Pourquoi la conservation des candidatures est encadrée
Un CV, une lettre de motivation, un numéro de téléphone ou les résultats d’un entretien sont des données personnelles. Leur collecte et leur conservation dans le cadre d’un recrutement doivent donc respecter le règlement général sur la protection des données (RGPD).
Le principe central est celui de la limitation de la conservation : une entreprise ne peut pas garder les informations d’un candidat indéfiniment. Les données doivent être conservées pendant une durée proportionnée à la finalité poursuivie, conformément à l’article 5 du RGPD.
Cette règle concerne aussi bien les candidatures reçues par e-mail que celles déposées sur un site d’emploi, un logiciel de recrutement ou une plateforme comme Jobtonic. L’objectif est de permettre la mise en relation entre candidats et recruteurs tout en assurant une gestion responsable des informations personnelles.
Quelle durée pour un CV ou une candidature non retenue ?
La CNIL indique qu’un recruteur peut, en principe, conserver les données d’un candidat non retenu dans une base dédiée à la gestion des candidatures pendant la durée nécessaire au recrutement concerné.
Lorsque l’employeur souhaite conserver le CV pour proposer ultérieurement d’autres postes, il doit informer le candidat et, selon les modalités prévues par l’information délivrée, lui permettre de s’y opposer. La CNIL considère généralement qu’une durée de deux ans à compter du dernier contact avec le candidat constitue une référence raisonnable pour un vivier de candidatures, sauf circonstances particulières justifiant une durée différente.
Le dernier contact peut correspondre, par exemple, à un échange relatif à la candidature ou à une réponse adressée au candidat. Une simple conservation automatique dans un logiciel ne suffit pas à justifier une durée illimitée.
- Pendant le recrutement : les données sont conservées le temps d’étudier la candidature et de prendre une décision.
- Pour de futures opportunités : elles peuvent être conservées dans un vivier pendant une durée définie et portée à la connaissance du candidat.
- Après expiration : les données doivent être supprimées, anonymisées ou archivées uniquement lorsqu’une obligation légale le justifie.
Les règles diffèrent-elles pour les candidats recrutés ?
Oui. Lorsqu’un candidat est embauché, les informations nécessaires à la gestion de la relation de travail peuvent être transférées dans son dossier salarié. Elles ne sont alors plus conservées uniquement pour la finalité de recrutement, mais pour répondre aux obligations liées à l’emploi, à la paie, à la protection sociale ou à la gestion administrative.
Il n’existe pas une durée unique applicable à toutes les données du personnel. La période dépend du document concerné et de la base juridique utilisée. Certaines pièces peuvent être conservées pendant la relation de travail, tandis que d’autres doivent être gardées plus longtemps pour respecter une obligation légale ou permettre à l’employeur de défendre ses droits.
Le recruteur doit donc établir une politique de conservation par catégorie de données, plutôt que d’appliquer une durée identique à tous les CV, formulaires et documents transmis.
Les obligations essentielles du recruteur
Le responsable du traitement doit pouvoir démontrer qu’il respecte les principes du RGPD. Dans la pratique, une procédure de recrutement conforme doit notamment prévoir les mesures suivantes :
- Informer les candidats : identité du responsable du traitement, finalités, base légale, destinataires, durée de conservation et modalités d’exercice des droits.
- Définir une base légale : la gestion d’une candidature peut notamment reposer sur des mesures précontractuelles, l’intérêt légitime ou une obligation légale selon le traitement réalisé.
- Limiter les données collectées : seules les informations pertinentes au regard du poste doivent être demandées.
- Sécuriser les accès : les CV et comptes candidats doivent être accessibles uniquement aux personnes habilitées, avec des mesures adaptées comme la gestion des droits, l’authentification et la sauvegarde.
- Respecter les droits : les candidats peuvent demander l’accès, la rectification ou l’effacement de leurs données, et s’opposer à certains traitements.
- Organiser la suppression : une purge périodique doit empêcher la conservation indéfinie des candidatures.
Les informations concernant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l’appartenance syndicale, la santé ou la biométrie relèvent de catégories particulières de données. Leur traitement est en principe interdit, sauf exception prévue par l’article 9 du RGPD. Elles ne doivent donc pas être collectées dans un processus de recrutement sans justification juridique précise.
Candidats et plateformes d’emploi : quels réflexes adopter ?
Pour un candidat, la présence d’un CV dans une base de recrutement ne signifie pas qu’il sera conservé sans limite. Il peut consulter la politique de confidentialité de la plateforme et vérifier :
- la finalité de la collecte et l’identité des destinataires ;
- la durée annoncée pour la conservation du profil et des candidatures ;
- la possibilité de modifier ou de supprimer son compte ;
- les modalités pour demander l’accès, la rectification ou l’effacement de ses données.
Une demande d’exercice des droits doit être adressée au responsable indiqué dans l’information RGPD. En l’absence de réponse satisfaisante, le candidat peut saisir la CNIL. Les plateformes et recruteurs doivent, en principe, répondre dans un délai d’un mois, avec une prolongation possible de deux mois en cas de demande complexe, sous réserve d’en informer la personne.
Pour les employeurs, la traçabilité est essentielle : registre des traitements, procédure de purge, gestion des habilitations et information homogène dans les annonces et les formulaires de candidature permettent de réduire le risque de conservation excessive.
FAQ sur les données personnelles des candidats
Un recruteur peut-il garder mon CV sans me prévenir ?
Il doit informer le candidat de la collecte, de la finalité du traitement, de la durée ou des critères de conservation et de ses droits. La conservation dans un vivier pour de futurs postes ne doit pas être dissimulée.
Puis-je demander la suppression de ma candidature ?
Oui, sauf si une obligation légale ou un motif légitime impérieux justifie la conservation de certaines données. Le recruteur doit examiner la demande et expliquer sa décision lorsqu’il ne peut pas y donner totalement suite.
Deux ans est-il toujours le délai obligatoire ?
Non. Deux ans constitue une référence couramment retenue par la CNIL pour un vivier de candidats à compter du dernier contact, mais la durée doit rester proportionnée à la finalité et au contexte. Certaines données peuvent nécessiter une durée différente.
Un CV peut-il être conservé après un recrutement ?
Oui, si sa conservation répond à une finalité identifiée : gestion de la relation de travail, respect d’une obligation légale ou défense des droits. Les données devenues inutiles doivent toutefois être supprimées ou anonymisées conformément à la politique de conservation de l’entreprise.
