RGPD et recrutement : guide de conformité pour agences en France (2026)

En 2025, une agence de recrutement française a été sanctionnée par la CNIL pour avoir conservé des milliers de CV pendant plus de cinq ans sans base légale documentée — et sans jamais informer les candidats de leurs droits. L'amende était de 75 000 euros. Ce n'est pas un cas isolé. Le recrutement reste l'un des angles morts de la conformité RGPD dans les entreprises et les cabinets français. Ce guide est pratique, pas théorique : des checklists, des durées précises, des obligations concrètes.

Pourquoi le recrutement est particulièrement exposé sous le RGPD

Le recrutement concentre à lui seul plusieurs caractéristiques qui rendent la conformité RGPD difficile à maintenir dans la durée. On collecte des données sensibles (parcours, rémunération, parfois situations personnelles) sur des personnes qui ne deviennent pas clientes. On les conserve souvent "au cas où". On les partage entre le cabinet et ses clients entreprises. Et on utilise de plus en plus des outils algorithmiques pour présélectionner ou scorer les profils.

Chacun de ces points correspond à une obligation réglementaire précise. La CNIL a publié des lignes directrices spécifiques sur le recrutement — et contrairement à d'autres domaines où la réglementation reste floue, ses positions sur les durées de conservation et les bases légales sont claires.

La question de fond pour un cabinet : êtes-vous responsable de traitement ou sous-traitant par rapport à vos clients ? La réponse n'est pas uniforme. Quand vous gérez votre propre base de candidats pour des missions futures, vous êtes responsable de traitement. Quand vous traitez des données pour le compte d'un client qui définit les finalités, vous pouvez être sous-traitant — et devez alors signer un accord de sous-traitance (DPA) avec ce client. Ces deux rôles peuvent coexister dans votre activité, et les obligations qui en découlent sont différentes.

Checklist de conformité RGPD pour agences de recrutement

Voici les points essentiels à vérifier. Ce n'est pas exhaustif — c'est un outil de diagnostic rapide pour identifier où vous en êtes.

La durée de conservation : le point le plus souvent mal appliqué

La CNIL recommande de conserver les données des candidats non retenus pendant 2 ans maximum après le dernier contact actif. "Contact actif" signifie une interaction réelle — pas une campagne emailing automatique que le candidat n'a pas ouverte. Si un candidat ne répond plus à vos relances depuis deux ans, ses données doivent être supprimées ou anonymisées.

Cette limite de 24 mois est une recommandation, pas un maximum légal absolu. Mais en cas de contrôle ou de plainte, la CNIL considère qu'une durée supérieure doit être justifiée par une nécessité documentée. "On garde les profils intéressants au cas où" n'est pas une justification suffisante.

Pour les candidats qui ont été recrutés, les données liées au contrat de travail obéissent à des règles différentes — elles peuvent être conservées pendant la durée légale de prescription applicable (généralement 5 ans après la fin du contrat pour les éléments liés au droit du travail). La différence entre le dossier candidat et le dossier salarié doit être claire dans votre registre de traitement.

Durées de conservation : tableau de référence

Le consentement candidat : ce que ça signifie vraiment

Le consentement est souvent invoqué comme base légale par défaut dans le recrutement — et souvent à tort. Le RGPD impose que le consentement soit libre, spécifique, éclairé et univoque. Dans un contexte de recrutement, le consentement présente une difficulté structurelle : le candidat qui postule à un emploi n'est pas en position de refuser librement le traitement de ses données s'il veut être considéré pour le poste. La CNIL considère que cette asymétrie rend le consentement fragile comme base légale pour les traitements strictement nécessaires au recrutement.

La base légale appropriée pour traiter les données dans le cadre d'un recrutement est généralement l'intérêt légitime (article 6.1.f du RGPD) ou l'exécution de mesures précontractuelles (article 6.1.b) — pas le consentement. Le consentement devient pertinent pour des traitements au-delà du processus immédiat : intégration dans un vivier pour des opportunités futures, envoi d'une newsletter RH, partage du profil avec d'autres divisions du cabinet.

Concrètement : quand un candidat postule à une offre spécifique, vous n'avez pas besoin de son consentement pour traiter ses données dans le cadre de ce recrutement. En revanche, si vous souhaitez conserver son profil pour d'autres mandats à venir, vous devez recueillir un consentement explicite — séparé de la candidature initiale, non conditionnel, et accompagné d'une option de refus simple.

"Un candidat qui coche une case pré-cochée 'j'accepte d'être contacté pour des opportunités futures' n'a pas donné un consentement valide au sens du RGPD. La case doit être décochée par défaut, et l'action de cocher doit être volontaire et informée."

Le droit à l'effacement : procédure et limites

L'article 17 du RGPD donne aux candidats le droit de demander la suppression de leurs données. Pour un cabinet de recrutement, cela signifie qu'un candidat peut demander à tout moment que son CV, ses évaluations et toute trace de son passage dans votre ATS soient effacés.

Vous avez un mois pour répondre à cette demande (avec possibilité de prolongation de deux mois dans les cas complexes, mais vous devez en informer le candidat dans le premier mois). Le refus n'est possible que dans des cas précis : si la conservation est nécessaire pour respecter une obligation légale, ou si les données sont nécessaires à la constatation ou la défense de droits en justice (par exemple, si le candidat a déposé une plainte pour discrimination).

La difficulté pratique : quand un candidat demande l'effacement, ses données peuvent se trouver dans plusieurs systèmes — votre ATS, vos emails, un drive partagé, l'outil de gestion de projet, et peut-être chez votre client entreprise à qui vous avez transmis son profil. Une procédure efficace d'effacement doit cartographier tous ces points de stockage et inclure une notification au client si son profil lui a été transmis.

Les outils d'automatisation du recrutement bien configurés peuvent gérer les suppressions automatiques à l'expiration des durées de conservation — ce qui est infiniment plus fiable qu'un processus manuel. C'est l'un des arguments les plus concrets pour investir dans un ATS avec gestion RGPD native.

Les accords de sous-traitance avec vos clients : un point souvent négligé

Quand vous transmettez des profils candidats à vos clients entreprises, vous leur transférez des données personnelles. L'article 28 du RGPD impose que ce transfert soit encadré par un accord de sous-traitance (Data Processing Agreement, ou DPA) si vous traitez ces données pour le compte du client.

En pratique, beaucoup de cabinets de recrutement fonctionnent sans DPA signé avec leurs clients — soit parce que personne ne l'a demandé, soit parce que le client n'a pas de DPO qui le réclame. Mais les grands comptes, les entreprises cotées et les entreprises qui ont vécu un audit RGPD réclament désormais systématiquement ce document avant de signer un contrat de recrutement.

Le DPA doit préciser au minimum : la nature et la finalité du traitement, les catégories de données concernées, la durée, les obligations du sous-traitant (votre cabinet) en termes de sécurité et de confidentialité, et les conditions dans lesquelles le client peut auditer vos pratiques. Des modèles de DPA conformes au RGPD sont disponibles auprès de votre chambre syndicale ou de votre avocat spécialisé en droit des données.

L'IA et le scoring algorithmique : les nouvelles obligations

C'est le point qui va prendre de l'importance en 2026 et au-delà. L'article 22 du RGPD interdit les décisions entièrement automatisées qui ont un effet significatif sur une personne, sauf dans des cas précis. En recrutement, cela signifie qu'un outil d'IA ne peut pas, à lui seul, décider qu'un candidat est refusé — un humain doit intervenir dans la décision.

L'AI Act européen, qui monte en application progressive jusqu'en 2027, classe les outils d'IA utilisés en recrutement dans la catégorie "haut risque". Cela impose des obligations supplémentaires : évaluation de conformité préalable, documentation technique, surveillance humaine obligatoire, et transparence envers les personnes concernées.

Concrètement pour votre cabinet en 2026 : si vous utilisez un ATS avec matching IA ou scoring automatique, vous devez informer vos candidats de cette utilisation. Vous devez être en mesure d'expliquer les critères utilisés. Et vous ne pouvez pas opposer à un candidat un refus dont la seule justification est "l'algorithme a donné un score bas".

La CNIL a publié des recommandations spécifiques sur l'IA dans les RH — elles précisent comment articuler le RGPD existant avec les nouvelles obligations de l'AI Act. C'est une lecture utile si vous utilisez ou envisagez d'utiliser des outils d'IA dans votre processus.

Yena intègre le matching IA dans son ATS avec des garde-fous conformes à ces exigences : la décision finale reste toujours humaine, les critères de matching sont configurables et documentés, et la traçabilité des évaluations est complète. C'est une différence importante avec des outils moins récents qui ont été construits avant que ces obligations soient clarifiées.

Les violations de données : que faire dans les 72 heures

Si vous subissez une violation de données (intrusion, perte d'un laptop avec des CV, envoi de profils candidats à la mauvaise adresse email), le RGPD impose une notification à la CNIL dans les 72 heures suivant la découverte de la violation — si elle est susceptible d'engendrer un risque pour les droits et libertés des personnes concernées.

"Susceptible d'engendrer un risque" est une notion large. L'envoi accidentel d'un CV à la mauvaise entreprise y entre — les données d'un candidat ont été transmises à un destinataire non autorisé, ce qui peut avoir des conséquences sur son emploi actuel ou sa vie privée. La notification est obligatoire.

Préparez votre procédure avant que la violation se produise : qui est responsable de la notification ? Quelles informations doit-elle contenir ? Comment documentez-vous l'incident ? La CNIL met à disposition les textes de référence sur le RGPD applicables en France, incluant les modalités de notification.

Les obligations spécifiques aux cabinets de recrutement : résumé pratique

Les cabinets de recrutement ont une particularité réglementaire que beaucoup sous-estiment : ils collectent des données sur des personnes dans le cadre de leur activité commerciale, pas dans le cadre d'une relation directe employeur-salarié. Cela les expose à des obligations spécifiques que le SYNTEC Conseil en Recrutement a documentées dans ses lignes directrices sectorielles.

Points clés pour les cabinets :

• Vous êtes responsable de traitement pour votre base de candidats. Même si vous travaillez pour des clients, les données que vous avez collectées sont sous votre responsabilité tant qu'elles sont dans votre système.
• La cession de votre base de données est encadrée. Si votre cabinet est racheté ou fusionne, la base de candidats ne peut pas être transmise sans information préalable des candidats concernés.
• Les cooptations sont aussi des données personnelles. Quand un candidat ou un client vous recommande quelqu'un, vous collectez des données sur une personne qui n'a pas encore été informée. Cette personne doit être informée dès le premier contact.
• Les vérifications de références. Appeler les anciens employeurs d'un candidat implique de collecter des données sur lui auprès de tiers — ce traitement doit être documenté et le candidat doit en avoir été informé au préalable.

L'ATS que vous choisissez détermine en grande partie votre capacité à gérer ces obligations. Un outil qui stocke des données sur des serveurs hors UE sans garanties adéquates vous expose à des risques réels. Un outil qui ne permet pas de configurer des durées de conservation automatiques vous oblige à des processus manuels coûteux et faillibles.

Comment Yena gère la conformité RGPD nativement

La conformité RGPD dans un ATS n'est pas une case à cocher — c'est une architecture. Yena a été conçu dès sa conception pour les marchés européens soumis au RGPD, ce qui se traduit par des différences concrètes dans le produit.

Les données sont hébergées en Europe (conforme au RGPD pour les transferts). Les durées de conservation sont configurables par type de données et déclenchent des alertes automatiques avant suppression. Les demandes d'accès et d'effacement peuvent être traitées directement depuis l'interface sans intervention technique. Et la traçabilité des consentements — qui a donné quel consentement, quand, pour quelle finalité — est documentée automatiquement.

Pour les cabinets qui travaillent avec des clients grands comptes, Yena fournit également les éléments nécessaires à la complétion des DPA : documentation des sous-traitants, mesures de sécurité, politique de traitement des violations. C'est du temps économisé lors des audits clients — et une preuve de sérieux qui compte dans les appels d'offres.

Comparer Yena et Flatchr sur les fonctionnalités RGPD est utile si vous évaluez des options sur le marché français : les deux outils sont développés en France et se conforment au cadre réglementaire local, mais leur approche de la gestion des droits candidats et des durées de conservation diffère.

L'guide complet sur les logiciels ATS pour le marché français couvre en détail les critères de sélection, dont la conformité RGPD comme critère discriminant.

Questions fréquentes sur le RGPD en recrutement

Par où commencer si vous partez de zéro

La mise en conformité RGPD peut paraître écrasante si vous n'avez jamais formalisé vos pratiques. En réalité, les premières étapes les plus importantes prennent moins de temps qu'on ne le croit — et elles couvrent l'essentiel du risque.

Commencez par cartographier vos traitements : où stockez-vous des données candidats ? Dans quel ATS, quels fichiers Excel, quelles boîtes email, quels drives partagés ? Identifiez combien de profils vous détenez et depuis combien de temps. Ensuite, définissez vos durées de conservation et mettez en place une procédure de suppression — même manuelle au départ, à remplacer progressivement par de l'automatisation.

Rédigez votre notice de confidentialité candidat — un document d'une page suffit pour l'essentiel. Mettez en place un process pour traiter les demandes d'accès et d'effacement. Et parlez à vos clients pour identifier ceux qui n'ont pas encore de DPA avec vous.

Ce n'est pas un projet de six mois. Un cabinet de 5 à 20 personnes peut couvrir les bases en quelques semaines — à condition d'y allouer du temps et de ne pas repousser indéfiniment.