Votre vivier de CV contient 15 000 profils. Certains datent de 2019. Vous ne les avez jamais recontactés, mais vous les gardez “au cas où”. Ce réflexe de stockage illimité, hérité de l’ère pré-RGPD, vous expose à des sanctions pouvant atteindre 20 millions d’euros ou 4 % de votre chiffre d’affaires mondial.
Le RGPD recrutement n’est pas un sujet théorique réservé aux juristes. C’est une réalité opérationnelle quotidienne pour toute entreprise qui recrute et pour tout cabinet qui gère des données candidats. La CNIL a multiplié les contrôles dans le secteur RH depuis 2022, avec des amendes déjà significatives.
Cet article pose les règles claires : combien de temps conserver un CV, sur quelle base légale, quels droits pour les candidats, et quels risques concrets en cas de non-conformité.
La règle des 2 ans : ce que dit la CNIL
Le référentiel CNIL applicable
La CNIL a publié un référentiel relatif à la gestion des ressources humaines (délibération n°2023-053 du 23 mars 2023) qui fixe les durées de conservation des données de recrutement. Le principe est simple : les données d’un candidat non retenu peuvent être conservées 2 ans maximum après le dernier contact.
Ce délai de 2 ans n’est pas arbitraire. Il correspond à un compromis entre l’intérêt légitime de l’entreprise (maintenir un vivier de candidats qualifiés) et le droit à l’oubli des personnes concernées.
| Type de donnée | Durée de conservation CNIL | Point de départ | Remarque |
|---|---|---|---|
| CV et lettre de motivation | 2 ans | Dernier contact avec le candidat | Suppression ou anonymisation à l’issue |
| Notes d’entretien | 2 ans | Date de l’entretien | Inclut les grilles d’évaluation |
| Résultats de tests | 2 ans | Date du test | Tests psychométriques, techniques, etc. |
| Données du candidat retenu | Durée du contrat + 5 ans | Fin du contrat de travail | Passage en base d’archivage |
| Données de sourcing | 2 ans | Dernier contact ou collecte | Profils LinkedIn, CVthèques |
Le “dernier contact” est la clé. Si vous recontactez un candidat après 18 mois pour une nouvelle opportunité et qu’il répond, le compteur repart à zéro. Mais attention : un email automatique sans réponse ne constitue pas un “contact” au sens de la CNIL.
Ce que “conservation” signifie concrètement
Conserver ne veut pas dire “laisser dormir dans un ATS”. La CNIL distingue trois phases :
- Base active : les données sont accessibles aux recruteurs pour les missions en cours (durée de la mission + quelques mois)
- Archivage intermédiaire : les données restent stockées mais avec un accès restreint (jusqu’à 2 ans)
- Suppression ou anonymisation : les données sont détruites ou rendues impossibles à relier à une personne identifiable
Un vivier de CV RGPD conforme suppose un système de purge automatique ou une revue régulière. Les ATS modernes intègrent cette fonctionnalité, mais encore faut-il l’activer et la paramétrer correctement.
💡 Le piège du "dernier contact"
Certaines entreprises envoient des newsletters à leur vivier de candidats pour faire tourner le compteur des 2 ans. La CNIL considère que cette pratique, si elle n'a pas d'autre finalité que de prolonger la conservation, est détournée et donc non conforme. Le contact doit être en lien avec une opportunité réelle ou une démarche de recrutement effective.
Base légale : consentement ou intérêt légitime ?
Les deux fondements juridiques possibles
Le RGPD exige une base légale pour tout traitement de données personnelles. En matière de RGPD recrutement, deux bases sont admises par la CNIL :
| Base légale | Quand l’utiliser | Avantages | Limites |
|---|---|---|---|
| Intérêt légitime (art. 6.1.f RGPD) | Candidature spontanée, sourcing, approche directe | Pas besoin de recueillir un consentement formel | Nécessite un test de proportionnalité documenté |
| Consentement (art. 6.1.a RGPD) | Constitution d’un vivier, conservation au-delà de la mission | Preuve claire de la volonté du candidat | Révocable à tout moment, gestion lourde |
En pratique, la plupart des cabinets de recrutement s’appuient sur l’intérêt légitime pour le traitement initial (réception d’une candidature, approche directe). C’est juridiquement solide, à condition de documenter un “test de mise en balance” démontrant que l’intérêt du cabinet ne porte pas une atteinte disproportionnée aux droits du candidat.
Pour la conservation dans un vivier au-delà de la mission initiale, le consentement est plus sûr. Le candidat doit être informé et donner son accord explicite pour que ses données soient conservées en vue d’opportunités futures.
L’information préalable : une obligation non négociable
Quelle que soit la base légale retenue, le candidat doit être informé avant la collecte de ses données (articles 13 et 14 du RGPD). Cette information doit mentionner :
- L’identité du responsable de traitement (le cabinet ou l’entreprise)
- La finalité du traitement (recrutement pour tel poste, constitution d’un vivier)
- La durée de conservation prévue
- Les droits du candidat (accès, rectification, effacement, opposition)
- Les destinataires des données (entreprise cliente, sous-traitants)
- L’existence d’un transfert hors UE le cas échéant
Un cabinet qui approche un candidat par LinkedIn sans l’informer de ces éléments dans un délai raisonnable (1 mois maximum) viole le RGPD. C’est aussi simple que cela.
Les droits des candidats : ce qu’ils peuvent exiger
Panorama des droits applicables
Les candidats disposent de droits étendus sur leurs données candidats, que le traitement soit effectué par l’entreprise directement ou par un cabinet mandaté.
| Droit | Contenu | Délai de réponse | Conséquence d’un refus |
|---|---|---|---|
| Droit d’accès (art. 15) | Obtenir une copie de toutes les données détenues | 30 jours | Plainte CNIL |
| Droit de rectification (art. 16) | Corriger des données inexactes | 30 jours | Plainte CNIL |
| Droit à l’effacement (art. 17) | Suppression de toutes les données | 30 jours | Plainte CNIL + sanction |
| Droit d’opposition (art. 21) | S’opposer au traitement fondé sur l’intérêt légitime | 30 jours | Obligation de cesser le traitement |
| Droit à la portabilité (art. 20) | Récupérer ses données dans un format structuré | 30 jours | Plainte CNIL |
Le droit à l’effacement mérite une attention particulière. Un candidat peut demander la suppression intégrale de ses données à tout moment. Le cabinet ou l’entreprise doit s’exécuter sous 30 jours, sauf si une obligation légale impose la conservation (par exemple, les données nécessaires à la preuve en cas de contentieux lié à une discrimination).
En pratique, une demande d’effacement implique de supprimer les données dans l’ATS, les emails, les notes manuscrites numérisées, les évaluations, et d’en informer tous les destinataires à qui ces données ont été transmises (y compris l’entreprise cliente).
Le cas spécifique du sourcing et de l’approche directe
Quand un cabinet identifie un candidat sur LinkedIn ou dans une CVthèque, il collecte des données sans interaction préalable. Le RGPD impose alors une information dans un délai raisonnable, fixé à 1 mois maximum par l’article 14.
Le cabinet doit aussi vérifier si le candidat a exercé son droit d’opposition sur la plateforme source. Certains profils LinkedIn portent la mention “pas ouvert aux opportunités” — les contacter malgré tout pose un problème de conformité.
Les cabinets structurés intègrent cette vérification dans leur processus d’évaluation et d’approche des candidats. C’est un marqueur de professionnalisme que vous devriez vérifier lors du choix de votre prestataire.
Le rôle du cabinet : responsable de traitement ou sous-traitant ?
La qualification juridique qui change tout
La qualification du cabinet au regard du RGPD détermine l’étendue de ses obligations et de sa responsabilité. Deux cas de figure :
Le cabinet est responsable de traitement quand il détermine les finalités et les moyens du traitement. C’est le cas le plus fréquent : le cabinet collecte les CV, décide des outils d’évaluation, constitue son propre vivier. Il porte alors l’intégralité des obligations RGPD.
Le cabinet est sous-traitant quand il agit uniquement sur instruction de l’entreprise cliente, avec des outils définis par elle. Ce cas est plus rare mais existe, notamment dans les missions de RPO (Recruitment Process Outsourcing).
Dans la majorité des mandats de recrutement, le cabinet et l’entreprise sont co-responsables ou responsables conjoints au sens de l’article 26 du RGPD. Cela signifie qu’un accord écrit doit définir leurs obligations respectives.
Votre contrat avec le cabinet doit impérativement inclure une annexe RGPD précisant cette qualification et les responsabilités de chacun.
💡 L'annexe RGPD non négociable
Tout contrat avec un cabinet de recrutement doit comporter une annexe "traitement des données personnelles" précisant : la qualification du cabinet (responsable ou sous-traitant), les catégories de données collectées, la durée de conservation, les sous-traitants utilisés (ATS, outils d'évaluation, hébergement), les mesures de sécurité techniques, et la procédure en cas de violation de données. Un cabinet qui refuse cette annexe en 2026 est soit négligent, soit non conforme.
Les risques concrets en cas de non-conformité
Les sanctions CNIL dans le secteur RH
La CNIL recrutement ne se contente plus d’avertissements. Les contrôles dans le secteur RH se sont intensifiés depuis 2022, et les sanctions tombent.
Quelques exemples marquants dans le secteur du recrutement et des RH en France :
- Clearview AI : 20 millions d’euros d’amende (2022) pour collecte de données biométriques sans base légale — un cas extrême mais qui illustre le plafond possible
- RATP : 400 000 euros d’amende (2021) pour conservation excessive de données de candidats et fichiers d’évaluation non sécurisés
- Plusieurs PME : mises en demeure publiques pour absence de politique de purge des CV (source : rapports d’activité CNIL 2023-2025)
Au-delà de l’amende, la publication de la décision sur le site de la CNIL génère un dommage réputationnel durable. Pour une entreprise qui investit dans sa marque employeur, c’est un coup dur.
Le risque contentieux avec les candidats
Un candidat mécontent peut saisir la CNIL en quelques clics via le service de plainte en ligne. Le nombre de plaintes reçues par la CNIL a dépassé 16 000 en 2024 (rapport annuel CNIL), dont une part croissante concerne le secteur du recrutement.
Un candidat non retenu qui découvre que ses données sont toujours conservées trois ans après sa candidature a un motif légitime de plainte. Si le cabinet ou l’entreprise ne peut pas démontrer la base légale de cette conservation, la sanction est quasi automatique.
Guide pratique : mettre en conformité votre vivier de CV
Les 7 actions prioritaires
Voici les mesures concrètes à mettre en oeuvre, que vous recrutiez en direct ou via un cabinet.
1. Auditer votre base existante Identifiez tous les lieux de stockage des données candidats : ATS, boîtes email, dossiers partagés, notes papier numérisées, tableurs Excel. La dispersion des données est le premier facteur de non-conformité.
2. Paramétrer la purge automatique Configurez votre ATS pour supprimer automatiquement les données 2 ans après le dernier contact. Si votre outil ne le permet pas, planifiez une revue trimestrielle manuelle.
3. Documenter vos bases légales Pour chaque catégorie de traitement (candidature spontanée, réponse à annonce, approche directe, vivier), documentez la base légale retenue et le test de proportionnalité associé.
4. Mettre à jour vos mentions d’information Chaque point de collecte (formulaire de candidature, email d’approche, page carrière) doit comporter une mention d’information RGPD complète.
5. Contractualiser avec vos cabinets Intégrez une annexe RGPD à chaque contrat, en précisant les responsabilités, les durées de conservation, et les procédures de gestion des droits. Le cadre contractuel global doit être revu.
6. Former vos équipes Les recruteurs internes et les managers impliqués dans les entretiens doivent connaître les règles de base : ne pas conserver de CV dans leur boîte email, ne pas partager de données par messagerie non sécurisée, répondre aux demandes d’accès.
7. Préparer la gestion des violations En cas de fuite de données (piratage de l’ATS, envoi d’un CV au mauvais destinataire), vous avez 72 heures pour notifier la CNIL. Un protocole de gestion de crise doit être prêt.
Le cas particulier des cabinets de recrutement spécialisés
Les cabinets spécialisés par secteur — recrutement commercial, recrutement IT — gèrent des viviers plus ciblés mais souvent plus sensibles. Un vivier IT peut contenir des informations sur les compétences en sécurité informatique, les habilitations, voire des données relatives au casier judiciaire pour certains postes.
Ces données entrent dans les catégories à risque du RGPD et nécessitent des mesures de protection renforcées : chiffrement, accès restreint, traçabilité des consultations.
Les cabinets référencés sur notre annuaire, notamment à Paris, ont été évalués sur leur conformité RGPD. C’est un critère de sélection que nous intégrons dans notre méthodologie de référencement.
La durée de conservation des données et la conformité RGPD sont aussi directement liées à la nouvelle directive sur la transparence salariale, qui va multiplier les données personnelles traitées dans le cadre du recrutement (grilles salariales, fourchettes de rémunération par poste).
Checklist RGPD recrutement
| Point de contrôle | Conforme ? | Action corrective |
|---|---|---|
| Durée de conservation CV limitée à 2 ans | ☐ | Paramétrer la purge automatique dans l’ATS |
| Base légale documentée pour chaque traitement | ☐ | Rédiger le registre des traitements |
| Information préalable des candidats | ☐ | Mettre à jour les mentions légales |
| Annexe RGPD dans les contrats cabinets | ☐ | Revoir les contrats en cours |
| Procédure de gestion des droits (accès, effacement) | ☐ | Désigner un référent et documenter le process |
| Sécurité des données (chiffrement, accès) | ☐ | Audit technique annuel |
| Protocole de notification de violation | ☐ | Rédiger et tester le protocole |
| Formation des équipes RH | ☐ | Session annuelle obligatoire |
Le RGPD recrutement n’est pas un obstacle au bon fonctionnement de votre vivier. C’est un cadre qui professionnalise la gestion des données candidats et renforce la confiance des talents envers votre organisation. Les entreprises qui le respectent scrupuleusement attirent des candidats mieux informés et plus engagés — parce qu’ils savent que leurs données sont traitées avec respect.
Un vivier de CV RGPD conforme, c’est un vivier propre, actif et exploitable. Pas un cimetière de profils obsolètes qui vous expose à des sanctions.
À propos de l'Équipe Editoriale
Les experts de Meilleur Cabinet analysent quotidiennement le marché du recrutement B2B français. Notre méthodologie garantit l'impartialité de nos guides vis-à-vis des différents acteurs du marché.