L’existence de la base de données doit être déclarée à la CNIL

L’organisme doit documenter la conformité de ses traitements

Les traitements de données personnelles mis en œuvre dans le cadre du recrutement n’ont plus à faire l’objet d’une déclaration préalable à la CNIL. Le responsable du traitement doit en revanche respecter et être en mesure de démontrer sa conformité au RGPD, notamment en déterminant la finalité et la base légale du traitement, en informant les candidats, en définissant une durée de conservation, en assurant la sécurité des données et en inscrivant, lorsque cela est requis, le traitement dans son registre des activités de traitement.

Les informations collectées dans la base de données doivent être utilisées en cohérence avec la finalité pour laquelle elles ont été recueillies

Les informations collectées par les recruteurs doivent être exclusivement utilisées dans le cadre de la recherche d’un emploi.

Le fait d’utiliser ces données dans un autre objectif, pour une autre finalité, peut être passible de 5 ans d’emprisonnement et 300 000 d’amende (article 226-21 du Code pénal).

Le candidat à l’emploi doit être clairement informé de l’existence d’une base de données informatique

Le principe de transparence s’impose : les articles L. 1221-8 et L. 1221-9 du Code du travail, ainsi que les articles 13 et 14 du RGPD, imposent une information des candidats sur les traitements de leurs données, en prévoyant qu’aucune donnée les concernant ne puisse être collectée par un dispositif qui n’aurait pas été porté préalablement à leur connaissance.

Les candidats dont les données personnelles sont traitées dans le cadre d’un recrutement doivent être clairement informés, notamment, de l’identité du responsable du traitement, du caractère facultatif ou obligatoire de leur réponse, des finalités poursuivies, de la base légale du traitement, des destinataires ou catégories de destinataires des données, de leur durée de conservation ou des critères permettant de la déterminer, ainsi que des droits dont ils disposent et des modalités permettant de les exercer.

Ils doivent également être informés de l’ensemble de leurs droits (accès, rectification et destruction des données les concernant) et de l’identité des interlocuteurs chez l’intermédiaire de l’emploi ou dans l’entreprise leur permettant de les exercer.

De même, le candidat doit être informé des suites données à sa candidature dans un délai raisonnable, de la durée de conservation des données le concernant et des modalités d’exercice de ses droits d’accès, de rectification et de destruction sur ces données. Il est recommandé de rappeler l’existence d’une base de données et les droits s’y rattachant sur l’ensemble des correspondances (mail, courrier) adressées au candidat au moment de sa candidature, et jusqu’à la destruction totale de son dossier.

S’agissant des réseaux sociaux, il serait déloyal de collecter des données, même publiques, sur des candidats, qu’ils aient accepté ou non une mise en relation avec le recruteur, afin de les enregistrer sur une base de données sans que le candidat en ait été informé et ait été en mesure de s’y opposer.

Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de 5 ans d’emprisonnement et de 300 000 euros d’amende (article 226-18 du Code pénal).

Le candidat à un emploi peut s’opposer à ce que des données informatiques le concernant soient enregistrées dans un fichier

En revanche, rien n’oblige un recruteur à intégrer un dossier de candidature dans sa base de données ni à le conserver dans cette base à partir du moment où le rejet de la candidature ne se fait pas sur des motifs prohibés (âge, lieu de résidence, genre…).

Le candidat à un emploi doit pouvoir exercer un droit d’accès et de portabilité, de rectification ainsi que de destruction sur ses données personnelles

Tout candidat peut demander au détenteur d’une base de données de lui communiquer l’intégralité des informations le concernant contenues dans ce fichier, y compris les résultats des tests, des évaluations professionnelles pratiquées et des prises de références.

Il a également le droit de faire supprimer l’ensemble de ces informations ou de rectifier les informations erronées.

Le refus ou l’entrave au bon exercice des droits des personnes est puni de 1 500 euros par infraction constatée, et 3 000 euros en cas de récidive (article 131-13 du Code pénal et décret 81-1142).

Comment s’exerce le droit d’accès ?

Le droit d’accès s’applique aux informations collectées directement auprès du candidat, aux informations éventuellement collectées auprès de tiers, ainsi qu’aux informations issues des méthodes et techniques d’aide au recrutement.

Par conséquent, le candidat peut demander, dans un délai raisonnable, toutes les informations le concernant, y compris les résultats des analyses et des tests ou évaluations professionnelles éventuellement pratiqués. La CNIL recommande que la communication des informations contenues dans la fiche du candidat soit effectuée par écrit. En revanche, la communication des résultats des tests ou des évaluations peut être faite par tout moyen approprié au regard de la nature de l’outil utilisé.

En cas de contestation portant sur l’exactitude des informations, la charge de la preuve incombe au service auprès duquel est exercé le droit d’accès, sauf lorsqu’il est établi que les informations contestées ont été communiquées par la personne concernée ou avec son accord.

La durée de conservation des candidatures

La durée de conservation en base active

Une durée de conservation doit être établie en fonction de la finalité de chaque base de données.

En matière d’emploi, il est recommandé de ne pas conserver, plus de deux ans après le dernier contact avec un candidat, un dossier de candidature, quel que soit le mode de conservation (traitement automatisé de la candidature ou fichier manuel). De même, lorsqu’un recruteur souhaite conserver une candidature afin de constituer un vivier pour de futures opportunités, la CNIL recommande en principe de ne pas dépasser deux ans à compter du dernier contact avec le candidat.

La CNIL ne s’est pas prononcée précisément sur la notion de « dernier contact », mais il apparaît que le contact peut avoir lieu par tout moyen : courrier électronique, appel téléphonique, rendez-vous…

Le Code pénal sanctionne la conservation des données pour une durée supérieure à celle qui a été déclarée de 5 ans d’emprisonnement et 300 000 euros d’amende (article 226-20 du Code pénal).

La durée de conservation dans des archives intermédiaires

Le recruteur, qu’il soit directement l’employeur ou l’intermédiaire du recrutement, est susceptible de devoir se justifier pendant une durée de cinq ans à l’issue de la procédure de recrutement sur les motifs pour lesquels il a retenu ou rejeté une candidature.

Dans ce cas, dans la mesure où les données concernant les clients et les candidats présentent un intérêt puisqu’elles peuvent faire l’objet d’un contentieux, la CNIL admet qu’elles puissent être archivées sur un support informatique distinct et à accès très limité, conformément aux règles applicables en matière d’archives publiques et d’archives privées.

Il s’agit d’archives dites « intermédiaires » dont les durées de conservation sont fixées par les règles de prescription applicables, en l’espèce cinq ans.

Délibération n° 2005-213 du 11 octobre 2005 portant adoption d’une recommandation concernant les modalités d’archivage électronique, dans le secteur privé, de données à caractère personnel.

La sécurité des données doit être assurée

L’employeur ou l’intermédiaire de l’emploi, en tant que responsable des traitements informatiques, est astreint à une obligation de sécurité sur l’accès à la base de données (mots de passe, habilitations, sécurité des matériels …).

Le responsable du traitement doit mettre en œuvre des mesures de sécurité adaptées aux risques présentés par le traitement, tant sur le plan physique que logique : sécurisation des locaux et des matériels, gestion des habilitations, authentification des utilisateurs, limitation des accès et traçabilité lorsque celle-ci est nécessaire. Seules les personnes habilitées doivent pouvoir accéder aux données des candidats.

Le non-respect de l’obligation de sécurité est sanctionné de 5 ans d’emprisonnement et 300 000 euros d’amende (article 226-17 du Code pénal).

Confidentialité des données et recueil de l’accord du candidat lors de la transmission des données

Les informations communiquées par un candidat ou un client à un recruteur ont un caractère confidentiel que ce dernier est tenu de protéger.

Par conséquent, seules les personnes habilitées et explicitement désignées doivent pouvoir en prendre connaissance et en obtenir communication.

Constituerait ainsi une manœuvre déloyale le fait, par une personne chargée du recrutement, de porter à la connaissance d’un employeur la candidature de l’un de ses salariés sans l’accord exprès de celui-ci.

De la même façon, lorsque l’identité de l’employeur n’a pas été précisée lors de l’offre de poste, il est recommandé que l’accord du candidat soit recueilli préalablement à la transmission de son CV à cet employeur.

Dans le cas de sites de recrutements en ligne, la CNIL recommande que le candidat à l’emploi soit informé de la forme, nominative ou non, sous laquelle les informations le concernant seront éventuellement diffusées en ligne ou transmises aux employeurs.

La communication d’informations à des personnes non autorisées est punie de 5 ans d’emprisonnement et 300 000 euros d’amende. La divulgation d’informations commise par imprudence ou négligence est punie de 3 ans d’emprisonnement et de 100 000 euros d’amende (article 226-22 du Code pénal).

Recrutement et RGPD

Le candidat doit également être informé des modalités concrètes lui permettant d’exercer ses droits, de la possibilité d’introduire une réclamation auprès de la CNIL et, lorsqu’il y a lieu, de l’existence d’une prise de décision automatisée ainsi que des informations requises par le RGPD à ce titre.

Pour accompagner les entreprises, la CNIL a publié en janvier 2023 un guide dédié au recrutement et a également publié le règlement général sur la protection des données – RGPD. Ce règlement contient notamment les points suivants : 

L’analyse d’impact sur la protection des données à caractère personnel (AIPD)

L’article 35 du RGPD signale qu’une AIPD doit être réalisée lorsque les données des candidats sont traitées par le biais de nouvelles technologies en raison du risque élevé pour les droits et les données des candidats. L’AIPD est donc obligatoire lorsque l’entreprise a recours à un algorithme ou tout autre logiciel de sélection automatique. Veuillez consulter le site de la CNIL pour tout renseignement à ce sujet.

La prise de décision automatisée

L’article 22 du RGPD interdit que la décision de recruter un candidat soit prise de manière entièrement automatisée (intelligence artificielle, test de personnalité). Il est possible que cela soit strictement nécessaire à l’exécution d’un contrat ou que le candidat ait donné son consentement, cependant même dans ce cas, il existe plusieurs obligations : les candidats doivent être informés de l’existence d’une décision automatisée lors de la collecte de leurs données. De plus, suite à la décision prise, le candidat peut demander à ce qu’elle soit réexaminée par un tiers ou de la contester.

La tenue d’un registre de traitement des données

Le RGPD impose la tenue d’un registre des activités de traitement. Les organismes employant moins de 250 personnes bénéficient d’une dérogation limitée, qui ne s’applique notamment pas aux traitements non occasionnels, susceptibles de présenter un risque pour les droits et libertés ou portant sur certaines catégories particulières de données. Vous pouvez consulter le contenu de l’article 30 du RGPD afin de savoir ce que doit contenir ce registre. La CNIL peut demander à consulter ce registre à tout moment.

La mise en place d’un questionnaire d’auto-évaluation proposé par la CNIL

Depuis 2023, la CNIL propose un questionnaire d’auto-évaluation aux recruteurs, accessible sur son site internet qui permet à chaque recruteur d’évaluer sa méthode concernant la collecte, le partage, la réutilisation et la conservation des données personnelles des candidats.

L’utilisation de la vidéo dans le cadre d’un recrutement

La CNIL alerte sur les bonnes pratiques de l’usage de la vidéo dans le cadre d’un recrutement, que ce soit pour un entretien en visio-conférence, un CV vidéo ou pour le fait de demander au candidat de filmer son visage afin de donner ses réponses pour un questionnaire mesurant par exemple les soft skills. Les outils de visioconférence ont un impact conséquent sur le traitement des données des candidats et il faut s’assurer que les applications en visioconférence ne collectent pas des informations sur les carnets d’adresses présents dans le téléphone du candidat, sur le fait de géolocaliser les candidats ou encore de vendre les données des candidats à des tiers. La CNIL recommande donc de privilégier les solutions qui collectent le moins de données et qui font preuve de transparence à l’égard des personnes qui utilisent le logiciel de visioconférence. Par ailleurs, la CNIL alerte sur les algorithmes de traitement d’images vidéo qui analysent ensuite les micro-expressions des candidats afin par exemple de les comparer à une liste de qualités déterminées par le recruteur (rigueur, agréabilité…). Aucune étude scientifique n’a pour l’instant assuré la fiabilité de ce type de résultats basées sur les micro-expressions. Dans le cadre d’un recrutement, la CNIL recommande d’écarter ce type d’analyse des micro-expressions par le biais d’une vidéo. 

Collecte de données sensibles

La CNIL rappelle que “La notion de donnée sensible est définie par l’article 9 du RGPD qui dresse une liste limitative des données sensibles. Ainsi, sont des données sensibles celles qui révèlent ou sont relatives à : la prétendue origine raciale ou l’origine ethnique ; les opinions politiques ; les convictions religieuses ou philosophiques ; l’appartenance syndicale ; la santé ; la vie sexuelle ou l’orientation sexuelle. Les données génétiques ou biométriques traitées aux fins d’identifier une personne physique de manière unique sont également des données sensibles.” Le traitement de ces données est en principe interdit. Il ne peut être mis en œuvre que si l’une des exceptions prévues à l’article 9 §2 du RGPD est applicable, si le traitement repose également sur une base légale au titre de l’article 6 du RGPD et si les données collectées sont strictement nécessaires au regard de la finalité poursuivie. En recrutement, la CNIL indique que les cas admissibles sont rares et qu’il faut cumuler une exception de l’article 9 §2, une base légale de l’article 6 et le respect strict de la minimisation.

Justificatifs demandés au candidat

La CNIL signale qu’un certificat de travail délivré par un ancien employeur est un document suffisant pour attester de l’expérience professionnelle du candidat et le recruteur peut donc demander au candidat de lui fournir. Cependant, la CNIL souligne qu’il n’est pas nécessaire de demander au candidat de fournir un ancien bulletin de salaire qui contient de nombreuses informations non pertinentes pour attester des compétences d’un candidat. Le fait qu’un recruteur demande à un candidat de fournir un bulletin de paie est donc pour la CNIL disproportionné et incompatible avec les exigences légales, et la recommandation est donc de ne pas demander de bulletins de paie. Le candidat peut toutefois transmettre un bulletin de paie au recruteur, de sa propre initiative, afin d’attester de son niveau de rémunération, mais il est recommandé de lui demander de masquer les informations non pertinentes. Par ailleurs , les entreprises ne peuvent pas, exiger des agences d’intérim la communication de certaines données ou documents : origines des salariés intérimaires, lieu de naissance, livret de famille, adresse du domicile, données de contact (téléphone, mail), NIR, carte Vitale et attestation de sécurité sociale, relevé d’identité bancaire, bulletins de salaire. Tout ce qui n’est pas nécessaire à l’organisation de la mise à disposition (formalisée par le contrat de mise à disposition ou à l’inscription de la personne sur le registre unique du personnel) n’a pas à être collecté par l’entreprise.
En 2024, la CNIL a mis en demeure une entreprise qui exigeait “de fournir obligatoirement leur lieu de naissance, leur nationalité, leur situation de famille (s’ils étaient en couple, les nom et prénom de leur conjoint, leur date et lieu de naissance, leur profession, le nombre d’enfants et leur âge) ainsi que l’ensemble des salaires perçus dans les entreprises précédentes (salaire brut annuel global dont variable).” La CNIL a estimé que  “dans le cadre d’un recrutement, n’est pas justifiée la collecte auprès d’un candidat à un emploi : des informations relatives aux membres de sa famille ; du lieu de naissance du candidat ; d’informations relatives à la nationalité d’un candidat ; du montant des salaires perçus par le passé d’un candidat, à l’initiative d’un recruteur. Cette information ne présente pas d’utilité pour apprécier la capacité à occuper l’emploi proposé ou les aptitudes du candidat, et ne sont de ce fait pas compatibles avec les dispositions du code du travail. Le candidat peut cependant, de sa propre initiative, fournir tout élément utile à la justification de ses prétentions salariales.”

• Directive européenne sur les salaires
  Le Conseil de l’UE a adopté de nouvelles règles sur la transparence des rémunérations le 24 avril 2023 : “les nouvelles règles obligeront les employeurs à informer les demandeurs d’emploi du salaire de départ ou de la fourchette de rémunération initiale des postes publiés, que ce soit dans l’avis de vacance ou avant l’entretien. Les employeurs ne pourront pas non plus interroger les candidats sur l’historique de leurs rémunérations. Une fois en fonction, les travailleurs auront le droit de demander à leur employeur: des informations sur les niveaux moyens de rémunération, ventilées par sexe, pour les catégories de travailleurs accomplissant le même travail ou un travail de même valeur des informations sur les critères utilisés pour déterminer la progression de la rémunération et de la carrière, qui doivent être objectifs et non sexistes”. Pour en savoir plus : https://www.consilium.europa.eu/fr/policies/pay-transparency/
  La France n’a pas encore achevé la transposition de cette directive : un projet de loi a été présenté en Conseil des ministres le 10 septembre 2026 et est actuellement en cours d’examen parlementaire.

Les règles relatives à la protection des données personnelles ne concernent pas uniquement les bases informatiques : elles peuvent également s’appliquer aux dossiers et fichiers papier lorsqu’ils sont structurés de manière à permettre l’accès aux données selon des critères déterminés.

Les flux transfrontaliers de données

Il y a notamment transfert de données personnelles au sens du RGPD lorsqu’un responsable du traitement ou un sous-traitant situé dans l’Espace économique européen communique ou met des données personnelles à la disposition d’une autre entité située dans un pays tiers, hors de l’Espace économique européen, ou d’une organisation internationale. L’accès à distance depuis un pays tiers à des données stockées dans l’Espace économique européen peut également constituer un transfert lorsqu’il est effectué par une entité juridiquement distincte. En revanche, le simple accès à distance par un salarié de la même entité ne constitue pas, à lui seul, un transfert au sens du chapitre V du RGPD.

Ainsi, en matière de recrutement, un transfert peut notamment être constitué dès lors que :

• la base de données de recrutement est hébergée hors de l’Espace économique européen par un prestataire ou une autre entité ;
• une entité située hors de l’Espace économique européen accède à une base de données de recrutement hébergée dans l’Espace économique européen ;
• la procédure de recrutement implique la transmission ou la mise à disposition de données personnelles auprès d’un prestataire ou d’une autre entité située hors de l’Espace économique européen ;
• le recruteur transmet des données personnelles concernant des candidats à une autre entité située hors de l’Espace économique européen.

Le but est de garantir que les données transférées continuent de bénéficier d’un niveau de protection substantiellement équivalent à celui garanti au sein de l’Union européenne par le RGPD.

Les transferts de données personnelles vers un pays situé en dehors de l’Union européenne et de l’Espace économique européen doivent respecter les conditions prévues par les articles 44 à 49 du RGPD. Ils peuvent notamment reposer sur une décision d’adéquation de la Commission européenne, sur des garanties appropriées telles que les clauses contractuelles types ou les règles d’entreprise contraignantes (BCR), ou, dans certaines situations particulières, sur l’une des dérogations prévues par le RGPD.

Le fait de procéder à un transfert de données personnelles vers un pays tiers ou une organisation internationale en violation des règles du chapitre V du RGPD est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-22-1 du Code pénal).