Guide RGPD recrutement
RGPD et recrutement :
ce que vous devez faire des CV.
Dès qu'une entreprise reçoit une candidature, elle traite des données personnelles — et le RGPD s'applique, que le recrutement passe par un cabinet ou soit géré en interne. Information du candidat, durée de conservation du CV, droits d'accès et de suppression : voici les points à connaître pour recruter sans faux pas.
Informer le candidat, avant même l'entretien.
Un CV, une lettre de motivation ou un profil récupéré sur un site d'offres d'emploi sont des données personnelles comme les autres. Dès la réception d'une candidature, l'entreprise doit informer la personne du traitement dont ses données font l'objet — le plus souvent via une mention insérée sur le formulaire de candidature ou l'annonce elle-même. Cette information doit a minima couvrir : l'identité du responsable de traitement, la finalité (le recrutement en cours, éventuellement une CVthèque), la base légale, la durée de conservation, les droits du candidat et la manière de les exercer.
✓ Qui traite les données (l'entreprise, éventuellement le cabinet de recrutement mandaté)
✓ Pourquoi (le poste visé, ou une CVthèque pour de futures opportunités)
✓ Combien de temps le CV sera conservé
✓ Comment demander l'accès ou la suppression de sa candidature
CV non retenu : combien de temps le garder ?
Le RGPD impose de ne pas conserver une donnée plus longtemps que nécessaire au regard de la finalité poursuivie (article 5). Pour un candidat non retenu, la pratique usuelle recommandée est de supprimer ou anonymiser le CV environ deux ans après le dernier contact avec le candidat, sauf accord explicite de sa part pour le conserver plus longtemps dans une CVthèque en vue d'opportunités futures.
Ce repère de deux ans n'est pas un chiffre gravé dans un article du RGPD : c'est une pratique usuelle, à adapter à votre contexte. Ce qui compte juridiquement, c'est que la durée retenue soit justifiée, documentée, et communiquée au candidat dès sa candidature — d'où l'intérêt de la faire figurer dans votre registre des traitements, qui doit couvrir le recrutement comme n'importe quel autre traitement de données.
Le candidat garde la main sur sa candidature.
Comme toute personne dont vous traitez les données, un candidat — retenu ou non — peut à tout moment demander l'accès à son dossier ou la suppression de sa candidature. L'entreprise dispose d'un délai d'un mois pour répondre, prorogeable de deux mois en cas de complexité. Le détail de ces droits (accès, rectification, effacement, opposition...) et des délais associés est expliqué sur notre page droits des personnes.
En pratique, cela suppose de savoir retrouver rapidement une candidature dans vos outils — messagerie, tableur, logiciel RH ou CVthèque d'un cabinet partenaire — pour pouvoir y répondre dans les délais, plutôt que de découvrir la demande sans savoir où chercher.
Votre process de recrutement traite des CV sans cadre RGPD clair ?
VIGIL vous aide à cadrer l'information des candidats, la durée de conservation et le suivi des demandes de droits — sans jargon ni usine à gaz. Nos formules s'adaptent à la taille de votre entreprise.
Faire le point avec nousContenu à visée informative, à jour au moment de sa rédaction. Il ne constitue pas un conseil juridique personnalisé au sens de la loi n°71-1130 du 31 décembre 1971 — chaque situation mérite une analyse dédiée.