RGPD et recrutement : conserver les CV et données candidats dans un ATS

Un ATS reçoit des milliers de CV par an, en garde la plupart bien plus longtemps que nécessaire et répond mal aux candidats qui demandent leur effacement. Le 21 juillet 2026, la CNIL a infligé 300 000 euros d'amende à une société de conseil pour 265 demandes d'effacement mal gérées en un an, presque toutes venues d'anciens candidats. Pour l'éditeur qui construit l'outil comme pour le recruteur qui le paramètre, la conformité de l'ATS se joue sur six points : la collecte, l'information, le sourcing, le vivier, la durée et les droits. Voici, étape par étape, ce que chacun doit régler.

Pourquoi l'ATS est un traitement RGPD à risque sous-estimé

Un ATS paraît anodin : des CV, des lettres, quelques notes d'entretien. En pratique, il cumule trois facteurs de risque. Le volume d'abord : un recruteur moyen traite des milliers de candidatures par an, chacune portant une identité, un parcours, parfois une photo, un âge, une adresse. La durée ensuite : sans purge paramétrée, les candidatures non retenues s'accumulent pendant des années. Les droits enfin : les candidats écartés sont les personnes les plus enclines à demander l'accès à leur dossier ou son effacement.

Le cas EXTIA : 300 000 euros pour des demandes d'effacement

Dans sa délibération SAN-2026-010 du 21 juillet 2026, la formation restreinte de la CNIL a sanctionné la société EXTIA, qui emploie environ 2 000 salariés. En 2024, la société avait reçu 28 322 candidatures et 265 demandes d'effacement. Bilan retenu : 12 demandes jamais traitées, 166 personnes jamais informées des suites données à leur demande, 26 réponses envoyées avec plusieurs mois de retard. Deux rappels à la loi adressés en 2024 n'avaient pas suffi.

Le détail qui intéresse un éditeur tient à un courriel automatique. Le message de refus envoyé aux candidats non présélectionnés annonçait une conservation de deux ans, alors que la société affirmait purger ces données au bout de 60 jours. Ce décalage a déclenché un afflux de demandes d'effacement. La CNIL a ajouté que la purge automatique ne dispense pas de répondre : l'obligation de réponse dans le mois prévue à l'article 12 du RGPD est autonome. Un modèle de courriel mal rédigé dans un ATS peut donc suffire à créer le contentieux.

Point de vigilance. Les manquements aux articles 12 à 22 du RGPD relèvent du plafond le plus élevé de l'article 83.5 : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. La CNIL ne réserve pas ces sanctions aux grands groupes : elle regarde la proportion de demandes mal traitées, ici plus des trois quarts.

Responsable de traitement ou sous-traitant : qui porte l'ATS ?

Le recruteur, employeur ou cabinet, est responsable du traitement : il décide de recruter, choisit les données demandées, fixe les durées et les accès. L'éditeur de l'ATS en mode SaaS héberge les données et intervient pour la maintenance : il est en principe sous-traitant au sens de l'article 28 du RGPD. Le guide recrutement de la CNIL, publié le 30 janvier 2023, retient cette analyse dans sa fiche 3, et précise qu'un éditeur qui vend un logiciel installé chez le client sans jamais accéder aux données n'est ni l'un ni l'autre.

La qualification bascule dès que l'éditeur décide lui-même d'un usage des données : CVthèque mutualisée entre clients, statistiques de marché vendues, enrichissement des profils, entraînement d'un modèle. L'éditeur devient alors responsable de traitement pour cet usage, avec toutes les obligations d'information et de réponse aux droits qui en découlent. La CNIL insiste : les parties ne choisissent pas leur qualification par contrat, elle se déduit des faits. J'ai détaillé cette cartographie, fonctionnalité par fonctionnalité, dans l'article sur la répartition des responsabilités RGPD entre l'éditeur de SIRH et son client.

Le jobboard occupe une place à part. La CNIL le considère comme responsable du traitement lié à la création et à la gestion des comptes candidats. Dès que le recruteur rapatrie un CV dans son propre ATS, il devient à son tour responsable de cette nouvelle base, et ses obligations commencent à ce moment-là.

Données candidats : ce que l'ATS peut demander, et ce qu'il ne doit pas proposer

L'article L. 1221-6 du Code du travail fixe la règle : les informations demandées au candidat ne peuvent avoir pour finalité que d'apprécier sa capacité à occuper l'emploi ou ses aptitudes professionnelles, et doivent présenter un lien direct et nécessaire avec le poste. Pour un éditeur, cette règle se traduit en choix de produit : chaque champ du formulaire de candidature doit pouvoir se justifier.

Les champs à proscrire ou à différer

• Le numéro de sécurité sociale : le référentiel CNIL de gestion du personnel (délibération n° 2019-160 du 21 novembre 2019) précise qu'il ne peut être demandé avant la validation définitive de la candidature. Le champ appartient au module d'embauche, pas au formulaire de candidature.
• La situation familiale, la date de naissance, la photo, la nationalité : rarement nécessaires à l'évaluation, ils touchent directement aux critères de l'article L. 1132-1 (âge, situation de famille, origine, apparence physique, lieu de résidence).
• Les coordonnées bancaires : sans objet avant l'embauche.

Le risque des champs libres

Les zones de commentaires sont le point faible de tout ATS. Un recruteur y note « jeune maman, disponibilité à vérifier » ou « accent prononcé » : la mention constitue à la fois une donnée excessive au regard du RGPD et un élément de preuve d'une discrimination. L'article L. 1134-1 du Code du travail aménage la charge de la preuve : le candidat présente des éléments laissant supposer une discrimination, et c'est à l'employeur de prouver que sa décision repose sur des éléments objectifs. Sur le plan pénal, le refus d'embauche discriminatoire est puni de trois ans d'emprisonnement et de 45 000 euros d'amende (article 225-2 du Code pénal), montant porté à 225 000 euros pour une personne morale par l'effet de l'article 131-38.

L'article L. 1221-7 permet d'examiner les CV de façon anonyme. Dans sa rédaction issue de la loi de 2015, le texte en fait une faculté, non une obligation. Un ATS qui propose un mode de présélection masquant le nom, l'adresse et la photo donne au recruteur un argument concret en cas de contentieux.

L'information des candidats selon le canal d'entrée

Deux textes se superposent. Le RGPD impose d'informer sur le responsable, les finalités, la base légale, les destinataires, la durée et les droits (articles 13 et 14). Le Code du travail ajoute deux règles propres au recrutement : le candidat est informé avant leur mise en oeuvre des méthodes et techniques d'aide au recrutement utilisées à son égard (article L. 1221-8), et aucune information le concernant ne peut être collectée par un dispositif qui ne lui a pas été signalé (article L. 1221-9). Côté entreprise cliente, l'article L. 2312-38 impose d'informer le CSE avant l'utilisation de ces méthodes et avant l'introduction d'un traitement automatisé de gestion du personnel : le déploiement d'un nouvel ATS en fait partie.

Ce que l'ATS doit prévoir pour chaque canal

• Candidature sur la page carrière : collecte directe. Une mention courte sous le formulaire, un lien vers la notice complète, puis un accusé de réception qui reprend l'essentiel. La CNIL recommande cette information à deux niveaux.
• Multidiffusion sur les jobboards : l'espace laissé par la plateforme est souvent trop court. L'offre doit porter quelques mentions minimales et un lien vers la notice du recruteur ; l'ATS doit envoyer l'information complète dès que la candidature est importée.
• Cooptation : le CV arrive par un salarié, donc par collecte indirecte. Le candidat coopté doit être informé de la source et du traitement au premier contact.
• Candidature spontanée : la CNIL admet que l'information soit assurée par la politique de la page carrière et par un accusé de réception précis.

Le cas EXTIA montre que l'accusé de réception et le courriel de refus font partie de l'information. Un éditeur qui livre des modèles de messages doit y faire figurer une durée de conservation paramétrée, jamais un texte figé qui contredit la réalité de la purge.

Sourcing et collecte indirecte : l'article 14 du RGPD en pratique

Le sourcing, c'est-à-dire aller chercher des profils sur un réseau professionnel ou une CVthèque, est une collecte indirecte. L'article 14.3 du RGPD fixe le calendrier : l'information doit être fournie dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors de la première communication avec la personne. Le premier message InMail ou courriel doit donc porter l'information, y compris la source des données et les catégories collectées.

L'exception de l'article 14.5.b, pour efforts disproportionnés, ne couvre pas un recruteur qui dispose des coordonnées du candidat et compte le contacter. Elle ne justifie pas non plus de constituer une base silencieuse de profils jamais contactés.

Ce que la CNIL accepte de consulter

La fiche 14 du guide recrutement recommande de limiter la consultation aux réseaux, sites et plateformes dédiés aux échanges professionnels. Toute consultation de réseaux personnels doit être justifiée et réservée à des postes spécifiques. Les conditions d'utilisation des plateformes comptent aussi : la CNIL indique que leur violation peut être prise en compte pour apprécier la licéité du traitement.

Pour l'éditeur, la fonction d'import en un clic depuis une extension de navigateur est la plus exposée. Si elle aspire des profils en masse, sans tri et sans déclencher d'information, elle fabrique un traitement illicite chez chaque client. L'article 226-18 du Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende la collecte de données par un moyen frauduleux, déloyal ou illicite ; son application à l'aspiration de profils dépendra des circonstances, mais le risque n'est pas théorique. Le candidat sourcé garde enfin son droit d'opposition (article 21) : l'ATS doit permettre de marquer un profil « ne plus contacter » et de respecter cette consigne lors des imports suivants.

Conservation des CV : base active, archive et vivier de candidats

La CNIL a publié le 2 avril 2026, puis mis à jour le 20 mai 2026, un référentiel des durées de conservation en gestion des ressources humaines, adopté par la délibération n° 2026-031 du 29 janvier 2026 et modifié par la délibération n° 2026-054 du 5 mai 2026. Sa rubrique Recrutement remplace les repères plus anciens. C'est le tableau qu'un ATS doit savoir appliquer.

Les trois cas du référentiel

• Candidat retenu : base active jusqu'à la signature du contrat. Aucune archive n'est nécessaire, les données basculent dans le dossier du salarié et suivent les durées de gestion du personnel.
• Candidat non retenu : base active jusqu'au résultat de la candidature. Ensuite, archivage intermédiaire à des fins probatoires, pour les éventuelles actions en discrimination, pendant cinq ans à compter de la date à laquelle le poste a été pourvu. La CNIL rattache cette durée à l'article L. 1134-5 du Code du travail, qui fixe à cinq ans la prescription de l'action en réparation d'une discrimination.
• Vivier de candidats : jusqu'à deux ans à compter du dernier contact avec le candidat non retenu, durée recommandée, puis le même archivage probatoire de cinq ans.

La différence entre base active et archive est le coeur du sujet. En archive, les données ne servent plus à recruter : elles sont isolées, physiquement ou par les habilitations, et seules des personnes désignées, comme le service juridique, peuvent les consulter ponctuellement et de manière motivée. Un CV archivé qui réapparaît dans les résultats de recherche d'un recruteur n'est pas archivé. Le référentiel reste du droit souple : un recruteur peut s'en écarter, à condition de documenter et de justifier son choix.

La base légale du vivier

Le guide recrutement distingue trois hypothèses. Le candidat qui s'inscrit lui-même dans une CVthèque, ou qui envoie une candidature spontanée, est réputé y consentir. Pour le candidat non retenu à l'issue d'un processus, le recruteur doit recueillir son consentement, par une case non précochée par exemple. À défaut, il peut invoquer son intérêt légitime pour certains profils, comme ceux qui ont passé un entretien, à condition de les informer et de leur permettre de s'opposer facilement, sans motif. Verser d'office tous les candidats écartés dans le vivier, sans information, ne remplit aucune de ces conditions.

Une candidature retenue change de nature : elle devient dossier salarié. L'ATS doit organiser ce transfert vers le SIRH, en ne gardant que ce qui sert à la gestion du personnel, et informer le nouveau salarié de cette nouvelle finalité. Les questions d'accès qui se posent ensuite relèvent du droit des salariés, traité dans l'article sur le droit d'accès des salariés à leurs données personnelles.

Les droits des candidats en pratique : accès, effacement, opposition

Le délai est d'un mois à compter de la réception de la demande, prorogeable de deux mois pour une demande complexe, à condition d'en informer la personne dans le premier mois (article 12.3 du RGPD). En cas de refus, la réponse doit en donner les motifs et rappeler la possibilité de saisir la CNIL (article 12.4).

Le droit d'accès s'étend aux évaluations

La CNIL considère que le candidat peut accéder aux éléments sur lesquels le recruteur s'est fondé : fiches d'évaluation, commentaires, résultats de tests. Le recruteur peut fournir une synthèse plutôt que le document original, masquer le nom des évaluateurs et ne pas révéler une grille protégée par un secret, mais il doit donner les éléments permettant d'interpréter un score. Concrètement, chaque commentaire saisi dans l'ATS est susceptible d'être lu par le candidat. C'est le meilleur argument pour former les recruteurs à rédiger des notes factuelles.

Effacer, et le dire

Le candidat peut demander l'effacement de ses données. Le recruteur peut conserver ce qui est nécessaire à la défense de ses droits en justice (article 17.3.e), donc les éléments placés en archive probatoire, mais il doit l'expliquer dans sa réponse. La leçon d'EXTIA est double : traiter chaque demande, et répondre à chaque demandeur, même quand les données ont déjà disparu.

Le tri automatisé et le scoring obéissent à des règles supplémentaires : article 22 du RGPD sur les décisions exclusivement automatisées, et régime propre au règlement européen sur l'intelligence artificielle. Ils ne sont pas traités ici. Côté employeur, voir ce que l'AI Act et le RGPD imposent aux RH qui recrutent avec l'IA ; côté éditeur, les obligations du fournisseur d'un outil de tri de CV.

Ce que l'éditeur d'ATS doit construire

Le recruteur est responsable du traitement, mais c'est l'éditeur qui rend la conformité possible ou impossible. Un acheteur averti, DRH ou DPO, posera ces questions dans son questionnaire de sécurité. Voici la liste que je recommande aux éditeurs d'intégrer à leur feuille de route.

1. Des durées paramétrables, avec une valeur par défaut raisonnable : base active jusqu'à la décision, vivier limité à deux ans après le dernier contact, archive probatoire de cinq ans. Aucune option « conservation illimitée » proposée par défaut.
2. Une purge automatique qui touche aussi les sauvegardes, les pièces jointes et les exports, avec un journal prouvant l'exécution. EXTIA n'a pas pu démontrer sa durée de 60 jours faute de document : l'article 5.2 du RGPD exige de pouvoir prouver.
3. Une archive intermédiaire réellement séparée : statut « archivé » exclu des recherches, accès limité à un rôle dédié, consultation journalisée.
4. Des modèles de messages variables : accusé de réception, refus, invitation au vivier, premier contact de sourcing, chacun alimenté par les durées paramétrées.
5. Un consentement au vivier distinct, horodaté, retirable depuis l'espace candidat.
6. Un module de demandes de droits : réception, compteur du délai d'un mois, modèles de réponse, export des données du candidat, y compris les commentaires.
7. Un encadrement des champs libres : consignes affichées, alerte sur des termes sensibles, revue périodique.
8. Une liste d'opposition qui empêche la réimportation d'un profil ayant demandé à ne plus être contacté.

Ces fonctions alimentent aussi le contrat. Le DPA signé avec le client doit décrire les instructions de conservation, l'aide apportée pour répondre aux droits et le sort des données en fin de contrat. Pour un éditeur, c'est un argument commercial autant qu'une obligation : l'accompagnement des éditeurs de logiciels et SaaS commence souvent par cet alignement entre produit et contrat.

Mettre son ATS en conformité

Un ATS conforme repose sur trois choses : des durées écrites et appliquées automatiquement, une information exacte à chaque point de contact, et des demandes de droits traitées dans le mois. Le reste découle de ces trois choix. Si vous éditez un ATS ou que vous en déployez un, je peux auditer le paramétrage, les modèles de messages et le contrat avec l'éditeur dans le cadre d'une mise en conformité RGPD. Pour faire le point sur votre outil, échangeons sur votre situation.