Les employeurs accumulent les CV. Certains concernent des candidatures en cours, d’autres des personnes ayant postulé il y a des mois ou des années. Le RGPD ne fixe pas de durée unique pour tous les CV : ne conservez des informations identifiantes que si elles restent nécessaires à une finalité précise et licite.
Les articles 5, paragraphe 1, b), c) et e) du RGPD imposent la limitation des finalités, la minimisation et la limitation de la conservation. Définissez une durée justifiée par finalité avant la collecte et supprimez les données lorsque cette finalité ne justifie plus leur conservation.
Pendant la procédure de recrutement
Conservez les informations nécessaires pour évaluer la candidature et gérer la procédure, sans conserver automatiquement tout ce que le candidat transmet. Cela peut comprendre le CV, la lettre de motivation, les notes d’entretien pertinentes, les évaluations et les échanges.
Documentez la base légale applicable. L’article 6, paragraphe 1, b) du RGPD peut couvrir les mesures nécessaires prises à la demande du candidat avant un contrat de travail ; les autres activités demandent leur propre analyse. Un poste toujours ouvert ne justifie pas à lui seul la conservation de toutes les candidatures refusées ou retirées.
Réévaluez ce qui reste nécessaire à la fin de la procédure ou lorsqu’un candidat se retire. En cas d’embauche, ne transférez dans le dossier du personnel que les informations nécessaires à la gestion de l’emploi et appliquez les règles de conservation propres à cette finalité.
Que se passe-t-il après un refus ?
Vous n’avez pas à supprimer chaque dossier refusé dès que le poste est pourvu. Une conservation limitée peut être nécessaire pour expliquer la décision ou constater, exercer ou défendre des droits en justice.
Identifiez la finalité concrète et la base légale applicable. Si vous invoquez l’article 6, paragraphe 1, f) du RGPD, documentez l’intérêt légitime, la nécessité et la mise en balance avec les droits du candidat. Une crainte générale de litiges ne justifie pas de conserver indéfiniment des dossiers complets.
Vérifiez le droit local et les recommandations applicables, notamment les délais de recours pertinents et leur point de départ. Ne gardez que les preuves nécessaires, limitez l’accès aux personnes chargées du dossier et séparez ces données du recrutement actif. En cas de litige réel, documentez toute suspension de la suppression programmée, réexaminez-la et supprimez les données lorsque la justification disparaît.
L’article 17, paragraphe 3, e) du RGPD prévoit une exception à l’effacement lorsque le traitement est nécessaire à des droits en justice. Ce n’est ni une base légale autonome ni une autorisation de réutiliser les archives pour de futurs postes.
Pouvez-vous conserver le CV pour de futurs postes ?
C’est possible, mais le recrutement futur constitue une finalité distincte. Expliquez-la avant cette utilisation et choisissez une base légale appropriée.
Un consentement valable au titre des articles 6, paragraphe 1, a) et 7 du RGPD doit être libre, spécifique, éclairé et univoque, et aussi facile à retirer qu’à donner. Un refus ne doit pas désavantager le candidat. Une notice de confidentialité ou le silence ne vaut pas consentement.
L’intérêt légitime prévu à l’article 6, paragraphe 1, f) peut être envisageable si les circonstances le permettent. Évaluez et documentez au préalable la nécessité, les attentes raisonnables, l’impact et les garanties. Ce n’est pas une solution de remplacement automatique après un refus ou un retrait du consentement. Vérifiez les exigences locales et les recommandations de l’autorité compétente.
Précisez la finalité, la base légale et la durée, ou les critères si une durée ne peut être indiquée, dans votre notice de confidentialité candidats. Les articles 13 et 14 du RGPD encadrent cette information. Gardez un profil pertinent, pas automatiquement tout le dossier d’entretien ; vérifiez l’exactitude et supprimez les données dépassées. Le consentement ne permet pas une conservation illimitée.
Deux ans, est-ce toujours la bonne durée ?
Non. Deux ans n’est ni un minimum ni un maximum universel du RGPD. Une durée recommandée pour une finalité ou un pays ne s’applique pas automatiquement à tous les dossiers de recrutement.
Vérifiez le droit local et les recommandations de l’autorité compétente, puis justifiez une durée par finalité et catégorie de données. Définissez son point de départ, par exemple la décision de recrutement ou un échange significatif avec un candidat du vivier. Ne faites pas repartir automatiquement le délai à chaque courriel collectif, consultation interne ou mise à jour de routine.
Et les candidatures spontanées ?
Les mêmes principes s’appliquent. Déterminez si vous évaluez la personne pour un poste actuel ou proposez son intégration dans un vivier.
Recevoir un CV spontané n’autorise pas automatiquement une conservation illimitée ni toute utilisation future. Fournissez les informations pertinentes, identifiez la base légale et fixez une durée. En l’absence de finalité justifiant sa conservation, supprimez le CV.
Que faire si un candidat demande la suppression ?
N’attendez pas la date de suppression programmée. Les articles 12, 17, 18 et 21 du RGPD encadrent les demandes et les exceptions pertinentes.
Si le consentement est retiré, cessez le traitement du vivier fondé sur ce consentement. Si vous invoquez l’intérêt légitime, examinez l’opposition au titre de l’article 21, paragraphe 1 : cessez le traitement sauf si vous démontrez des motifs légitimes impérieux prépondérants ou sa nécessité pour des droits en justice. Une opposition à la prospection doit toujours mettre fin à cette utilisation. Une règle pratique pour le vivier est de cesser les contacts sur de futurs postes sur demande.
Ne conservez des données séparées que si une justification valable et nécessaire subsiste, comme une obligation légale ou des droits en justice, et motivez tout refus d’effacement. Examinez la limitation du traitement lorsque l’article 18 s’applique. Répondez sans retard injustifié, normalement sous un mois ; toute prolongation autorisée doit être expliquée durant ce premier mois.
N’oubliez pas les copies
Supprimer un candidat de votre plateforme de recrutement n’efface pas nécessairement toutes les copies.
Des CV peuvent aussi se trouver dans :
- Les boîtes courriel RH
- Les messageries des responsables du recrutement
- Les disques partagés
- Les dossiers de téléchargement
- Les portails de cabinets de recrutement
- Les notes d’entretien
- Les tableurs
- Les outils d’IA ou d’évaluation
Votre politique couvre l’ensemble du processus, comme une politique de conservation des données couvre le reste de votre organisation.
Incluez les copies papier et convenez des responsabilités de suppression avec les prestataires. Les sous-traitants agissant pour votre compte doivent suivre des instructions documentées et aider à traiter les demandes de droits conformément à l’article 28 du RGPD. Vérifiez l’expiration des sauvegardes et les mesures empêchant le retour de dossiers supprimés dans les systèmes actifs après restauration.
Automatisez la suppression quand c’est possible
Les règles de conservation ne fonctionnent que si elles sont appliquées.
Les systèmes de suivi des candidatures permettent souvent de programmer des dates de suppression ou de revue. Utilisez ces fonctions lorsque c’est pertinent, plutôt que de compter sur quelqu’un pour penser à nettoyer manuellement les anciennes candidatures.
Une date de réexamen doit déboucher sur une décision documentée, pas sur un renouvellement automatique. Testez la suppression et gardez une trace proportionnée de son exécution sans conserver le CV uniquement pour prouver qu’il a été supprimé.
Documentez vos règles de conservation
Pour chaque finalité de recrutement, documentez :
- Les catégories de données et la base légale.
- La durée justifiée et son point de départ.
- La raison d’une archive à accès limité pour des droits en justice et sa date de réexamen.
- Le traitement des retraits de consentement, oppositions, demandes d’effacement et de limitation.
- Les systèmes, copies et prestataires concernés, y compris les sauvegardes.
- La personne chargée de la suppression et le contrôle de son exécution.
Expliquez ces règles clairement aux candidats. Reprenez-les dans votre registre des traitements, lorsqu’il est requis, en indiquant si possible les délais d’effacement prévus conformément à l’article 30 du RGPD.
GDPRWise enregistre une durée de conservation pour chaque traitement de recrutement, pour que la suppression devienne une règle documentée et non une bonne intention.