Recrutement et RGPD : pourquoi la CNIL renforce-t-elle ses contrôles ?
En 2026, le recrutement figure officiellement parmi les thématiques prioritaires de contrôle de la CNIL. L’autorité consacre environ 20 % de ses contrôles annuels à ses thématiques prioritaires.
Trois ans après son guide dédié, la CNIL souhaite désormais vérifier l’application concrète du RGPD. Les grandes entreprises et cabinets de recrutement seront particulièrement concernés.
Les contrôles porteront notamment sur les décisions automatisées, l’information des candidats et les durées de conservation. Pour les RH, chaque étape du recrutement doit donc pouvoir être justifiée et documentée.
Quelles données peut-on collecter pendant un recrutement ?
En matière de recrutement et RGPD, le principe de finalité constitue une règle centrale. Les données collectées doivent répondre à des objectifs déterminés, explicites et légitimes.
Le sourcing sur les réseaux sociaux exige donc une vigilance particulière. Selon Anne-Angélique de Tourtier, Head of Customer Success & Privacy Operations chez Adequacy, consulter un profil LinkedIn public peut être pertinent professionnellement.
En revanche, rechercher des informations personnelles sur Facebook ou Instagram pose davantage de problèmes. Importer des informations dans un ATS constitue également une collecte de données personnelles.
Le recruteur doit alors informer le candidat du traitement réalisé. Cette vigilance concerne aussi les outils capables d’aspirer automatiquement des informations accessibles en ligne.
A lire également :
- Travail de Nuit : quelles règles ? Quelle majoration ?
- Température Maximale au Travail : quelle limite légale en 2026 ?
- Comparatif des 21 Meilleurs Logiciels de Recrutement 2026
Combien de temps peut-on conserver les CV ?
Les CV ne peuvent pas rester indéfiniment dans les bases RH. La CNIL indique une conservation maximale de deux ans pour les candidats non retenus, sauf situation particulière.
Pour alimenter un vivier, ce délai court à partir du dernier contact avec le candidat. La personne doit être informée et pouvoir s’opposer facilement lorsque le traitement repose sur l’intérêt légitime.
Le calendrier RH ne sert pas qu’en janvier
QVCT, santé mentale, RSE, bilan annuel… La fin d’année concentre des rendez-vous RH décisifs. Le calendrier RH 2026 de nos partenaires Swile et EGYM Wellpass vous aide à anticiper les dates clés, structurer vos actions et garder le cap jusqu’en décembre.
Je télécharge le calendrierUne conservation intermédiaire peut aussi être prévue pour répondre à certains besoins probatoires. Le guide de la CNIL mentionne alors une durée pouvant atteindre cinq ans après la décision d’embauche.
Les RH doivent séparer la base active de cette archive intermédiaire. Ils doivent également prévoir des procédures permettant la suppression régulière des données arrivées à échéance.
IA et recrutement : l’humain doit-il garder le dernier mot ?
L’intelligence artificielle intervient désormais à différentes étapes du recrutement. Elle peut présélectionner des CV, classer des profils ou attribuer des scores aux candidatures.
Cette automatisation comporte néanmoins une limite importante. Une décision exclusivement automatisée écartant un candidat peut l’affecter de manière significative au sens du RGPD.
Comme le rappelle Anne-Angélique de Tourtier, Head of Customer Success & Privacy Operations chez Adequacy :
“Un candidat ne peut pas être écarté du processus par une machine sans qu’un recruteur ou un consultant n’ait validé la décision.”
La supervision humaine doit donc être effective. Elle ne peut pas se résumer à valider automatiquement le rapport produit par une IA.
Les recruteurs doivent aussi connaître suffisamment leurs outils pour encadrer leur utilisation. La CNIL surveillera précisément les systèmes de prise de décision automatisée pendant ses contrôles de 2026.
Comment anticiper un contrôle de la CNIL ?
Pour sécuriser recrutement et RGPD, les RH doivent d’abord cartographier leurs traitements. Collecte, ATS, sourcing, IA, conservation et transmission des données doivent être examinés.
Les durées de conservation doivent notamment apparaître dans le registre des traitements. Elles doivent aussi être communiquées aux candidats et accompagnées de mécanismes de suppression adaptés.
Il faut également contrôler les habilitations et les accès aux données. Les relations entre entreprises, cabinets et autres prestataires doivent être clairement encadrées.
La conformité ne signifie donc pas renoncer au sourcing ou aux outils d’IA. Elle impose surtout de maîtriser les données utilisées et de pouvoir justifier les pratiques.
Pour les RH, l’enjeu devient particulièrement concret en 2026. Un recrutement performant doit désormais être également transparent, documenté et conforme aux exigences de la CNIL.
A lire également :
- TOP 12 des meilleures formations en recrutement
- Recrutement circulaire : définition, avantages et mise en place
- Recrutement inclusif : pourquoi et comment le mettre en place
