Le 3 avril 2026, la CNIL a inscrit le recrutement parmi ses trois thématiques prioritaires de contrôle pour l’année, aux côtés du répertoire électoral unique et des fédérations sportives. Trois axes sont annoncés noir sur blanc : les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation des données. Environ 20 % des contrôles annuels de l’autorité relèvent de ces thématiques prioritaires, et les grandes entreprises comme les cabinets de recrutement sont visés en premier. Quelques mois plus tard, le 24 août 2026, une amende de 824 990 000 euros était prononcée contre Uber pour des décisions individuelles entièrement automatisées, prises sans aucune intervention humaine. Le message est clair : le RGPD recrutement quitte le terrain de la pédagogie pour celui de la sanction. Voici ce que vos traitements de données candidats doivent pouvoir démontrer.

Pourquoi le RGPD en recrutement devient un sujet de contrôle en 2026

La CNIL avait publié en janvier 2023 un guide du recrutement en 19 fiches, conçu comme un outil d’accompagnement. Trois ans plus tard, elle passe à la vérification. L’autorité l’a formulé sans ambiguïté : cette thématique préfigure l’exercice de ses futures attributions en tant qu’autorité de surveillance de marché dans le champ « travail » au titre du règlement européen sur l’intelligence artificielle. La conformité RGPD recrutement sert donc de répétition générale avant les obligations liées aux systèmes d’IA à haut risque.

Chaque outil ajouté au parcours d’embauche, ATS, CVthèque, test en ligne, score de matching, chatbot de préqualification, constitue un traitement de données personnelles à part entière, qui doit figurer au registre des activités de traitement avec sa finalité, sa base légale et sa durée de conservation.

La sanction Uber illustre le point le plus sensible. L’autorité néerlandaise, en coopération avec la CNIL, a considéré que la désactivation automatique de comptes de chauffeurs constituait une décision individuelle automatisée précisément en raison de l’absence totale d’intervention humaine dans le processus. Transposez au recrutement : un algorithme qui écarte définitivement une candidature sans qu’aucun recruteur ne revoie le dossier relève de la même logique juridique.

Quelle base légale pour traiter les données d’un candidat ?

C’est la première question que pose un contrôle. Le RGPD impose de rattacher chaque finalité à une base légale identifiée et documentée dans le registre. En recrutement, quatre fondements coexistent et ne se valent pas.

L’intérêt légitime, socle du traitement de candidature

La gestion des candidatures repose en pratique sur l’intérêt légitime de l’employeur à pourvoir un poste et à évaluer les aptitudes professionnelles des candidats. Ce fondement est solide, mais il n’est pas inconditionnel : il suppose une mise en balance entre l’intérêt poursuivi et les droits des personnes, et il ouvre au candidat un droit d’opposition. Concrètement, il vous oblige à documenter pourquoi chaque donnée collectée est utile à l’évaluation du poste, et à retirer du processus tout ce qui ne l’est pas.

Les mesures précontractuelles et l’obligation légale

Certaines collectes relèvent des mesures précontractuelles prévues à l’article 6.1.b du RGPD, typiquement les données recueillies au moment de finaliser une embauche. D’autres découlent d’une obligation légale issue du code du travail ou du code de la sécurité sociale. Le numéro de sécurité sociale illustre parfaitement la frontière : sa collecte est interdite au stade de la revue de candidature ou de l’entretien, et devient possible, sous conditions, pour les besoins de la conclusion du contrat.

Le consentement, réservé à des usages précis

Le consentement n’est pas la base par défaut du recrutement, contrairement à une idée répandue. Il trouve sa place là où le traitement dépasse le besoin d’évaluer une candidature en cours : intégration à un vivier de candidats, conservation prolongée, recueil de références auprès d’anciens employeurs. Le référentiel CNIL réserve d’ailleurs la CVthèque aux candidats dont le profil intéresse l’employeur, sauf opposition de leur part ou pour ceux qui y ont consenti.

Les données sensibles restent hors du champ

Le traitement de données sensibles, santé, prétendue origine raciale ou ethnique, convictions religieuses, opinions politiques, orientation sexuelle, est interdit sauf exceptions expressément prévues par le RGPD. La CNIL rappelle également une liste de questions proscrites : numéro de sécurité sociale, coordonnées bancaires, informations sur la famille, projet d’enfant, mensurations en dehors de postes très particuliers. Un CV qui mentionne spontanément une information sensible ne vous autorise pas à l’exploiter comme critère de sélection.

Durées de conservation des données candidats : ce que dit le référentiel CNIL

Le 2 avril 2026, la CNIL a publié un référentiel des durées de conservation en gestion des ressources humaines, mis à jour le 20 mai. C’est le document de référence pour paramétrer vos purges. Il distingue deux régimes à ne jamais confondre : la base active, où les données restent accessibles aux équipes opérationnelles, et l’archivage intermédiaire, où elles ne sont plus exploitées mais conservées à des fins probatoires, avec séparation et habilitations restreintes.

Trois lectures erronées circulent, et elles coûtent cher en contrôle. La première consiste à appliquer deux ans à toutes les candidatures reçues : cette durée vise la CVthèque, donc une conservation choisie, limitée aux profils qui intéressent réellement l’employeur. La deuxième consiste à traiter les cinq ans probatoires comme une réserve de sourcing : ces données servent à se défendre en cas d’action en discrimination, pas à relancer des profils. La troisième consiste à conserver le dossier d’un candidat embauché sous le régime « recrutement » : dès la signature, ces données intègrent le dossier professionnel.

Un point mérite d’être souligné pour les DPO : une durée inscrite dans un registre mais jamais appliquée dans les outils ne vaut rien. La purge doit être paramétrée dans l’ATS et le SIRH, testée, et son exécution traçable. C’est exactement ce que vérifie un contrôle.

Informer le candidat : l’obligation la plus souvent négligée

L’information des personnes figure parmi les trois axes de contrôle annoncés, et c’est souvent le maillon faible. Le candidat doit connaître l’identité du responsable de traitement, les coordonnées du DPO le cas échéant, la finalité poursuivie, la base légale retenue, le caractère obligatoire ou facultatif des réponses, les destinataires, la durée de conservation, les modalités d’exercice de ses droits, la possibilité de saisir la CNIL, et, le cas échéant, l’existence d’une solution algorithmique de tri des candidatures.

Cette mention doit vivre là où le candidat la lit : offre d’emploi, formulaire de candidature, accusé de réception automatique. Une politique de confidentialité générique enfouie en pied de page ne remplit pas l’obligation. Rappelons aussi une exigence propre au droit du travail français : le comité social et économique doit être informé avant l’introduction ou la modification de méthodes ou techniques d’aide au recrutement.

Le sort des données issues du sourcing

C’est le sujet le plus mal maîtrisé, et l’un des plus exposés. Le recueil, par un recruteur, d’informations publiées par un candidat sur un réseau social ou sur Internet constitue un traitement de données personnelles. Deux nuances comptent. La première tient à la nature du réseau : consulter un profil professionnel public relève de l’évaluation des aptitudes professionnelles, alors qu’aller chercher des éléments sur un compte personnel constitue une atteinte disproportionnée à la vie privée. La seconde tient au geste : consulter un profil n’est pas l’importer. Dès lors que vous extrayez un profil vers votre ATS, vous réalisez une collecte indirecte au sens de l’article 14 du RGPD.

La conséquence est opérationnelle : le candidat sourcé doit être informé au plus tard dans le mois suivant la collecte, et de toute façon dès le premier contact. La parade la plus simple consiste à configurer l’outil pour qu’une notification d’information, mentionnant les droits et les durées de conservation, parte automatiquement à l’import du profil. Si votre stratégie repose sur l’approche de candidats passifs, comme nous le détaillons dans notre article sur comment trouver des candidats avant qu’ils postulent, ce réflexe doit être automatisé.

Les droits des candidats et comment y répondre

Un candidat peut obtenir copie des informations personnelles le concernant sur simple demande, sans avoir à la justifier. Cela inclut les notes d’entretien, les résultats de tests et les commentaires d’évaluation, dès lors qu’ils sont conservés. Un point que beaucoup d’équipes découvrent à la première demande, et qui devrait discipliner la rédaction des comptes rendus.

• Droit d’accès : obtenir une copie du dossier de candidature, réponse dans un délai d’un mois.
• Droit de rectification : corriger une donnée inexacte, par exemple une date d’expérience mal saisie par un outil d’analyse de CV.
• Droit à l’effacement : demander la suppression anticipée, sous réserve des conservations probatoires obligatoires.
• Droit d’opposition : refuser l’intégration au vivier, corollaire direct de la base « intérêt légitime ».
• Intervention humaine : au titre de l’article 22 du RGPD, ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets significatifs.

Tri algorithmique : le point de jonction entre RGPD et AI Act

Les deux textes se rejoignent ici et il vaut mieux les traiter ensemble. Le RGPD encadre la décision individuelle automatisée par son article 22 ; le règlement européen sur l’IA classe la sélection des candidats parmi les usages à haut risque. Le dénominateur commun est la supervision humaine effective : un score de matching qu’un recruteur exploite ensuite avec son propre jugement ne pose pas le même problème qu’un seuil de rejet automatique appliqué sans relecture.

Deux réflexes s’imposent. Réaliser une analyse d’impact relative à la protection des données lorsque le traitement présente un risque élevé, ce qui est fréquent en cas d’évaluation systématique et à grande échelle. Et exiger de vos fournisseurs la documentation qui vous permettra de répondre à un contrôle : logique du traitement, critères pris en compte, modalités de reprise humaine. Nous détaillons ce cadre dans notre guide complet sur le recrutement avec l’IA en conformité avec l’EU AI Act, et la gouvernance associée dans notre article sur l’éthique des technologies RH. Notre glossaire de l’IA en recrutement reprend par ailleurs les 45 termes utiles.

Notre approche chez CamSha

Nous concevons notre plateforme autour d’un principe simple : l’IA prépare la décision, elle ne la prend pas. Notre moteur de matching sémantique hiérarchise les profils et documente les critères retenus, notre avatar IA Mike mène les premiers entretiens de préqualification, mais la sélection finale reste entre les mains du recruteur. Ce modèle hybride n’est pas seulement un choix éthique : c’est aussi la configuration la plus simple à défendre devant un contrôle, parce qu’elle place une intervention humaine réelle là où la réglementation l’exige, comme nous l’expliquons dans notre article sur la sécurisation de l’IA dans les processus RH.

Questions fréquentes

Combien de temps peut-on conserver un CV ?

Le dossier d’un candidat non retenu se conserve en archivage intermédiaire pendant cinq ans à compter de la date à laquelle le poste a été pourvu, à des fins probatoires. Une conservation en base active pour alimenter un vivier est possible jusqu’à deux ans après le dernier contact, à condition que le candidat en ait été informé et ne s’y soit pas opposé.

Le consentement du candidat est-il obligatoire ?

Non. La gestion d’une candidature en cours repose sur l’intérêt légitime de l’employeur. Le consentement devient nécessaire pour les traitements qui dépassent ce cadre, comme l’intégration durable à une CVthèque ou le recueil de références auprès de tiers.

Peut-on utiliser un outil d’IA pour trier les candidatures ?

Oui, à condition d’informer les candidats de son existence, de conserver une supervision humaine effective sur les décisions et de documenter le traitement. Une décision de rejet prise sans aucune intervention humaine relève de l’article 22 du RGPD et expose l’organisation à un risque de sanction.

Quelles sont les sanctions encourues ?

Les manquements les plus graves au RGPD peuvent être sanctionnés jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Au-delà du montant, un contrôle mobilise les équipes RH et juridiques pendant plusieurs semaines et fragilise la marque employeur.

Conclusion : faire de la conformité un actif, pas une contrainte

Le message de la CNIL pour 2026 tient en trois points, et ce sont exactement les trois axes de ses contrôles. Vos durées de conservation doivent être documentées et surtout appliquées dans vos outils, avec la distinction claire entre base active et archivage intermédiaire. Votre information des candidats doit être présente là où ils la lisent, complète, et mentionner explicitement tout tri algorithmique. Vos décisions automatisées doivent conserver une intervention humaine réelle, pas une validation de façade.

La bonne nouvelle, c’est que la mise en conformité RGPD recrutement se règle surtout par du paramétrage et de la documentation, pas par un ralentissement des embauches. Une purge automatique bien configurée, une mention d’information intégrée au formulaire de candidature, une notification automatique à l’import d’un profil sourcé, un registre à jour : la plupart des organisations sont à quelques semaines de chantier d’un niveau défendable. Et le bénéfice dépasse la protection juridique, car un processus dont vous pouvez expliquer la logique à un candidat inspire davantage confiance, ce qui se traduit en taux de réponse et en acceptation d’offres.

La conformité n’est pas l’ennemie de l’efficacité du recrutement, elle en est de plus en plus la condition. Les organisations qui traitent les données candidats avec la même rigueur que leurs données clients seront celles qui pourront déployer l’IA en recrutement sans arrière-pensée, et le faire savoir.

Vous souhaitez recruter plus vite tout en gardant la maîtrise de vos données candidats et la supervision humaine sur vos décisions ? Découvrez comment notre plateforme articule matching sémantique, préqualification par IA et jugement du recruteur.

Tester CamSha gratuitement

Sources et références

• CNIL – Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives
• CNIL – Référentiel des durées de conservation des données à caractère personnel, gestion des ressources humaines
• CNIL – Le guide du recrutement en 19 fiches
• CNIL – Recrutement et données personnelles dans les TPE et PME : cinq questions incontournables
• CNIL – Décisions automatisées : sanction de près de 825 millions d’euros à l’encontre d’UBER
• CNIL – L’analyse d’impact relative à la protection des données (AIPD)