Le RGPD s'applique pleinement au recrutement depuis mai 2018. Pourtant, en 2026, de nombreuses entreprises continuent de recruter sans respecter les obligations légales en matière de protection des données personnelles des candidats. Les risques sont réels : amendes pouvant atteindre 4 % du chiffre d'affaires mondial, atteinte à la réputation, contentieux juridiques. Ce guide complet vous donne les clés pour recruter en conformité.
Qu'est-ce que le RGPD ? Rappel pour les Recruteurs
Les principes fondamentaux du RGPD
Le Règlement Général sur la Protection des Données (RGPD) repose sur 7 principes clés applicables au recrutement :
- Licéité, loyauté et transparence : les candidats doivent savoir que leurs données sont collectées et pourquoi
- Limitation des finalités : les données collectées pour le recrutement ne peuvent pas servir à autre chose sans consentement
- Minimisation des données : ne collecter que ce qui est strictement nécessaire au recrutement
- Exactitude : maintenir des données à jour, supprimer celles devenues inexactes
- Limitation de la conservation : ne pas garder les données plus longtemps que nécessaire (2 ans max pour candidats non retenus)
- Intégrité et confidentialité : protéger les données contre l'accès non autorisé
- Responsabilité (accountability) : documenter et prouver sa conformité
Le rôle de la CNIL
En France, la Commission Nationale de l'Informatique et des Libertés (CNIL) est l'autorité de contrôle du RGPD. Elle peut mener des audits, formuler des mises en demeure et prononcer des sanctions. En 2025-2026, les amendes liées au recrutement non-conforme se sont multipliées, touchant des entreprises de toutes tailles — y compris des PME.
Les sanctions encourues
Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel (le montant le plus élevé s'applique). Même pour une PME, une amende de 50 000 à 200 000 € reste possible pour des manquements graves. À cela s'ajoutent les dommages réputationnels et les recours civils des candidats lésés.
Les Données Personnelles en Recrutement
Quelles données sont concernées ?
En recrutement, vous collectez de nombreuses données personnelles : nom, prénom, adresse, email, téléphone, CV (expériences, formations), lettre de motivation, résultats de tests, notes d'entretien, prétentions salariales, disponibilité. Toutes ces données sont soumises au RGPD.
Les données sensibles strictement interdites
Le RGPD interdit en principe la collecte de certaines catégories de données sauf exception légale strictement encadrée :
- Origine ethnique ou raciale
- Opinions politiques, convictions religieuses ou philosophiques
- Données de santé, handicap (sauf obligation légale d'aménagement)
- Vie sexuelle ou orientation sexuelle
- Données génétiques ou biométriques
Ces informations ne doivent jamais figurer dans un formulaire de candidature. Si un candidat les mentionne spontanément dans son CV, vous n'avez pas à les traiter.
La durée légale de conservation des CVs
La CNIL recommande de conserver les données des candidats non retenus pendant 2 ans maximum à compter du dernier contact, sous réserve de leur consentement explicite. Au-delà, les données doivent être supprimées. Pour les candidats embauchés, les données RH obéissent à d'autres règles (durée du contrat + délais légaux post-rupture).
Obligations RGPD pour les Recruteurs
Le consentement explicite pour la collecte
Tout formulaire de candidature doit inclure une clause d'information claire et un mécanisme de consentement explicite : le candidat doit savoir qui collecte ses données, dans quel but, pour combien de temps, et quels sont ses droits. La case "J'accepte" doit être cochée activement — un simple texte en bas de page ne suffit pas.
Le droit d'accès, de rectification et de suppression
Tout candidat peut à tout moment demander l'accès à ses données (réponse sous 30 jours), la rectification des données inexactes, la suppression complète ("droit à l'oubli"), ou la portabilité de ses données dans un format réutilisable. Votre logiciel de recrutement doit permettre de répondre facilement à ces demandes.
La notification des violations de données
En cas de fuite ou d'accès non autorisé à des données de candidats, vous devez notifier la CNIL dans les 72 heures suivant la découverte. Si le risque pour les personnes concernées est élevé, vous devez également les informer directement. Ce délai très court impose d'avoir un plan de réponse aux incidents préparé.
10 Bonnes Pratiques RGPD en Recrutement
1. Clause de consentement dans chaque offre et formulaire
Chaque formulaire de candidature (site, job boards, email) doit inclure une clause sur le traitement des données, avec un lien vers votre politique de confidentialité spécifique au recrutement.
2. Politique de confidentialité dédiée au recrutement
Rédigez une politique distincte de la politique générale du site, décrivant : finalités du traitement, durée de conservation, destinataires des données, droits des candidats et procédure pour les exercer.
3. Principe du "need-to-know" pour les accès
Seules les personnes directement impliquées dans le recrutement d'un poste doivent avoir accès aux CVs et données candidats correspondants. Un manager ne peut pas accéder aux candidatures pour des postes ne le concernant pas.
4. Suppression automatique après le délai légal
Mettez en place une procédure automatique de suppression après 2 ans d'inactivité. GestMax gère ces alertes automatiquement et vous notifie avant suppression — conformité RGPD sans effort manuel.
5. Chiffrement et sauvegardes sécurisées
Les données de candidats doivent être chiffrées au repos et en transit. Vérifiez que votre ATS utilise HTTPS, chiffre les bases de données, et effectue des sauvegardes régulières avec chiffrement.
6. Audit de sécurité annuel
Réalisez un audit annuel de vos outils de recrutement : vérification des accès, des logs, des mises à jour logicielles, et de la robustesse des mots de passe.
7. Contrat DPA avec les job boards
Quand vous publiez une offre sur un job board, ce dernier devient "sous-traitant" de vos données. Vous devez avoir signé un Data Processing Agreement (DPA) avec chaque plateforme. La plupart des grands job boards le proposent — vérifiez et signez.
8. Formation de l'équipe recrutement au RGPD
Chaque personne impliquée dans le recrutement (RH, managers, assistants) doit avoir été sensibilisée aux obligations RGPD. Une formation de 2 heures par an couvre les cas pratiques les plus fréquents.
9. Registre des traitements de données
Toute organisation de plus de 250 salariés est obligatoirement tenue de maintenir un registre des traitements (article 30 RGPD). En-dessous de ce seuil, c'est vivement recommandé. Ce registre documente chaque traitement : finalité, données collectées, destinataires, durée, mesures de sécurité.
10. Plan de réponse aux incidents documenté
Préparez un plan documenté : qui contacter en cas de violation, comment évaluer le risque, comment notifier la CNIL dans les 72h, comment communiquer avec les candidats affectés. Ce plan doit être testé et mis à jour annuellement.
RGPD et Outils de Recrutement : Ce Qu'il Faut Vérifier
Serveurs hébergés en France ou dans l'UE
Le RGPD impose que les données des citoyens européens soient traitées dans l'UE. Vérifiez systématiquement l'hébergement de votre fournisseur. Inasoft héberge GestMax et AD-Men sur des serveurs situés en France.
Contrat de traitement des données (DPA)
Votre fournisseur d'ATS est un sous-traitant au sens RGPD. Vous devez signer un DPA avec lui, définissant ses obligations de sécurité et de confidentialité. GestMax inclut un DPA conforme dans ses contrats.
Droit à la portabilité des données
Votre ATS doit permettre d'exporter l'intégralité de vos données en cas de changement de fournisseur. Vérifiez ce point avant de signer tout contrat — c'est votre assurance de ne jamais être captif.
Inasoft : Solutions Conformes RGPD par Conception
GestMax et AD-Men ont été conçus avec la conformité RGPD comme priorité :
- Serveurs hébergés en France
- Chiffrement des données au repos et en transit
- Gestion automatisée des durées de conservation avec alertes
- Module de traitement des demandes d'accès et de suppression candidats
- DPA disponible et signable en ligne
- Audit trail complet (qui a accédé à quelles données, quand)
FAQ — RGPD et Recrutement
Peut-on conserver le CV d'un candidat refusé sans son accord ?
Non. Depuis le RGPD, vous devez obtenir le consentement explicite du candidat pour conserver ses données après la fin du processus. Sans ce consentement, les données doivent être supprimées dès la clôture du recrutement. La bonne pratique est d'intégrer cette demande dans le formulaire de candidature initial.
Que faire si un candidat demande la suppression de ses données ?
Vous avez un mois pour répondre et procéder à la suppression complète dans tous vos systèmes (ATS, emails, fichiers partagés). Documentez la demande et la réponse dans votre registre des traitements.
Les tests de recrutement sont-ils soumis au RGPD ?
Oui. Les résultats de tests de personnalité, tests cognitifs ou mises en situation sont des données personnelles soumises au RGPD. Le candidat doit être informé de leur utilisation, de leur durée de conservation, et peut en demander la suppression.
L'utilisation de l'IA pour filtrer les CVs est-elle légale ?
Une décision entièrement automatisée ayant un effet significatif (rejeter automatiquement une candidature) est encadrée par l'article 22 du RGPD. Le candidat doit être informé, pouvoir obtenir une intervention humaine et contester la décision. L'IA peut aider à scorer et prioriser, mais la décision finale doit rester humaine.
Combien de temps conserver les CVs des candidats embauchés ?
Pour les candidats embauchés, leurs données passent dans le dossier RH et sont soumises au droit du travail : pendant toute la durée du contrat plus les délais légaux (généralement 5 ans après la fin du contrat pour les documents principaux).
Une PME de 20 salariés est-elle vraiment à risque RGPD ?
Oui. La CNIL ne fait pas de distinction par taille d'entreprise pour les violations de droits fondamentaux. Même une petite structure peut faire l'objet d'une plainte d'un candidat et d'un contrôle CNIL. Les amendes sont proportionnées au chiffre d'affaires, mais restent significatives même pour une TPE/PME.
