Le 3 avril 2026, la CNIL a publié la liste de ses contrôles prioritaires pour 2026, et le recrutement y figure. L’autorité annonce vérifier trois points : les systèmes de prise de décision automatisée, l’information des candidat·e·s et les durées de conservation, en ciblant d’abord les grandes entreprises et les cabinets de recrutement, vu le volume de candidatures qu’ils brassent. Il serait confortable d’en conclure qu’une PME peut ranger le dossier. Les obligations sont pourtant identiques à 15 salariés et à 15 000 ; seule la probabilité de recevoir la visite change. Et la doctrine n’a rien de neuf — la CNIL a publié son guide du recrutement le 30 janvier 2023, dix-neuf fiches qui couvrent tout le parcours de recrutement.
Deux précisions avant le détail. Join édite un logiciel de suivi des candidatures (ATS), soit exactement la catégorie d’outil qu’un article sur ce sujet finit par mentionner : lisez la suite avec cette réserve en tête. Et rien ici ne remplace votre conseil juridique ; prenez ce qui suit comme une feuille de route à faire valider.
Des données qui s’accumulent sans qu’on l’ait décidé
Dans la plupart des PME, le point de départ n’est pas la mauvaise volonté : c’est l’absence de décision. Les CV arrivent par le formulaire de candidature, par e-mail transféré, par la recommandation d’un collègue. Ils atterrissent dans une boîte de réception, un dossier partagé, parfois un tableur. Personne n’a choisi de les garder ; personne n’a choisi de les supprimer non plus. Trois ans plus tard, l’entreprise détient des centaines de dossiers de candidature sans savoir ni pourquoi elle les a, ni jusqu’à quand.
Or le RGPD appliqué au recrutement exige peu de choses, mais il exige qu’elles soient décidées : une base légale pour chaque traitement, une durée de conservation fixée à l’avance, une information claire des personnes concernées. Ce sont, mot pour mot, les trois axes que la CNIL annonce contrôler. La méthode ci-dessous les prend dans l’ordre où les questions se posent réellement.
La méthode, étape par étape
La base légale : deux finalités, deux réponses
Une idée reçue tenace veut que tout traitement de données personnelles exige un consentement. Pour une candidature à un poste précis, c’est faux : le traitement est nécessaire à l’exécution de mesures précontractuelles prises à la demande de la personne, la base prévue à l’article 6, paragraphe 1, point b) du RGPD. Quelqu’un a postulé ; examiner sa candidature ne demande aucune case à cocher. Réclamer un consentement quand même crée d’ailleurs plus de problèmes que ça n’en résout, puisqu’un consentement se retire à tout moment, y compris au milieu du processus.
Le vivier de talents est le cas inverse. Conserver un dossier après un refus pour recontacter la personne sur un futur poste relève d’une autre finalité. La CNIL l’admet pendant deux ans au plus, à condition d’en informer la personne, qui peut s’y opposer. Nous conseillons d’aller un cran plus loin et de demander un accord explicite au moment du refus : un vivier fait de gens qui ont dit oui se travaille ; deux ans de silence ne se travaillent pas.
Les durées : la CNIL a déjà donné le chiffre
Inutile d’inventer votre politique de conservation. Dans sa fiche destinée aux TPE et PME, la CNIL écrit que conserver le CV et la lettre de motivation d’une personne non retenue pour alimenter un vivier est possible « sous réserve que la durée de conservation n’excède en principe pas deux ans », décomptés « à compter du dernier contact », et que la personne en ait été informée (Recrutement et données personnelles dans les TPE/PME, CNIL, janvier 2023). Un vrai échange — un entretien pour un autre poste, une réponse à votre relance — fait repartir le décompte. Le travail restant tient en deux gestes : écrire cette durée dans votre mention d’information, puis la faire appliquer sans dépendre de la mémoire de qui que ce soit.
Les droits des candidat·e·s, et le délai qui court
Toute personne dont vous détenez les données peut en demander l’accès (article 15) ou l’effacement (article 17). Le délai de réponse est fixé par l’article 12, paragraphe 3 : un mois à compter de la réception de la demande, prolongeable de deux mois si la demande est complexe ou si les demandes sont nombreuses. Un mois passe vite quand les candidatures vivent dans quatre boîtes e-mail et un tableur.
C’est l’endroit précis où l’outillage compte. Dans Join, chaque profil affiche le statut de consentement en haut de page et regroupe les actions correspondantes au même endroit : export du dossier en un clic, en JSON et en PDF, pour répondre à une demande d’accès ; anonymisation qui retire les éléments identifiants mais garde l’historique du recrutement ; effacement complet, sauvegardes comprises, pour l’article 17. Soyons clairs sur la limite : aucun logiciel ne rend conforme. Choisir la base légale, fixer la durée, rédiger l’information : ces décisions restent les vôtres, et l’outil se charge de les faire tenir dans le temps.
Votre ATS est votre sous-traitant, et cela s’écrit
Dernier point de méthode, souvent découvert pendant un appel d’offres plutôt qu’avant : l’employeur qui recrute est responsable de traitement, même à douze salariés et sans délégué à la protection des données. L’éditeur d’ATS traite les données pour votre compte, ce qui en fait un sous-traitant au sens de l’article 28 du RGPD, et cet article impose un contrat écrit qui encadre le traitement : instructions documentées, garanties de sécurité, sort des données à la fin du contrat. Chez Join, ce contrat est l’accord de traitement des données. Si votre outil actuel ne vous en a jamais proposé un, c’est la première question à lui poser.
Ce que ça coûte, concrètement
La mise en ordre initiale tient dans une demi-journée pour une PME qui recrute quelques postes par an :
- inventorier les endroits où vivent des candidatures (boîtes e-mail, dossiers partagés, ATS, tableurs) ;
- fixer les durées de conservation et les écrire dans la mention d’information du formulaire de candidature ;
- reprendre le vivier existant : informer chaque personne de la durée retenue (ou lui demander un accord explicite), et supprimer les dossiers plus vieux que deux ans ;
- signer l’accord de sous-traitance avec votre éditeur, s’il ne l’a pas déjà fait signer.
Ensuite, le coût récurrent est proche de zéro si les règles sont portées par l’outil plutôt que par la mémoire : la durée décidée s’applique d’elle-même, le consentement du vivier se demande au moment du refus, et une demande d’accès se traite en minutes au lieu de déclencher une fouille d’archives.
Ce que cette demi-journée évite se lit dans le programme de la CNIL. Les trois axes de contrôle annoncés (décision automatisée, information des candidat·e·s, durées de conservation) correspondent un à un aux décisions décrites ci-dessus. Un contrôle annoncé trois ans après la publication du guide, c’est un examen dont le sujet est en ligne depuis janvier 2023. Le plus rentable est de faire la demi-journée avant d’y être invité.
