autorités qui le souhaitent rejoindront l'action dans les semaines à venir, et elle sera lancée au cours de l'année 2027.

Les BCR des sous-traitants, version finale

Après consultation publique, le CEPD a adopté la version finale de ses recommandations 1/2026 sur la demande d'approbation et sur les éléments et principes des BCR-P, au sens de l'article 47 du RGPD. Les BCR-P permettent à un groupe de transférer des données personnelles hors d'Europe vers des sous-traitants du même groupe. Les recommandations s'appliquent désormais à tous les titulaires de BCR-P : titulaires et demandeurs devraient s'y aligner pendant la procédure de demande ou lors de leur mise à jour annuelle de 2028, selon leur situation.

La Corée du Sud reste adéquate, réexamen tous les quatre ans

La décision d'adéquation de la Commission concernant la République de Corée date du 17 décembre 2021. Son premier réexamen a donné lieu à une réunion le 17 octobre 2025, puis à un rapport de la Commission publié le 23 juillet 2026, qui conclut que la Corée continue d'assurer un niveau de protection adéquat. Dans sa déclaration 2/2026, le CEPD salue les modifications de la loi coréenne (PIPA) : droit général de retirer son consentement, droit de demander la suspension d'un traitement, droit de refuser une décision automatisée, y compris par un système d'IA, ou d'en demander l'explication. Il relève que les transferts ultérieurs doivent reposer sur des mécanismes spécifiques (art. 28-8 PIPA) et que les pouvoirs de sanction de l'autorité coréenne, la PIPC, sont renforcés. Il approuve enfin la proposition de la Commission de réexaminer la décision tous les quatre ans.

Pourquoi c'est important

Le thème de l'action coordonnée annonce des contrôles. Le droit en cause est celui de l'article 22 du RGPD : ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant la personne de manière significative. Lorsqu'une exception s'applique (contrat ou consentement explicite), le responsable doit au moins garantir une intervention humaine, la possibilité d'exprimer son point de vue et de contester la décision. Le droit d'accès de l'article 15 couvre, de son côté, l'existence d'une telle décision et des informations utiles sur sa logique sous-jacente. Le sujet n'est pas neuf pour les autorités : Leto relevait déjà en septembre leur intérêt pour l'embauche algorithmique.

Côté transferts, la décision coréenne reste un outil valable au sens de l'article 45 du RGPD, qui impose un examen périodique au moins tous les quatre ans. La liste des pays reconnus adéquats ne bouge donc pas.

Ce que ça change pour les organisations

  • Recrutement : recenser dans le registre les outils de tri de CV, de scoring ou d'entretien vidéo utilisés par les RH, y compris les fonctions d'IA activées dans un ATS existant.
  • Pour chacun, établir si une décision de rejet peut être prise sans intervention humaine réelle, et documenter qui revoit quoi.
  • Préparer la réponse à une demande d'accès d'un candidat écarté : existence du traitement automatisé, logique sous-jacente, conséquences.
  • Transferts intra-groupe : si votre groupe détient ou prépare des BCR-P, comparer le texte aux recommandations finales et planifier l'alignement, au plus tard dans la mise à jour annuelle de 2028.
  • Corée du Sud : les transferts fondés sur l'adéquation restent couverts ; vérifier simplement que le registre cite bien cette base.

Ce que Leto en pense

L'action ne sera lancée qu'en 2027 : c'est le moment de cartographier les outils RH, avant que la question ne vienne d'une autorité. Le point dur sera rarement l'outil lui-même, plus souvent la preuve d'une intervention humaine effective et la capacité à expliquer un refus. Tenir le registre, les sous-traitants et les transferts au même endroit rend cet exercice beaucoup plus court ; si vous voulez voir comment Leto et Hari s'y prennent, demandez une démo.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo