Recrutement et RGPD : relire le cas CNIL de 2019
Retour sur la critique du recrutement CNIL publiée en 2019 : distinguer archive, information des candidats et organisation pratique des CV.
Cette page a été publiée en juillet 2019 à propos de l’information des candidats sur le site de la CNIL. La critique historique ne constitue pas un constat de non-conformité de son recrutement en 2026. Elle reste un point de départ utile pour examiner le parcours d’un candidat : que sait-il au moment d’envoyer son CV, et comment son dossier est-il ensuite géré ?
Situer la vidéo dans son contexte historique
La vidéo conservée ci-dessous présente le commentaire publié à l’époque. Elle doit être regardée comme une archive éditoriale, sans extrapoler ses observations aux outils et documents actuels de l’autorité.
La CNIL publie aujourd’hui une présentation de son processus de recrutement, une politique de protection des données et un accès à son registre. Ces documents doivent être pris en compte pour toute nouvelle analyse ; leur existence ne permet pas davantage de certifier tous les traitements internes. Processus actuel de recrutement ; politique de protection des données de la CNIL.
La leçon pratique n’est donc pas que « personne ne respecte le RGPD ». C’est qu’une observation sur une page à une date donnée doit être distinguée d’un audit complet et d’une qualification juridique documentée. Notre guide du recrutement et du RGPD présente les obligations dans leur ensemble.
Examiner le parcours d’information du candidat
Pour une collecte directe, l’information prévue par l’art. 13 doit être fournie au moment où les données sont obtenues, sous réserve du cas où la personne en dispose déjà. Elle doit rester compréhensible et accessible. Un lien clair vers une notice adaptée peut participer à cette information ; il n’est pas nécessaire de reproduire un long texte identique dans chaque message. RGPD, art. 12(1), 13(1), 13(2) et 13(4).
Pour contrôler votre parcours, utilisez une candidature fictive sans données réelles et relevez :
| Étape | Vérification pratique |
|---|---|
| Annonce | La notice est-elle visible avant l’envoi du dossier ? |
| Formulaire ou adresse de candidature | La finalité du recrutement est-elle clairement indiquée ? |
| Accusé de réception | Le candidat retrouve-t-il les informations et le contact utile ? |
| Transmission au manager | Les accès correspondent-ils aux personnes annoncées ? |
| Refus ou clôture | La personne comprend-elle si son profil est conservé pour un autre usage ? |
Ne déduisez pas une absence d’information de la seule absence d’un paragraphe sur une capture d’écran : examinez les liens, les niveaux d’information et le contexte complet. À l’inverse, une politique générale qui ne décrit jamais les candidatures ne suffit pas à expliquer leur traitement.
Pour une collecte indirecte, l’art. 14 prévoit notamment l’information sur les catégories et la source des données. Son calendrier combine un délai raisonnable, au plus un mois, et, selon les cas, la première communication ou la première transmission ; ses exceptions doivent être examinées, pas présumées. RGPD, art. 14(1) à (5).
Une messagerie n’est pas interdite pour recevoir les CV
Le RGPD n’impose pas un ATS et n’interdit pas la messagerie. L’organisation doit démontrer des finalités maîtrisées, des accès adaptés, une conservation limitée et une sécurité proportionnée. Ces obligations découlent des art. 5(1), 5(2), 24(1) et 32(1), quel que soit le nom commercial de l’outil. Principes du RGPD ; responsabilité et sécurité.
Pour un recrutement ponctuel, une boîte dédiée avec des accès nominatifs, un classement défini et une procédure de suppression peut être adaptée. Pour des volumes importants ou plusieurs recruteurs, un outil spécialisé peut faciliter le travail. Il faut vérifier ses fonctionnalités, ses contrats et ses paramètres ; acheter un ATS ne supprime pas les copies locales ni les accès excessifs.
Organisation possible pour une PME : centraliser les pièces dans un espace restreint, transmettre un accès temporaire au manager plutôt que plusieurs copies, désigner la personne chargée de clôturer le dossier et contrôler les exports. La pertinence de cette méthode dépend de vos outils et de votre volume réel.
Séparer recrutement, vivier et archive probatoire
La CNIL distingue le processus en cours, le vivier et les pièces conservées à des fins probatoires. Le repère de deux ans vise le vivier, et le consentement y est recommandé sans être l’unique base admise : l’intérêt légitime peut être retenu avec information et opposition facile. L’archive de preuve doit avoir une justification et des accès séparés. Guide CNIL, fiches 4 et 9.
Votre procédure doit pouvoir retirer un profil du vivier sans supprimer une pièce encore nécessaire à un contentieux, et supprimer une copie de travail sans effacer un dossier salarié utile. Le guide sur la durée de conservation des CV donne les repères et les points de départ.
Contrôler les informations demandées et les commentaires
Les questions doivent servir à apprécier la capacité à occuper le poste ou les aptitudes professionnelles. La CNIL rappelle que les informations sans lien direct et nécessaire avec cet objectif ne doivent pas être demandées. Les données sensibles relèvent, en plus, des conditions de l’art. 9 : ni interdiction sans aucune exception, ni collecte libre parce que le candidat les a évoquées. CNIL, recrutement en TPE/PME.
Dans les champs libres, décrivez une observation professionnelle précise plutôt qu’un jugement sur la vie privée. « Ne maîtrise pas la fonctionnalité évaluée lors de l’exercice » renseigne une compétence ; une supposition médicale ou familiale ne répond pas au même besoin. Les appréciations peuvent être des données personnelles soumises au droit d’accès, avec les limites prévues par le règlement.
Pour la checklist opérationnelle, retenez cinq points : notice accessible, finalités séparées, accès définis, échéances appliquées et circuit de réponse aux droits. Consignez-les dans le registre des traitements, avec une personne chargée de vérifier l’application réelle.
Ce qu’il faut retenir
- Une critique publiée en 2019 ne décrit pas automatiquement la situation de 2026.
- L’information se vérifie sur l’ensemble du parcours, avec les documents accessibles au candidat.
- Une messagerie n’est pas illicite par nature ; un ATS n’est pas une garantie automatique.
- Les finalités du recrutement, du vivier et de la preuve nécessitent des règles distinctes.
- Un contrôle utile porte sur les pratiques effectives autant que sur les mentions affichées.
FAQ
Cette page démontre-t-elle une non-conformité actuelle de la CNIL ?
Non. La vidéo appartient au commentaire éditorial de 2019. Toute appréciation actuelle exige un examen des documents et pratiques actuels, sans extrapolation depuis l’archive.
Faut-il acheter un logiciel de recrutement pour respecter le RGPD ?
Le règlement n’impose pas un produit particulier. Choisissez une organisation capable d’appliquer les accès, durées, droits et mesures de sécurité nécessaires.
Une notice générale sur le site suffit-elle ?
Cela dépend de son contenu et de son accessibilité au moment pertinent. Elle doit effectivement couvrir le recrutement concerné et les informations requises, et pas seulement la navigation sur le site.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.