Demande d’accès candidat : préparer l’export ATS RGPD

Un ancien candidat écrit au cabinet un mardi matin : « Je souhaite recevoir toutes les données que vous détenez sur moi. » Le consultant ouvre sa fiche ATS, clique sur exporter et s’apprête à envoyer le ZIP. Mauvais réflexe. Le dossier contient des courriels, une note dictée, deux doublons, des évaluations du client et le nom d’autres personnes. Répondre au droit d’accès ne consiste ni à transférer l’écran brut ni à rédiger un résumé rassurant. Il faut retrouver les données de la personne, protéger celles des tiers et expliquer le traitement de façon intelligible.

Comment traiter une demande d’accès depuis l’ATS ?

Enregistrez la demande dès sa réception, confirmez son périmètre, vérifiez l’identité seulement lorsqu’un doute raisonnable le justifie, puis recherchez les données dans l’ATS et dans les systèmes réellement utilisés autour de lui. Constituez une copie lisible des données personnelles, accompagnée des informations prévues par l’article 15 du RGPD. Avant l’envoi, examinez les droits et libertés des tiers, les secrets protégés et les données sans rapport avec le demandeur.

La réponse doit normalement partir dans le mois. Une prolongation de deux mois peut être possible lorsque la complexité ou le nombre de demandes le justifie, mais la personne doit en être informée dans le premier mois. Ne promettez pas qu’un bouton ATS produit à lui seul une réponse complète : le cabinet reste responsable du périmètre, des explications, des occultations et du canal de remise.

1. Reconnaître la demande, même sans formule juridique

Le candidat n’a pas besoin d’écrire « article 15 » pour exercer son droit d’accès.

Une demande peut arriver au DPO, à une adresse générale, par LinkedIn ou directement au consultant. « Envoyez-moi ce que vous avez sur moi » suffit à déclencher l’examen. Formez donc l’équipe à transférer ces messages vers une file unique, sans débattre avec le candidat ni supprimer des notes dans la précipitation. La date de réception compte. Enregistrez-la avec le canal, le demandeur, le propriétaire interne et l’échéance calculée.

Accusez réception dans un langage simple. Si la portée est réellement incertaine, demandez une précision utile : tous les mandats, une période, les enregistrements d’entretien ou un processus donné. Cette clarification peut rendre la recherche plus efficace, mais elle ne doit pas servir à décourager une demande générale. Gardez aussi le texte original. Une reformulation interne trop étroite pourrait faire oublier une source que la personne avait clairement visée.

Date et canal de réception
Texte exact de la demande
Responsable et échéance
Périmètre confirmé ou question de clarification

2. Vérifier l’identité de manière proportionnée

Demandez une preuve supplémentaire seulement si vous avez un doute raisonnable sur l’identité.

La CNIL donne un exemple très concret pour le recrutement : lorsqu’un candidat utilise la même adresse électronique que pendant le processus, il peut ne pas exister de doute justifiant une copie de pièce d’identité. À l’inverse, une demande venant d’une nouvelle adresse, portant sur un homonyme ou visant des informations sensibles mérite une vérification adaptée. Choisissez alors l’élément le moins intrusif qui permet de lever le doute.

Évitez de conserver une pièce d’identité complète par réflexe. Si elle a été nécessaire, limitez les personnes qui y accèdent, définissez sa durée et notez le résultat de la vérification plutôt que de multiplier les copies. Attention aussi aux mandataires : vérifiez à la fois leur identité, leur pouvoir et la portée de la représentation. Une vérification excessive expose de nouvelles données ; une vérification absente peut remettre un dossier confidentiel au mauvais destinataire.

3. Cartographier les données au-delà de la fiche principale

L’export natif de l’ATS est un point de départ, pas une carte complète du traitement.

Listez les emplacements reliés au recrutement : fiche candidat, CV et pièces jointes, champs personnalisés, historique d’étapes, courriels synchronisés, transcription éventuelle, commentaires, scorecards, activités d’un portail client et journaux contenant des identifiants. Cherchez les doublons et anciennes adresses. Selon les outils du cabinet, il peut aussi exister un dossier de migration, une boîte partagée ou un export opérationnel encore actif. Le but n’est pas de fouiller toutes les sauvegardes à l’aveugle, mais de suivre la cartographie réelle des traitements.

Attribuez chaque source à un propriétaire. L’administrateur ATS extrait les objets structurés ; le consultant vérifie les notes et mandats ; l’équipe sécurité aide pour les journaux ; un fournisseur intervient si le contrat prévoit son assistance aux droits. Conservez une liste des sources interrogées, des résultats et des exclusions motivées. Cette piste permet une seconde lecture. Elle évite surtout la réponse fragmentaire où le cabinet envoie le CV connu du candidat tout en oubliant les appréciations qui ont guidé la décision.

Rechercher tous les identifiants connus de la personne.
Inventorier les objets ATS et intégrations liés.
Attribuer chaque extraction à un propriétaire.
Rapprocher les doublons avant la revue juridique et métier.

4. Distinguer données personnelles et documents entiers

Le droit porte sur les données personnelles et les informations associées, pas automatiquement sur chaque document brut.

Un courriel peut contenir les données du candidat, une stratégie commerciale, le téléphone privé d’un client et une discussion sur un autre profil. Copier le message sans revue risque de divulguer les droits d’autrui. À l’opposé, remplacer tout le contenu par « avis mitigé » peut rendre les données incompréhensibles. Travaillez champ par champ ou extrait par extrait : identifiez ce qui concerne la personne, gardez le contexte nécessaire à la compréhension et occultez ce qui doit réellement être protégé.

Les appréciations subjectives ne disparaissent pas du seul fait qu’elles sont des opinions. Lorsqu’elles se rapportent à une personne identifiable, elles peuvent constituer des données personnelles. La réponse peut toutefois tenir compte des droits et libertés d’autres personnes. Faites examiner les cas délicats par le DPO ou le conseil compétent, notamment les références confidentielles, les allégations, les secrets d’affaires et les échanges dont la divulgation pourrait identifier un tiers. Pas de règle mécanique. Une revue documentée, oui.

Occulter n’est pas nettoyer l’image du dossier. Chaque retrait doit protéger un intérêt identifiable sans vider le droit d’accès de son sens.

5. Construire une réponse lisible et exploitable

Un empilement de fichiers techniques ne permet pas toujours au candidat de comprendre ses données.

Préparez un index : catégories de données, finalités, destinataires ou catégories de destinataires, durée prévue ou critères, source lorsque les données n’ont pas été obtenues auprès du candidat, droits disponibles et informations pertinentes sur les décisions automatisées lorsqu’elles existent. Ajoutez ensuite la copie dans un format courant. Les codes internes doivent être expliqués. « STG-4 » ou « score 0,62 » sans légende ne disent rien à la personne.

Relisez la chronologie. Une date d’import, une date de contact et une date de décision ne décrivent pas le même événement. Lorsque plusieurs versions se contredisent, ne choisissez pas silencieusement celle qui paraît la plus propre : présentez la donnée avec son contexte ou corrigez-la selon le processus approprié. Le droit d’accès peut révéler une inexactitude. Prévoyez donc le passage vers la rectification, l’opposition, la limitation ou l’effacement sans obliger le candidat à recommencer toute sa demande.

6. Sécuriser la remise et conserver une preuve minimale

Le canal d’envoi doit être adapté à la sensibilité et au volume des informations remises.

Évitez la pièce jointe ouverte envoyée à une adresse devinée. Utilisez un espace authentifié, un lien à durée limitée ou un fichier chiffré dont le secret passe par un autre canal, selon les risques. Vérifiez l’adresse finale juste avant l’envoi. Si le candidat demande un format électronique courant et que cela reste sûr, organisez la remise en conséquence. Testez aussi le paquet : liens cassés, encodage illisible et PDF vide ne constituent pas une réponse utile.

Dans le registre interne, gardez la réception, les vérifications, les sources consultées, les décisions d’occultation, la date d’envoi et une empreinte ou description du paquet. Ne conservez pas éternellement une copie supplémentaire de toutes les données uniquement pour prouver que vous avez répondu. Définissez avec le DPO la preuve minimale et sa durée. Puis fermez les copies de travail, retirez les accès temporaires et consignez tout incident de remise pour l’évaluer sans délai.

7. Tester le processus avant la prochaine demande

Une demande réelle ne devrait pas être le premier test de votre capacité d’export.

Choisissez un profil fictif ou un dossier de test et simulez la recherche. Le consultant retrouve-t-il les doublons ? L’administrateur peut-il distinguer commentaires internes et données client ? Les pièces jointes portent-elles une version ? Le fournisseur sait-il fournir les journaux et aider à l’extraction dans le délai contractuel ? Chronométrez les dépendances, pas la vitesse d’un clic. Le goulet se trouve souvent dans une boîte partagée ou dans une intégration que personne ne possède vraiment.

Après chaque demande, notez une amélioration précise : nouveau champ à expliquer, source oubliée, rôle mal attribué ou modèle de réponse ambigu. Yena peut centraliser des profils, interactions et historiques utiles à cette recherche, mais aucune plateforme ne qualifie seule toutes les exceptions ni les fichiers qui vivent en dehors d’elle. Une procédure, un responsable et une revue humaine restent nécessaires. C’est moins spectaculaire qu’un bouton « conformité ». C’est aussi beaucoup plus crédible.

Registre opérationnel d’une demande d’accès candidat

Suivez les décisions qui déterminent la complétude, la sécurité et le délai. Le registre ne doit pas recopier tout le dossier candidat.

Étape	Preuve utile	Point de vigilance
Réception	Message original, date, canal et propriétaire	Ne pas attendre une mention de l’article 15
Identité	Doute constaté et contrôle proportionné	Éviter la pièce d’identité systématique
Recherche	Sources, identifiants et résultats rapprochés	Inclure intégrations et doublons pertinents
Revue	Données incluses, occultations et motif	Protéger les tiers sans vider la réponse
Remise	Format, canal, date et destinataire vérifié	Tester lisibilité et sécurité du paquet
Clôture	Réponse envoyée et copies de travail traitées	Conserver seulement la preuve nécessaire

Ce que l’export ATS ne tranche pas

Ce guide propose une méthode opérationnelle, pas un avis juridique sur un dossier particulier. Les droits de tiers, le secret des affaires, une procédure contentieuse ou des catégories sensibles peuvent exiger une analyse spécialisée. Un refus ou une restriction doit pouvoir être expliqué conformément au cadre applicable.

Le délai, le périmètre et les informations à fournir viennent du RGPD, pas des capacités d’un logiciel. Un ATS peut faciliter la recherche et la traçabilité ; il ne garantit ni l’exhaustivité des systèmes périphériques ni la qualité de chaque occultation. Le responsable du traitement garde cette responsabilité.

Questions fréquentes sur le droit d’accès candidat

Ces réponses couvrent les choix opérationnels les plus fréquents dans un cabinet français.

Faut-il toujours demander une pièce d’identité ?

Non. Demandez des informations supplémentaires seulement en cas de doute raisonnable et choisissez une vérification proportionnée. L’adresse déjà utilisée pendant le recrutement peut parfois suffire.

Le délai d’un mois commence-t-il après la recherche ATS ?

Non. Il court à partir de la réception de la demande. Consignez immédiatement la date et informez la personne dans le premier mois si une prolongation justifiée s’applique.

Doit-on envoyer les commentaires du client ?

Les données personnelles concernant le candidat entrent dans l’analyse, mais les droits d’autres personnes doivent aussi être protégés. Examinez le contenu et le contexte au lieu d’inclure ou d’exclure tous les commentaires en bloc.

Un export CSV suffit-il pour répondre ?

Pas toujours. Il faut une copie intelligible et les informations prévues par le droit d’accès. Expliquez les codes, ajoutez les données pertinentes hors CSV et sécurisez la remise.

Sources officielles sur le droit d’accès

La CNIL détaille la réponse pratique en France ; le CEPD précise l’interprétation européenne du droit d’accès.

Relier accès, correction et cycle de vie candidat

Traiter ensuite une demande d’effacement · Rapprocher les doublons sans perdre l’historique · Centraliser la mémoire candidat dans le CRM · Évaluer les droits dans un logiciel de recrutement

Retrouvez le dossier avant que le délai ne file

Découvrez comment Yena relie profils, mandats et interactions pour faciliter une recherche contrôlée, puis gardez la validation du périmètre entre les mains de votre équipe.

Voir le CRM de recrutement Yena