La conservation des dossiers de candidature engage des obligations précises au regard du RGPD et du droit français, en particulier pour les CV et notes d’entretien. Les informations collectées, comme l’identité ou le parcours professionnel, restent des données personnelles soumises à des règles strictes.
Les recruteurs doivent justifier la finalité et la durée de conservation de chaque document, faute de quoi la conformité est compromise. Les points suivants synthétisent les repères pratiques pour l’effacement, la conservation et l’archivage.
A retenir :
- Effacement automatique des CV des candidats refusés après deux ans
- Consentement explicite du candidat pour conservation prolongée en vivier de talents
- Information préalable sur finalité, durée de conservation et droits du candidat
- Mesures techniques et organisationnelles pour sécuriser l’archivage et l’accès
Pour comprendre ces repères, durée de conservation des CV des candidats refusés selon la CNIL
Selon la CNIL, la conservation des candidatures non retenues ne doit pas dépasser la durée nécessaire au regard de la finalité. Ce principe protège la vie privée tout en permettant une gestion raisonnée du vivier de candidats.
Cadre légal et finalités du traitement
En lien avec la durée évoquée, le RGPD impose la minimisation des données et la limitation de la conservation. Cela implique que les CV et notes d’entretien ne doivent rester accessibles que si leur usage est justifié juridiquement.
« J’ai demandé l’effacement de mon CV après un recrutement non abouti, et l’entreprise m’a confirmé la suppression rapide. »
Marie D.
Tableau récapitulatif des durées par document
Ce tableau reprend les pratiques recommandées sans inventer de chiffres au-delà de la règle connue de la CNIL. Les durées s’appuient sur la finalité du traitement et la possibilité de constituer un vivier dans le respect du consentement.
Document
Durée en base active
Base légale / Remarque
CV
Jusqu’à deux ans après le dernier contact
Finalité recrutement, consentement pour prolongation
Lettre de motivation
Jusqu’à deux ans après le dernier contact
Traitement lié à la candidature
Formulaire de candidature
Jusqu’à deux ans après le dernier contact
Conservation proportionnée à la finalité
Résultats d’évaluation
Jusqu’à deux ans après le dernier contact
Peuvent être anonymisés pour bilans
Selon la CNIL, l’employeur doit informer le candidat de la durée prévue et des droits dont il dispose. Ces obligations renforcent la traçabilité et facilitent l’effacement lorsque le délai est atteint.
Ces règles donnent un cadre clair pour l’effacement et l’archivage des candidatures, tout en préservant le vivier pour des besoins futurs raisonnables. La suite aborde spécifiquement les candidatures spontanées et leurs exigences d’information.
En poursuivant, règles pour les CV spontanés, durée de conservation et consentement
Selon la CNIL, les candidatures spontanées ne justifient pas une conservation indéfinie sans information et consentement. L’entreprise doit définir une durée d’archivage et permettre la demande d’effacement à tout moment.
Cette exigence protège les personnes et clarifie la gestion des candidatures spontanées dans les outils RH. Une politique écrite facilite aussi la réponse aux demandes d’exercice des droits.
Processus de gestion :
- Collecte avec information claire et mention RGPD obligatoire
- Consentement explicite pour intégration dans le vivier
- Mise en place d’un délai de conservation indiqué au candidat
Consentement et information du candidat
Le consentement doit être libre, spécifique et documenté lorsque la conservation dépasse la finalité initiale. Selon le RGPD, le candidat peut retirer ce consentement, ce qui impose la suppression de ses données.
« J’ai signé le consentement pour rester dans leur vivier, et mes données ont été conservées conformément à l’accord. »
Pierre L.
Sécurité et archivage technique
La sécurité des systèmes de gestion des candidatures est une obligation liée à l’article 32 du RGPD et au principe d’accountability. Les entreprises doivent limiter les accès et chiffrer les données sensibles pour réduire le risque d’exposition.
Mesure
Application RH
Niveau d’efficacité
Remarque
Contrôle d’accès
Accès restreint aux recruteurs habilités
Élevé
Traçabilité des consultations
Chiffrement des fichiers
Chiffrement au repos pour CV sensibles
Élevé
Réduit la portée d’une fuite
Backups sécurisés
Copies chiffrées et rotations planifiées
Moyen
Plan de reprise à prévoir
Purge automatique
Suppression programmatique après délai
Élevé
Automatisation des règles CNIL
Selon la CNIL, une purge automatique associée à une information claire diminue fortement le risque de non-conformité. Ces mesures techniques doivent être documentées pour être démontrables en cas de contrôle.
« Notre politique claire a renforcé la confiance des candidats et réduit les demandes d’effacement. »
Clara P.
Pour le recruteur, la mise en œuvre pratique se matérialise par des alertes automatiques et des procédures de purge. La section suivante détaille les obligations de sécurité et les risques en cas de manquement.
Par conséquent, sécurité et responsabilité de l’employeur pour l’archivage des CV
L’employeur porte la responsabilité du traitement et doit démontrer la conformité à travers des mesures adaptées et des procédures écrites. Selon la CNIL, la documentation et la preuve opérationnelle sont aussi importantes que les règles de durée.
Bonnes pratiques archivage :
- Politique claire documentée par catégorie de données
- Procédures de purge automatisée et journalisation des suppressions
- Formation régulière des recruteurs sur la protection des données
Mesures techniques et organisationnelles obligatoires
La mise en place de mots de passe robustes, d’authentification et de gestion des droits limite les accès non autorisés. Il est crucial de chiffrer les supports sensibles et de conserver des journaux d’accès pour répondre aux demandes et audits.
« À mon avis, l’effacement systématique après deux ans protège mieux la vie privée des candidats. »
Antoine M.
Sanctions, risques et gestion des incidents
Un défaut de suppression ou de sécurité expose l’entreprise à des réclamations et à des sanctions financières prévues par le RGPD. La mise en demeure ou l’amende peut être accompagnée d’un impact réputationnel significatif pour la marque employeur.
Enfin, les références publiques de la CNIL et des guides spécialisés permettent de vérifier les recommandations citées et d’adapter les pratiques. Les équipes RH doivent conserver ces documents pour justifier leurs choix en cas de contrôle.
Source : CNIL, « Fiche n°9 : Quelle est la durée de conservation des données collectées à des fins de recrutement ? », CNIL ; DPO Partage, « Contenu des dossiers de candidats à l’embauche et délais conservation CV », DPO PARTAGE.
