RGPD et recrutement : ce que vous avez le droit de collecter (ou pas)

Recruter, c'est par nature collecter des données personnelles : CV, coordonnées, parcours, parfois bien plus. Mais tout n'est pas permis. Entre le RGPD et le Code du travail, le cadre est précis — et le méconnaître expose à des sanctions et à des plaintes. Voici, concrètement, ce que vous pouvez demander, ce qui est interdit, et combien de temps vous pouvez conserver les données.

Le principe de base : la pertinence avant tout

La règle d'or tient en un mot : pertinence. Le RGPD impose la minimisation des données (article 5) — vous ne collectez que ce qui est strictement nécessaire à la finalité. Et le Code du travail va dans le même sens : selon l'article L.1221-6, les informations demandées à un candidat « ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles » et doivent présenter un lien direct et nécessaire avec l'emploi.

Autrement dit : avant de demander une information, posez-vous une seule question — « est-ce vraiment nécessaire pour évaluer la capacité à faire ce travail ? » Si la réponse est non, vous n'avez pas le droit de la collecter.

Ce que vous POUVEZ collecter

Tout ce qui sert directement à évaluer l'adéquation au poste :

• Identité et coordonnées (nom, email, téléphone) ;
• Parcours professionnel, expériences, missions réalisées ;
• Diplômes, formations, certifications ;
• Compétences, langues, permis si le poste l'exige ;
• Prétentions salariales, disponibilité, mobilité géographique si pertinentes.

Ce que vous NE devez PAS demander

L'article 9 du RGPD interdit, sauf exceptions très encadrées, la collecte de données dites « sensibles » :

• Origine raciale ou ethnique ;
• Opinions politiques, convictions religieuses ou philosophiques ;
• Appartenance syndicale ;
• Données de santé, vie ou orientation sexuelle ;
• Données génétiques ou biométriques.

S'y ajoutent les informations sans lien avec l'emploi, sources classiques de discrimination : situation familiale, grossesse ou projet d'enfant, âge hors cadre légal, état de santé. Une photo, la nationalité ou la date de naissance ne devraient pas conditionner une candidature.

Vos obligations envers le candidat

Dès que vous collectez des données, le candidat a des droits, et vous avez des devoirs :

1. L'information

Le candidat doit savoir qui collecte ses données, pourquoi (la finalité), sur quelle base légale, combien de temps elles seront conservées, et quels sont ses droits. C'est typiquement le rôle d'une mention d'information sur votre formulaire de candidature.

2. Les droits d'accès, de rectification et d'effacement

Le candidat peut demander à consulter ses données, les corriger, ou en demander la suppression. Vous devez pouvoir répondre à ces demandes.

3. Le registre des traitements

La fonction RH traite des données personnelles à grande échelle : un registre des traitements documentant vos activités de recrutement est attendu.

Combien de temps conserver un CV ?

Pour un candidat non retenu, la CNIL recommande une conservation maximale de 2 ans après le dernier contact. Au-delà, les données doivent être supprimées ou anonymisées.

Le cas du vivier : le consentement change tout

Vous souhaitez garder un profil intéressant pour de futures opportunités ? C'est possible, à condition de recueillir le consentement explicite du candidat pour intégrer son profil à votre vivier. Ce consentement doit être libre, clair, et le candidat doit pouvoir le retirer à tout moment.

Fixez alors une durée raisonnable — souvent 2 ans également, renouvelable avec son accord — et informez-le. Sans ce consentement, conserver un CV « pour plus tard » n'est pas conforme.

Et si le candidat est recruté ?

Tout change : le CV et les éléments de recrutement basculent dans le dossier du salarié. Ils suivent alors les durées propres à la relation de travail — gestion du personnel, obligations sociales — généralement plus longues. La règle des 2 ans « candidat » ne s'applique plus.

Les autres documents du recrutement

La logique des 2 ans s'étend à tout ce qui a été produit pendant le processus pour un candidat non retenu : comptes rendus et grilles d'entretien, résultats de tests ou d'évaluations, échanges liés à la candidature. Ce sont des données personnelles rattachées à la même finalité, et elles suivent le même sort.

Comment purger proprement

• Datez le dernier contact de chaque candidature, pour pouvoir déclencher la purge au bon moment.
• Automatisez la suppression ou l'anonymisation au-delà de 2 ans, plutôt que de compter sur un tri manuel.
• Anonymisez plutôt que supprimer quand c'est possible : on retire les données identifiantes et on garde des statistiques agrégées.
• Documentez ces durées dans votre registre des traitements.
• Informez le candidat de la durée dès la collecte.

Le cas des outils digitaux et de l'IA

Tri automatique de CV, matching, entretien mené par IA : ces outils traitent des données personnelles, parfois de façon automatisée. Trois points de vigilance :

• Pas de décision 100 % automatisée produisant des effets significatifs sans intervention humaine (article 22 du RGPD) : un humain doit garder la main.
• Transparence renforcée : le candidat doit être informé qu'un traitement automatisé intervient.
• Anti-discrimination : l'outil ne doit pas reproduire de biais. C'est aussi ce qu'impose désormais l'EU AI Act, qui classe le recrutement en « haut risque ».

La checklist RGPD du recruteur

• ☐ Je ne collecte que des données utiles à évaluer le poste.
• ☐ Je ne demande jamais de données sensibles (art. 9).
• ☐ Mon formulaire affiche une mention d'information claire.
• ☐ Je sais répondre aux demandes d'accès / suppression.
• ☐ Je supprime les candidatures non retenues après 2 ans (sauf consentement vivier).
• ☐ Mes outils IA gardent une supervision humaine et sont documentés.

Combien de temps conserver quoi

Questions fréquentes

Combien de temps peut-on conserver le CV d'un candidat non retenu ?

Deux ans à compter du dernier contact, selon la recommandation de la CNIL. Passé ce délai, le dossier doit être supprimé ou anonymisé — sauf si le candidat a consenti explicitement à rester dans votre vivier.

Peut-on demander la date de naissance d'un candidat ?

Pas pendant la sélection. L'âge ne dit rien d'une compétence et figure parmi les critères de discrimination prohibés. La date de naissance se demande à l'embauche, pour les formalités administratives.

Une photo peut-elle être exigée sur un CV ?

Non. Elle ne peut pas être rendue obligatoire, et elle ouvre la porte aux biais d'apparence. Un candidat reste libre d'en joindre une, mais son absence ne peut jamais motiver un rejet.

Le candidat peut-il demander à voir son dossier de candidature ?

Oui. L'article 15 du RGPD lui ouvre un droit d'accès qui couvre les notes d'entretien, les évaluations et les commentaires le concernant, et vous avez un mois pour répondre. C'est la meilleure raison de ne consigner que des éléments factuels et liés au poste.

Faut-il inscrire le recrutement au registre des traitements ?

Oui. C'est un traitement de données personnelles à part entière : il figure au registre prévu par l'article 30 du RGPD, avec sa finalité, ses catégories de données, ses destinataires et sa durée de conservation.

Un cabinet de recrutement est-il responsable de traitement ou sous-traitant ?

Responsable de traitement, dans la très grande majorité des cas : il détermine lui-même les moyens et les finalités de sa collecte. Il ne devient sous-traitant que s'il agit strictement sur instruction d'un client, ce qui est rare en pratique.

Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Pour évaluer votre situation, rapprochez-vous d'un conseil spécialisé (avocat, DPO). Dernière vérification des sources : 15 juin 2026.