Aspirateurs de profil : Les crapules du marché de l'emploi

Nous sommes nombreux à avoir déjà livré nos informations à une plateforme de recherche d'emploi. Personnellement, il y a plus de deux ans, alors que je cherchais une expérience de développeur à Londres, je me suis inscrit un peu partout. C'était le début de toute une histoire, que je m'en vais vous conter de ce pas. :)

Les incroyables histoires de SuperJohnson : Episode 1

Tout commence en 2014, lorsque je parcours les annonces pour un poste de développeur à Londres, sur Jobs.ac.uk si je me souviens bien. Je me rends rapidement compte que beaucoup d'annonces, lorsque l'on clique sur le bouton "Apply" pour "candidater", redirigent vers d'autres sites. Et c'est là que les choses dérapent.

Au commencement

Jobs.ac.uk est une sorte d'agrégateur, et par essence, il renvoie très souvent vers un autre site, qui vous réclamera d'uploader votre CV et de vous créer un profil chez lui. Regardez cette annonce par exemple. Si vous faites "Apply", vous vous retrouvez ici, sur une obscure plateforme, Strathvacancies. Vous devrez donc, pour chaque nouvelle interface de recrutement, vous inscrire systématiquement.

Evidemment, je n'avais ni le temps ni l'envie de m'inscrire sur chacun des sites de recrutement du monde, mais pour quelques annonces qui m'intéressaient particulièrement, je l'ai fait. Malheureusement, j'ai depuis supprimé tous mes comptes et je serais bien incapable de me rappeler quelle plateforme a aspiré mon CV. Quoiqu'il en soit, j'ai eu la naïveté de m'inscrire sur plusieurs d'entre-elles. Et c'est là, forcément, que mon CV s'est retrouvé aspiré par la machine infernale, j'ai nommé... iProfileUK.

iProfileUK

Dans leur FAQ, on peut trouver la question : "How was my iProfile created?" et sa réponse : "It is most likely that your iProfile was automatically created for you from a CV you had previously sent to an iProfile Compatible agency...", c'est à dire (attention traduction ultra-rigoureuse) : "T'as envoyé ton CV sur un des sites partenaires qui ont inclus notre techno, et bim! Dans tes dents! Tu t'es fait aspirer ton CV!".

Maintenant prenons leur page Testimonials, la page de promo qui atteste de la satisfaction de leurs clients. On y retrouve par exemple Rullion, qui a l'air très content de travailler avec eux. Rullion, groupe composé de plusieurs filiales, dont Rullion IT Plus, apparemment spécialisé en recrutement dans le domaine de l'informatique. Alors bon, je vois qu'ils me proposent des offres d'emploi, la possibilité d'uploader mon CV, et sur leurs pages Privacy Policy et Terms & Service, que je suis censé lire, je ne trouve nulle trace du mot clé iProfile ni du mot Vertifi, groupe auquel iProfileUK appartient.

Bizarrement, je ne trouve strictement aucune information sur mes droits d'accès ou de rectification de mes données, ce qui, même sans être juriste non plus, m'étonne un peu. Par contre je peux lire dans les Terms & Conditions que tout mon contenu, une fois entre leurs mains, leur appartient (en gros hein, parce que là il y a vraiment beaucoup de texte à citer).

Alors je n'irai pas jusqu'à accuser sans preuve le groupe Rullion de transférer les CV uploadés à iProfileUK sans le dire à personne, mais presque. Quoi qu'il en soit, je me dis que c'est comme ça que ça c'est passé, même si dans mon cas c'était via une autre plateforme que celle de Rullion. C'est vraiment con que je ne puisse plus le savoir.

La découverte du Pot aux roses

Presque un an après mes recherches à Londres, et de retour en France, tous mes comptes liés à mon voyage sont à présent supprimés. J'ai plus ou moins abandonné l'idée de travailler là-bas, et j'ai correctement fait le ménage dans mes données personnelles. Me reste l'e-mail que j'ai utilisé pour à peu près tout en Angleterre, que j'ai gardé... parce que j'avoue, j'ai oublié de le dégager. Et là, en allant dessus par hasard, je me rends compte que depuis des mois atterrissent sur cette adresse une pluie de spam : des agences de recrutement londoniennes qui cherchent un développeur web.

Intrigué, je réponds à l'un des spammeurs qui m'a contacté tout récemment pour lui demander par quel moyen il a obtenu mon adresse mail. Appelons le Garry afin de préserver son anonymat. Il se révèle assez sympathique, et finit par m'expliquer qu'il a carrément mon CV en pdf, me l'envoie, avant d'ajouter qu'il passe par un agrégateur de profils, Broadbean. Je précise que le fait qu'un nombre incalculable d'agences de recrutement possède mon mail je m'en fous un peu. Pareil pour mon adresse et mon téléphone londonien. Par contre mon nom, prénom, mes diplômes et mon parcours professionnel, beaucoup moins...


Voici le screenshot qu'il a pris à partir de la plateforme de recherche de BroadBean, AdCourrier :


Pas mal hein? On peut voir que mon CV est stocké dans la BDD d'iProfile, mais aussi qu'on peut faire des recherches à partir de beaucoup d'autres BDD : Monster, BitBucket X Ray, Flickr, Github, Google+, LinkedIn, Stack Overflow, Twitter et Xing.

Au départ je pensais que Broadbean achetait et copiait les données de tous ces services à un moment T en local, et qu'ils avaient la main dessus pour les effacer. J'ai donc contacté cette entreprise pour lui demander de supprimer les données me concernant en leur possession. C'est à ce moment-là que j'ai fait la connaissance d'un grand Monsieur, quelqu'un de franc, d'honnête et de droit dans ses bottes, un modèle pour tous, j'ai nommé leur Agency Sales Director, Stephen Barnhurst. Leur arme secrète d'après son élogieuse description sur le site. Ils ont même de l'humour là-bas, ils pensent que Stephen aurait préféré être agent secret ou super-héros! Je suis moi aussi persuadé qu'il aurait pu être agent secret, et peut-être même super-héros, disons... un super-héros défenseur du marché juteux des données personnelles...

Broadbean : Intimidation, mensonges et chasse aux sorcières

Après un premier mail à Broadbean sans réponse, dans lequel je demande aimablement la suppression de mes données en précisant que je sais qu'ils les possèdent (mais je ne leur dis pas que je sais qu'elles viennent d'iProfile), je m'échauffe quelque-peu. J'essaie une autre méthode, la menace d'une action en justice. 2 lignes, un titre accrocheur... Moi aussi je sais faire de la com' efficace, percutante!

Me voilà donc, assis derrière mon clavier (non je ne reste pas debout, oui les cafards peuvent s'asseoir, tais-toi et lis), découvrant avec stupeur le mail de ce cher Stephen, qui cette fois ne se fait pas attendre. Sa réponse est assez longue, je vais vous épargner le screenshot. Il m'explique de manière très courtoise que Broadbean n'a pas la main sur mes données, parce qu'ils "ne détiennent pas mes données de la manière dont je crois qu'ils les détiennent". Jusque-là OK. Il poursuit : "La personne qui vous contacte a certainement trouvé votre profil sur un job board (Monster, Jobs.ac.uk...) ou directement dans la BDD de son agence de recrutement." Hmm... Ah bon? Bah pourquoi je vois iProfile comme source sur BroadBean alors? Il termine carrément en me disant que c'est de ma faute, parce que j'ai "sciemment envoyé mon CV en toute connaissance de cause à une plateforme ou une agence de recrutement", mais qu'il est totalement incapable de savoir lui-même d'où sortent mes données, alors que je lui ai donné mon nom, mon prenom, et l'e-mail avec lesquels je suis référencé dans son propre agrégateur. D'ailleurs c'est drôle parce que pour le coup iProfile est plus honnête que lui dans sa FAQ concernant la façon dont l'aspiration se fait.

Donc en gros, ce serait la faute de Garry si je me retrouve là-dedans? Farfelu. D'autant plus que Garry me trouve en deux secondes dans le moteur de recherche, mais Stephen n'y arrive pas, même avec ses pouvoirs de super-héros. En fait, de tout ce qu'il me dit, seul le fait qu'il ne puisse pas me supprimer directement de la BDD est vrai. Mais à ce moment-là, il me prend tellement pour un âne pour tout le reste que même ça, je n'y crois pas totalement.

Je commence à vraiment m'énerver. Je lui dis carrément qu'il ment, et lui balance ma capture d'écran, que j'ai pris soin de tronquer pour ne pas qu'il voie à partir de quel compte elle a été prise. Parce qu'il est sympa Garry, et j'ai pas tellement envie qu'il se fasse virer de son agence pour m'avoir fourni un screen de Broadbean qu'il n'avait pas le droit de me donner. Donc je lui redemande de faire quelque-chose, d'intervenir auprès d'iProfile, parce que je vois bien sur l'image que mon CV est stocké chez eux. Et là, je me dois de vous montrer sa réponse dans sa totalité :


Oui, vous avez bien lu. Bon déjà il est pas content du tout. Mais surtout, il a déduit d'après mon screen que les données sont enregistrées chez iProfile... Une lumière ce mec. Mais c'est auprès de Garry, celui qui ne fait que les consulter, qu'il a besoin de trouver une réponse. Garry qui est client de Broadbean via l'agence de recrutement qui l'embauche, serait le seul à pouvoir effacer mes données, pourtant stockées chez iProfile? Là, je me dis que soit ce mec a un pois chiche dans la tête, que dis-je, une fève (ceux qui ont compris et qui rient, vous devriez avoir honte), soit c'est un génie. Une sorte de Bernard Tapie anglo-saxon. Il veut la tête de Garry pour lui interdire l'accès à sa plateforme (il a très probablement violé leurs conditions d'utilisation), et s'imagine que je vais avaler l'histoire la moins logique du 21e siècle pour lui permettre d'arriver à ses fins. Mais moi je balancerai jamais Garry. Garry c'est un peu mon lanceur d'alerte à moi, mon véritable super-héros! J'abandonne les discussions, vu la mauvaise foi du bonhomme et la chasse aux sorcières que j'ai apparemment déclenchée.

iProfileUK : "Problèmes techniques" volontaires

Me voilà donc avec un dernier espoir : iProfile. Je contacte le support de iProfile.org. Je leur explique mon souci, réponse rapide, nette et précise : il ne s'agit pas d'eux. iProfile et iProfileUK se sont scindés en deux entités distinctes en mars 2013. Comme ils n'ont aucune trace de moi, ils pensent qu'il faut voir avec eux.

Sur iProfileUK, on a l'air de pouvoir se connecter avec son fameux iProfile. Je tente une récupération de mot de passe avec mon mail, rien à faire. Dans le doute, j'essaie toutes les adresses mail possibles et imaginables que je possède, peine perdue. Mon profil n'existe pas. La bonne blague. Ca commence bien, d'autant que je le voyais, mon mail associé, dans l'interface de recherche de Broadbean. Je sais que je ne peux pas m'être planté.

Ils possèdent un formulaire de contact, très discret, qui a l'air d'avoir changé depuis d'ailleurs. J'envoie mon message, et quelques minutes plus tard, la réponse me parvient sur le mail que j'avais renseigné, "Undeliverable" :


Non, ce n'est pas une blague. Nous sommes à ce moment-là en 2015, et le message ne peut pas leur parvenir, parce que leur formulaire de contact pointe encore vers "support AT iprofile.org", leur ancien domaine, celui qu'ils utilisaient avant leur séparation d'avec iProfile.org... 2 ans! 2 ans après leur scission! Pour moi c'est intentionnel, ma patte à couper!

L'ICO et la CNIL en dernier recours

Laissez moi vous dire que j'ai complètement abandonné l'idée de voir un jour mes données personnelles supprimées. iProfileUK devenant une sorte d'entité fantôme lorsque ça les arrange (même chose pour le groupe auquel ils appartiennent), ils ne me répondront jamais, ni par mail ni par courrier, ni par téléphone. Et évidemment, je n'ai jamais eu l'intention d'intenter une action en justice pour ça. J'ai bien regardé un peu du côté des autorités de contrôle, mais j'ai carrément le flemme et ça m'a l'air bien compliqué sans posséder de notions correctes en droit.

L'ICO, équivalent de la CNIL anglaise, me paraît assez passive, à tel point que c'en est un peu absurde. Si vous demandez un accès à des données et que personne ne répond, vérifiez que vous avez bien demandé... Marrant hein? C'est bien de l'humour anglais!! Bon j'exagère un peu, en fait ils vous disent de les contacter si rien n'est fait au bout de la 2ème tentative. Je me demande bien ce qu'ils font dans ce cas. Sinon, vous pouvez porter plainte. Mais pour avoir une chance vous devrez prouver que votre vie est gâchée à cause des données personnelles qu'on détient contre votre gré. On parle de détresse, de souffrance et de dommages... ce qui ne s'applique pas à mon cas.

La CNIL, je ne sais pas trop. Ils donnent bien des conseils ici, mais je suis incapable de piger si les données à l'étranger les concernent ou non. En plus, justifier que les données stockées me portent atteinte, dans mon cas ça me paraît difficile. Je n'ai juste pas envie que des informations privées circulent sur moi, c'est tout. Je fais toujours tout pour éviter ça, et je n'aime pas l'idée du social engineering par exemple, rendu possible par la nature des données qu'iProfile possède sur moi. Est-ce un motif légitime pour eux? Allez savoir.

Au final, ce sont ceux en bout de chaîne qui sont lésés.

Voici un schéma simpliste de la circulation des données de profil tel que je me le représente au regard de cette histoire. Le flux d'argent fait évidemment le circuit inverse de celui des données, sauf qu'il ne revient jamais vers le demandeur d'emploi :


Ce que je me dis, c'est qu'évidemment avec ce système, les demandeurs d'emploi sont lésés. Ils n'ont aucun contrôle sur leurs propres données, et ça peut réellement devenir très chiant, surtout s'ils ont mis leur numéro et leur adresse dans leur CV. On voit bien que le demandeur d'emploi est considéré comme un produit, pour ses compétences et sa valeur marchande potentielle sur le marché du travail. Ce qui est nouveau, c'est que ses coordonnées et son cursus seront littéralement loués via des systèmes automatisés, et le plus souvent à son insu. C'est une sorte de Big data du marché de l'emploi, mais non anonymisé, non consenti, et là est le scandale.

Mais ça ne s'arrête pas là. Je me dis aussi que le client final, l'entreprise qui cherche à embaucher, elle se fait bien avoir aussi. Et l'agence de recrutement qui lui cherche des candidats, pareil. Le client final paye l'agence de recrutement qui elle-même paye l'agrégateur pour accéder à des milliers de profils. Profils de candidats lésés, blasés, qui n'ont aucune envie d'être contactés à l'aide d'un système qui leur a volé leurs données. Candidats qui ne sont peut-être plus en recherche d'emploi depuis un moment, mais qu'on continue à contacter inlassablement. Candidats dont les données peuvent provenir de réseaux sociaux comme Google+ ou de forums comme Stack Overflow sur lesquels ils n'ont pas forcément renseigné leur situation professionnelle. Parce que les agrégateurs comme Broadbean et les aspirateurs comme iProfile, quoiqu'ils puissent raconter, mentent pour vendre leurs services. Leurs profils sont soit-disant pertinents, analysés, sourcés, mais dans ce cas pourquoi Broadbean, un an après l'arrêt de mes recherches d'emploi, un an après la fermeture de tous mes comptes de recherche d'emploi, me référence toujours? Pourquoi iProfile conserve mes données? Et pourquoi Broadbean agrège des profils de candidats dont il ne sait pas toujours s'ils sont "à l'écoute du marché de l'emploi" ou pas, parce que certaines de ses sources sont "pauvres" en info? Pour moi la réponse est claire : pour gonfler le nombre de profils et donner l'illusion d'abondance aux clients. Business is business comme on dit.

On touche du doigt le point essentiel de la problématique. Un business model basé sur le quantitatif (plus le nombre de profils référencés par un service est élevé, plus l'accès à ce service se monnaie cher), mais dont les représentants continuent de venter l'aspect soit-disant qualitatif, qui repose sur une croyance de leurs clients : l'automatisation est forcément pertinente. Ces clients oublient un détail : un système automatisé n'est que l'expression de la volonté des humains qui l'ont programmé, et un humain, malheureusement, n'est pas forcément honnête.

Et je ne pense pas que les grands acteurs finaux du marché de l'emploi (c'est à dire les très grosses entreprises qui recrutent) aient une approche logique de ce marché. Leurs RH se font mousser avec des termes techniques comme Big Data, Sourcing, Data Analysis, mais ne savent en réalité même pas de quel chapeau sortent les candidats qu'on tente, tant bien que mal, de leur dégoter à l'aide de systèmes absurdes, aveugles et tentaculaires. Je serais curieux de connaître les conclusions d'une grosse entreprise française qui analyserait sa propre politique de recherche de candidats de façon objective et scientifique. Par exemple grâce à un audit sur le rapport entre dépenses en prestataires et nouveaux salariés embauchés, avec et sans recours à des services tiers automatisés, au même moment. Juste pour voir combien leur coûte ce système, et s'il est vraiment efficace, pertinent. Je suis à peu près sûr qu'on rigolerait bien. Sont-ils même formés pour le faire? Ou sont-ils dans la croyance, comme je le pense? Je précise que si quelqu'un connaît un audit sur le sujet, je suis preneur. N'hésitez pas à me contacter par mail ou à laisser un commentaire avec vos sources.

La triste conclusion de tout ça, c'est que les principaux bénéficiaires de cette mécanique, ce sont les aspirateurs et agrégateurs, voire leurs partenaires (petits sites, j'imagine rémunérés, qui installent une techno d'aspiration sur leurs formulaires par exemple). Ceux qui parasitent le marché, parce que certains sont assez bêtes pour les payer pour ça. Certainement pas les candidats, ni les entreprises qui cherchent de la main d'oeuvre, ni les agences de recrutement. Alors oui, tout ça booste le marché de l'emploi. Le marché de l'emploi du secteur des prestataires de services... d'automatisation de recherche de candidats! Un marché de dupes, donc.

Et pendant ce temps, une nouvelle école de pensée gagne du terrain en Ressources Humaines : la GPEC. Sa devise : "Vous ne savez pas encore que vous cherchez du travail chez nous, mais nous l'avons deviné avant vous!" Et tenez-vous bien, ces "RH 2.0" souhaitent pousser ce système idiot, dont on a vu les conséquences, encore plus loin. Certains veulent même court-circuiter les agrégateurs et ne plus leur déléguer le boulot. Outre l'idée de recruter des candidats extérieurs, il y a aussi la volonté d'"optimiser" le personnel existant, pour les évolutions de carrière par exemple. Et pour ça, tous les moyens sont bons : espionner leurs employés, lire leurs mails, décortiquer les données internes à l'entreprise, telle est leur vision orwellienne du progrès. Mais ça, c'est une autre histoire...