RGPD et recrutement : la checklist 2026 (cas CNIL)

L’essentiel. Personne n’est conforme à 100 % au RGPD — pas même la CNIL. Son propre processus de recrutement a longtemps illustré deux erreurs que commettent la plupart des organisations : l’absence de mentions d’information (article 13) lors de la collecte des CV, et l’usage d’une simple adresse e-mail pour gérer les candidatures, ce qui rend quasi impossible le respect des durées de conservation, la séparation des finalités et l’exercice des droits. Ce guide transforme ce constat en méthode : mentions d’information, base légale, durées de conservation des CV et outillage — la checklist complète du recrutement conforme.

Le recrutement est un angle mort classique de la conformité. On sécurise le site web, le CRM, la newsletter… et on oublie que répondre à une offre d’emploi génère un traitement de données personnelles à part entière, soumis à toutes les obligations du règlement. J’avais consacré une vidéo à ce point de non-conformité repéré sur le site de la CNIL — utile pour visualiser le problème avant d’entrer dans la méthode :

L’objectif n’est pas de pointer la CNIL du doigt : le fait qu’une autorité de contrôle elle-même trébuche montre surtout que le RGPD est complexe et exige la réunion de compétences juridiques, IT et métier. Voyons les deux problèmes en détail, puis la manière de bâtir un processus de recrutement réellement conforme.

Problème n°1 : l’absence de mentions d’information à la collecte

Ce qu’impose l’article 13

À chaque collecte de données personnelles, le support utilisé (formulaire, page « postuler », adresse de candidature) doit comporter des mentions d’information. L’article 13 du RGPD, dont les modalités sont précisées par l’article 12, impose une information concise, transparente et aisément accessible. Indiquer une simple adresse e-mail « candidature@… », sans autre précision, ne suffit pas.

Un candidat doit savoir, avant d’envoyer son CV :

Élément	Exemple pour un recrutement
Finalité	Gérer votre candidature à l’offre X (et, le cas échéant, constituer un vivier)
Base légale	Intérêt légitime de l’employeur / mesures précontractuelles / consentement pour le vivier
Destinataires	Service RH, manager recruteur, éventuel prestataire de recrutement
Durée de conservation	Ex. : 2 ans après le dernier contact pour le vivier (avec accord)
Droits	Accès, rectification, effacement, opposition, limitation, réclamation CNIL
Transferts hors UE	Le cas échéant, pays et garanties
Coordonnées	Responsable de traitement et, s’il existe, DPO

Pourquoi c’est essentiel

Sans ces mentions, le candidat ignore ce qu’il advient de son CV. Sera-t-il traité uniquement pour l’offre, ou versé dans une CVthèque conservée des années ? Combien de temps ? Sur quelle base ? Ces éléments sont loin d’être théoriques : ils déterminent la licéité du traitement et, dans certains cas, la validité du consentement. L’information n’est pas une formalité — c’est la condition de transparence de tout le processus.

Beaucoup d’organisations oublient ces mentions dans le recrutement précisément parce que la collecte y est diffuse (e-mail, dépôt de CV, LinkedIn, cooptation). C’est pourtant là qu’il faut être irréprochable.

Problème n°2 : gérer des candidatures par une simple boîte e-mail

Le second point, plus subtil, tient à l’outil : gérer l’ensemble des candidatures via une adresse e-mail unique. Ce n’est pas une illégalité en soi, mais en pratique cela rend le respect du RGPD extrêmement difficile. Pourquoi ?

Plusieurs finalités mélangées dans un même outil

Une boîte de recrutement héberge souvent, pêle-mêle :

• la réponse aux offres d’emploi ;
• la gestion des demandes de droits (droit d’accès, effacement…) ;
• la communication interne ou externe du service RH.

Or ces traitements ont des finalités, des destinataires et des durées de conservation différents. Les mêler dans un seul outil interdit d’appliquer à chacun ses propres règles — une contradiction directe avec le principe de finalité et le principe de temporalité.

La duplication rend l’effacement illusoire

Un exemple concret : un candidat postule. Le service RH transfère son CV à un manager, qui le retransfère à un collègue « pour avis ». Le même CV existe désormais sur trois postes. Comment garantir, au terme du délai de conservation, que toutes les copies ont été effacées ? Comment répondre à une demande d’effacement ou de limitation ? En pratique, c’est ingérable. L’e-mail est l’un des pires outils pour piloter un traitement, car il ne permet ni règle d’effacement automatique, ni cloisonnement des accès, ni traçabilité fiable.

La preuve de conformité (accountability)

Le responsable doit pouvoir démontrer sa conformité (art. 5(2)). Il doit par exemple conserver la trace des demandes de droits pendant une durée propre, distincte de celle des CV. Une boîte e-mail rend cette démonstration hasardeuse. La solution consiste à utiliser un outil dédié (ATS, logiciel de recrutement) qui associe à chaque traitement une durée, des destinataires et des règles de purge.

La base légale du recrutement : ce qu’il faut savoir

C’est la question la plus mal comprise. Sur quel fondement de l’article 6 traite-t-on une candidature ?

• Gestion d’une candidature à une offre précise : la base la plus solide est en général l’intérêt légitime de l’employeur à recruter, ou l’exécution de mesures précontractuelles à la demande de la personne. Notre guide de l’intérêt légitime détaille l’analyse à mener.
• Conservation dans un vivier (CVthèque) au-delà du recrutement concerné : la CNIL considère qu’il faut alors recueillir le consentement du candidat, celui-ci pouvant le retirer à tout moment.

La distinction est capitale car elle commande la durée de conservation et l’information à délivrer. Traiter un CV « au cas où », sans base ni information, expose à un manquement.

Combien de temps conserver un CV ?

Le principe de limitation de la conservation (art. 5(1)(e)) impose de ne pas garder les données au-delà du nécessaire. Repères usuels issus de la doctrine de la CNIL :

Situation	Durée recommandée
Candidat non retenu, sans conservation en vivier	Suppression rapide après la décision
Candidat versé au vivier (avec son accord)	Environ 2 ans après le dernier contact
Candidat recruté	Bascule vers le dossier du personnel (durées RH propres)
Traçabilité d’une demande de droit	Durée dédiée, distincte des CV

Ces durées doivent figurer dans votre registre des traitements et être effectivement appliquées — d’où l’importance d’un outil capable de purger automatiquement. Voir aussi notre tableau des durées de conservation.

Les données à ne pas collecter en recrutement

Le recrutement est un terrain propice à la collecte excessive. Deux garde-fous :

• Minimisation (art. 5(1)©) : ne demandez que ce qui est pertinent pour évaluer l’aptitude professionnelle au poste. Numéro de sécurité sociale, situation familiale détaillée, photo obligatoire : à proscrire au stade de la candidature.
• Données sensibles (art. 9) : origine, santé, religion, opinions, orientation sexuelle, appartenance syndicale ne peuvent pas être collectées. Les questions relatives à l’état de santé relèvent de la médecine du travail, pas du recruteur. Voir notre guide des données sensibles.

Ces exigences valent aussi pour les champs libres des logiciels de recrutement : une annotation « semble instable » ou « enceinte ? » dans un ATS constitue un manquement caractérisé.

Les droits des candidats

Un candidat est une personne concernée à part entière. Il peut exercer :

• le droit d’accès — obtenir une copie de ses données, y compris les commentaires des évaluateurs (voir répondre à un droit d’accès) ;
• le droit d’effacement — demander la suppression de son CV ;
• le droit d’opposition et de limitation ;
• le droit de retirer son consentement à la conservation en vivier.

Votre processus doit permettre de répondre dans le délai d’un mois. Impossible à tenir si les données sont éparpillées dans des boîtes e-mail — d’où, à nouveau, la nécessité d’un outil dédié.

Sourcing, cooptation et LinkedIn : les collectes indirectes

Le recrutement moderne ne se limite pas aux candidatures reçues : les recruteurs cherchent des profils sur les réseaux professionnels, sollicitent des cooptations, achètent parfois l’accès à des bases de CV. Ces collectes indirectes relèvent de l’article 14 du RGPD : lorsque les données ne sont pas obtenues auprès de la personne, celle-ci doit néanmoins être informée — en principe dans un délai raisonnable (au plus tard un mois), ou dès le premier contact.

En pratique, un recruteur qui approche un profil repéré sur un réseau professionnel doit, lors de sa prise de contact, préciser d’où viennent les données, la finalité (une opportunité précise), la durée de conservation envisagée et les droits de la personne. La cooptation, elle, suppose que le collaborateur qui transmet un contact dispose bien du droit de le faire et que la personne recommandée soit informée.

Prestataires et outils : la sous-traitance du recrutement

Cabinets de recrutement, plateformes de sourcing, éditeurs d’ATS : dès qu’un tiers traite des données de candidats pour votre compte, il est sous-traitant au sens du RGPD et doit être encadré par un contrat conforme à l’article 28 (finalités limitées, sécurité, sous-traitance ultérieure, sort des données en fin de contrat). En tant que responsable de traitement, vous restez juridiquement responsable du choix et du contrôle de ces prestataires.

Un point d’attention pour 2026 : de nombreux ATS et outils de sourcing sont hébergés ou opérés depuis les États-Unis. Le transfert de données de candidats hors UE doit alors être sécurisé — décision d’adéquation (le Data Privacy Framework, adopté en juillet 2023, pour les organisations américaines certifiées, statut à vérifier au regard des recours en cours), clauses contractuelles types (version 2021/914) ou règles d’entreprise contraignantes. Ce point doit figurer dans les mentions d’information et au registre.

Tests, scoring et IA de recrutement

L’automatisation du tri des candidatures (scoring de CV, entretiens vidéo analysés par algorithme, tests en ligne) soulève deux exigences supplémentaires :

• Article 22 du RGPD — une personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs. Un rejet de candidature entièrement automatisé, sans intervention humaine, est en principe encadré : information renforcée, possibilité d’obtenir une intervention humaine et de contester la décision.
• Encadrement de l’IA — les systèmes d’IA utilisés pour le recrutement et la sélection de candidats figurent parmi les usages considérés comme à haut risque par la réglementation européenne sur l’intelligence artificielle. Leur déploiement impose des garanties renforcées (transparence, supervision humaine, gestion des biais) qui s’ajoutent aux obligations du RGPD, notamment une analyse d’impact documentée.

Autrement dit, plus le processus s’automatise, plus l’exigence de transparence et de contrôle humain se renforce.

Sécuriser les CV : mesures concrètes

Les candidatures contiennent des données personnelles parfois nombreuses (identité, parcours, coordonnées, prétentions salariales, extraits de casier pour certains postes). L’article 32 impose des mesures de sécurité proportionnées. En pratique :

• Cloisonner les accès : seuls le service RH et le manager recruteur concerné accèdent au dossier ; pas de diffusion « pour information » incontrôlée.
• Éviter les copies dispersées : privilégier un espace centralisé (ATS) plutôt que des CV dupliqués sur les postes de travail et boîtes e-mail.
• Chiffrer et tracer : chiffrement des supports, journalisation des accès aux dossiers sensibles.
• Purger : suppression effective à l’échéance, y compris des pièces jointes et sauvegardes.

Ces mesures ne relèvent pas du confort : elles conditionnent la capacité à répondre à une demande d’effacement et à démontrer la conformité en cas de contrôle.

Checklist du recrutement conforme au RGPD (2026)

#	Action	Fondement
1	Afficher les mentions d’information sur chaque support de candidature	Art. 13-14
2	Déterminer et documenter la base légale (offre vs vivier)	Art. 6
3	Recueillir le consentement pour la conservation en vivier	Art. 6(1)(a)
4	Fixer et appliquer les durées de conservation (≈ 2 ans vivier)	Art. 5(1)(e)
5	Minimiser les données collectées, proscrire les données sensibles	Art. 5(1)©, art. 9
6	Utiliser un outil dédié (ATS) plutôt qu’une boîte e-mail	Art. 5(2), art. 32
7	Cloisonner les accès (RH, managers) selon le besoin d’en connaître	Art. 32
8	Organiser la réponse aux droits sous un mois	Art. 12, 15-22
9	Inscrire le traitement « recrutement » au registre	Art. 30
10	Former les équipes RH et manager recruteurs	Art. 5(2)

Sur ce dernier point, l’expérience de la CNIL est éclairante : la conformité du recrutement échoue le plus souvent non par mauvaise volonté, mais par manque d’outillage et de coordination entre le juridique, l’IT et le métier. Un logiciel RGPD permet d’industrialiser la tenue du registre, le suivi des durées de conservation et la traçabilité des demandes de droits — précisément ce qu’une boîte e-mail ne sait pas faire.

FAQ

Quelle base légale pour traiter une candidature ?

Pour gérer une candidature à une offre précise, la base est généralement l’intérêt légitime de l’employeur ou des mesures précontractuelles. Pour conserver le CV dans un vivier au-delà du poste concerné, la CNIL retient le consentement du candidat, révocable à tout moment. Voir notre guide de la base légale RGPD.

Combien de temps peut-on garder le CV d’un candidat non retenu ?

Si le candidat n’est pas conservé en vivier, son CV doit être supprimé rapidement après la décision. S’il accepte d’être versé au vivier, la durée recommandée est d’environ 2 ans après le dernier contact. Ces durées doivent être documentées et réellement appliquées.

Peut-on gérer les candidatures avec une simple boîte e-mail ?

Ce n’est pas interdit, mais fortement déconseillé. L’e-mail ne permet ni la purge automatique, ni le cloisonnement des accès, ni la séparation des finalités, ni une traçabilité fiable pour l’accountability. Un outil de recrutement dédié (ATS) est bien mieux adapté aux exigences du RGPD.

Un recruteur peut-il noter des commentaires libres sur un candidat ?

Oui, mais uniquement des appréciations objectives et pertinentes pour l’aptitude au poste. Les annotations subjectives, discriminatoires ou révélant une donnée sensible sont proscrites — et communicables au candidat au titre de son droit d’accès.

Faut-il informer un candidat qui envoie une candidature spontanée ?

Oui. L’obligation d’information (art. 13-14) s’applique aussi aux candidatures spontanées. Prévoyez une page ou un accusé de réception renvoyant vers votre politique de confidentialité « recrutement », précisant finalité, base légale, durée et droits.

Le processus de recrutement doit-il figurer au registre des traitements ?

Oui. Le traitement « gestion des candidatures / recrutement » est un traitement à part entière qui doit être inscrit au registre, avec ses finalités, destinataires, durées de conservation et mesures de sécurité.

Peut-on demander un extrait de casier judiciaire ou des références à un candidat ?

Seulement lorsque c’est justifié par la nature du poste et prévu par un texte (certaines fonctions réglementées, contact avec des publics vulnérables). En dehors de ces cas, exiger un extrait de casier est excessif au regard de la minimisation. Les vérifications de références doivent rester proportionnées, se limiter à l’aptitude professionnelle et, idéalement, être portées à la connaissance du candidat.

---

Cet article a une vocation informative et ne constitue pas un conseil juridique individualisé. Analyse à jour au 10 juillet 2026 ; à adapter à votre contexte avant toute décision.