Chaque recrutement fait circuler des données personnelles : CV, notes d'entretien, résultats de tests, références. Le RGPD s'applique à chacune de ces opérations, et le code du travail y ajoute des règles propres aux candidats.
Ce guide suit un recrutement RGPD dans l'ordre où il se déroule : rédaction de l'annonce, collecte des candidatures, évaluation, vérifications, puis clôture du dossier. Il s'appuie sur le guide de la CNIL consacré au recrutement, publié en janvier 2023, et sur le code du travail. Pour une vue d'ensemble des données des salariés, consultez notre guide RGPD et ressources humaines.
- 1Cadrer — Définir les informations nécessaires au poste.
- 2Informer — Remettre les mentions d'information à chaque candidat.
- 3Évaluer — N'utiliser que des méthodes pertinentes et annoncées.
- 4Vérifier — Limiter les contrôles à ce que le poste justifie.
- 5Clôturer — Supprimer, archiver ou verser au vivier.
Chapitre 01 — Préparer l'annonce
Annonce et collecte : ce que vous pouvez demander
Quelles données pouvez-vous demander à un candidat ?
Seules les informations qui servent à apprécier la capacité du candidat à occuper l'emploi ou ses aptitudes professionnelles. L'article L. 1221-6 du code du travail exige qu'elles présentent un lien direct et nécessaire avec l'emploi proposé. Le candidat, de son côté, doit répondre de bonne foi.
Fixez donc, avant la publication, une grille commune des informations utiles au poste : elle applique le principe de minimisation de l'article 5 du RGPD. Exemples tirés de la page CNIL destinée aux TPE et PME :
| Information | Au stade de la candidature | Précision |
|---|---|---|
| Diplômes, expériences, compétences | Oui | Dans la limite de ce que le poste exige |
| Numéro de sécurité sociale, coordonnées bancaires | Non | Après l'embauche (exception pour le travail temporaire) |
| Situation familiale, projet d'enfant | Non | Sans lien avec l'emploi |
| Lieu de résidence | En principe non | Admis pour un poste avec gardes ou astreintes |
| Santé, religion, origine | Non | Données sensibles, interdites sauf exception (art. 9 RGPD) |
Jobboards, LinkedIn, cooptation, chasse : qui est responsable ?
Vous devenez responsable de traitement des CV dès leur collecte, quelle que soit la source. Selon la CNIL, la plateforme reste responsable des comptes de ses utilisateurs, et un cabinet peut l'être de sa propre base de candidats. Consulter un profil public sur un réseau social reste un traitement soumis au RGPD.
Chapitre 02 — Informer les candidats
Informer chaque candidat avant de collecter
Quand et comment informer les candidats ?
Dès la collecte, et avant toute méthode d'évaluation. Un candidat qui postule reçoit les mentions d'information de l'article 13 du RGPD. Un candidat repéré par chasse ou par cooptation reçoit celles de l'article 14, au plus tard dans le mois qui suit l'obtention de ses données, ou lors du premier contact.
Le code du travail ajoute deux règles. L'article L. 1221-8 impose d'informer expressément le candidat des méthodes et techniques d'aide au recrutement avant leur mise en œuvre, et prévoit que les résultats sont confidentiels. L'article L. 1221-9 interdit de collecter une information le concernant par un dispositif qui ne lui a pas été préalablement porté à connaissance.
Mentions à placer dans l'annonce, l'accusé de réception ou la page carrière
La CNIL rappelle qu'un traitement de recrutement ne peut pas reposer sur le consentement du candidat : il se fonde en général sur les mesures précontractuelles ou sur l'intérêt légitime. Dans une entreprise d'au moins 50 salariés, le CSE est en outre informé avant l'utilisation des méthodes ou techniques d'aide au recrutement (article L. 2312-38).
Chapitre 03 — Évaluer
Tests, entretiens et outils d'évaluation
Quels tests et outils pouvez-vous utiliser ?
Ceux qui sont pertinents au regard de l'emploi et annoncés au candidat. La fiche 11 de la CNIL exige un lien objectif, direct et nécessaire entre l'outil et la capacité à occuper l'emploi.
Pour un recrutement RGPD documenté, inscrivez chaque outil au registre : finalité, données, fournisseur, durée.
Le tri automatique des CV par l'IA
L'article 22 du RGPD donne au candidat le droit de ne pas faire l'objet d'une décision automatisée produisant des effets significatifs, sauf exceptions. Un rejet prononcé par un logiciel, sans examen humain réel, entre dans ce champ.
Par ailleurs, le point 4 de l'annexe III de l'IA Act classe parmi les systèmes d'IA à haut risque ceux destinés au recrutement ou à la sélection, notamment pour cibler les annonces, analyser et filtrer les candidatures et évaluer les candidats. Depuis le règlement omnibus (UE) 2026/1744, les obligations correspondantes s'appliquent à compter du 2 décembre 2027 (article 113). Notre guide sur l'IA à haut risque détaille les obligations du déployeur.
Chapitre 04 — Vérifier
Références et casier judiciaire : les limites
Pouvez-vous appeler les anciens employeurs ?
Oui, si le candidat en a été informé au préalable. La fiche 5 de la CNIL admet le recueil de références auprès de l'environnement professionnel du candidat à cette condition. Limitez les questions aux compétences professionnelles.
Pouvez-vous exiger un extrait de casier judiciaire ?
En principe, non. Les données d'infraction relèvent de l'article 10 du RGPD, qui en réserve le traitement aux cas prévus par un texte. La fiche 16 de la CNIL le résume ainsi :
« En l'absence de texte spécifique, un recruteur ne pourra en principe pas obtenir d'extrait de casier judiciaire d'un candidat. »
Certains secteurs sont soumis à un contrôle d'honorabilité prévu par un texte, que la CNIL a intégré à cette fiche en mai 2026. Vérifiez le texte applicable à votre activité.
Chapitre 05 — Clôturer le dossier
Conservation, droits et prestataires
Combien de temps conserver les candidatures ?
Le temps du processus, puis selon le sort de la candidature. Un CV non retenu ne rejoint un vivier que si le candidat en est informé et peut s'y opposer, ou s'il y consent. La CNIL recommande alors une conservation qui n'excède en principe pas deux ans à compter du dernier contact.
| Situation | Durée | Source |
|---|---|---|
| Candidat recruté | Jusqu'à l'embauche, puis dossier du salarié | Référentiel CNIL des durées RH |
| Candidat non retenu, sans vivier | Le temps du recrutement, puis suppression ou archivage | Référentiel CNIL des durées RH |
| Vivier de candidats | 2 ans au plus après le dernier contact | Guide CNIL du recrutement |
| Archivage probatoire | 5 ans à compter de la date où le poste a été pourvu | Référentiel CNIL (actions en discrimination) |
Ces durées figurent dans le référentiel CNIL des durées de conservation RH, publié en avril 2026. Notre guide des durées de conservation distingue base active et archivage intermédiaire. Un stock de CV jamais purgé fragilise tout recrutement RGPD.
Droits des candidats et logiciel de recrutement
Le candidat peut demander l'accès à ses données, y compris à ses évaluations, leur rectification ou leur effacement. Vous répondez dans un délai d'un mois (article 12 du RGPD), selon la méthode de notre guide sur les demandes de droits.
L'éditeur de votre ATS agit comme sous-traitant : un contrat conforme à l'article 28 du RGPD est obligatoire. Vérifiez la localisation des données, les habilitations et la suppression automatique. Un recrutement RGPD se juge aussi à la configuration de cet outil, que vous pouvez comparer avec notre article sur les logiciels RH.
À retenir
- Chaque question posée au candidat doit avoir un lien direct et nécessaire avec l'emploi.
- L'information précède toute collecte et toute méthode d'évaluation, quelle que soit la source du profil.
- Le tri de CV par IA reste soumis à l'article 22 du RGPD et relèvera des obligations de l'IA Act au 2 décembre 2027.
- Le casier judiciaire ne se demande que si un texte le prévoit.
- Un recrutement RGPD se clôt par une décision de conservation écrite : suppression, vivier de deux ans au plus ou archive probatoire.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Données d'infractionLes données d'infraction sont les données personnelles relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes. Leur traitement n'est possible que sous le contrôle de l'autorité publique ou si le droit l'autorise expressément.
- Décision automatiséeUne décision automatisée est une décision prise uniquement par un traitement informatique, sans intervention humaine réelle, qui produit des effets juridiques sur une personne ou l'affecte de manière significative, comme un refus de crédit.
- IA ActL'IA Act est le règlement européen 2024/1689 sur l'intelligence artificielle. Il encadre la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union selon leur niveau de risque, de l'interdiction pure et simple à de simples obligations de transparence.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- Durée de conservationLa durée de conservation est la période pendant laquelle des données personnelles peuvent être gardées sous une forme identifiante. Elle doit être limitée à ce qui est nécessaire à la finalité, puis les données sont supprimées, archivées ou anonymisées.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
