Le recrutement figure parmi les priorités de contrôle affichées par la CNIL pour 2026. Chaque candidature traitée, chaque outil de tri automatisé, chaque donnée conservée trop longtemps constitue un traitement de données personnelles à part entière — avec des règles précises sur ce qui peut être collecté, combien de temps, et selon quelles modalités lorsque l’intelligence artificielle intervient dans la sélection.
Le recrutement, un traitement de données personnelles à encadrer
Toute opération portant sur les données d’un candidat — collecte, organisation, consultation, conservation, suppression — constitue un traitement au sens du RGPD, quelle que soit la taille de l’organisation qui recrute. Ce traitement doit reposer sur l’une des bases légales prévues par le règlement, choisie en amont et non a posteriori, ce choix ayant des conséquences directes sur les droits dont bénéficient les candidats.
Le principe de minimisation s’applique strictement : seules les données adéquates, pertinentes et strictement nécessaires à la sélection pour le poste concerné peuvent être collectées. Cette exigence rejoint celle qui structure l’ensemble des traitements RH, du recrutement jusqu’à la gestion administrative du personnel : chaque donnée doit pouvoir se justifier par une finalité précise.
Quelles données collecter — et lesquelles proscrire
Certaines catégories de données sont, par principe, interdites en phase de recrutement, sauf exception légale précise et strictement encadrée :
- Données de santé, opinions politiques, religieuses ou syndicales : leur collecte est en principe prohibée. Une exception peut exister, par exemple pour l’aménagement d’un poste destiné à un travailleur handicapé — mais alors la donnée est recueillie à cette seule fin, jamais pour départager des candidatures.
- Extrait de casier judiciaire : relève de l’article 10 du RGPD et obéit à une interdiction de principe. Un recruteur ne peut l’exiger que lorsqu’un texte spécifique le prévoit pour le poste concerné (professions de sécurité, contact avec des mineurs, certaines fonctions financières). Demander systématiquement le bulletin n°3 à tous les candidats, en dehors de ces cas, constitue une pratique irrégulière.
- Données issues des réseaux sociaux : leur collecte est possible, mais doit présenter un lien direct et nécessaire avec le poste à pourvoir, et le candidat doit en être informé.
Priorité de contrôle CNIL 2026 : ce qui va être vérifié
Le 3 avril 2026, la CNIL a confirmé que le recrutement figure parmi ses thématiques de contrôle prioritaires pour l’année, trois ans après la publication de son guide du recrutement (19 fiches, janvier 2023, mise à jour en mai 2026 pour intégrer les démarches de contrôle de l’honorabilité). Les contrôles se concentreront sur trois axes précis :
- Les systèmes de prise de décision automatisée utilisés pour trier ou noter les candidatures.
- La qualité de l’information délivrée aux candidats sur l’usage de leurs données.
- Le respect des durées de conservation annoncées.
Ces contrôles ciblent en priorité les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures qu’ils traitent — mais les obligations sous-jacentes s’appliquent à toute organisation, quelle que soit sa taille.
Durées de conservation des données candidats
Pour un candidat non retenu, la CNIL recommande une conservation maximale de 2 ans à compter du dernier contact, à condition d’en avoir informé le candidat. Passé ce délai, les données doivent être supprimées, sauf si le candidat a explicitement accepté d’intégrer un vivier de candidatures pour une durée définie. Cette règle s’inscrit dans le cadre plus large du référentiel CNIL sur les durées de conservation RH, publié en avril 2026, qui couvre l’ensemble du cycle de vie des données du personnel.
IA et recrutement : ce que dit l’AI Act
Les outils qui trient, notent ou présélectionnent automatiquement les candidatures ne relèvent pas seulement du RGPD. L’Annexe III, point 4(a) du règlement européen sur l’intelligence artificielle classe explicitement en haut risque les systèmes d’IA destinés à publier des offres d’emploi ciblées, analyser et filtrer des candidatures, ou évaluer des candidats lors d’entretiens ou d’épreuves. Cette qualification s’applique par défaut, indépendamment de l’intention affichée de l’outil.
Sur le calendrier, un accord politique provisoire du 7 mai 2026 (Digital Omnibus) propose de reporter l’échéance des obligations haut risque de l’Annexe III du 2 août 2026 au 2 décembre 2027 — mais ce report n’est pas encore définitivement acté. Piloter sa mise en conformité comme si l’échéance d’origine tenait reste la position la plus prudente, d’autant que les obligations déjà en vigueur (transparence, documentation) ne sont pas concernées par ce report.
Décision automatisée, biais algorithmique et intervention humaine
L’article 22 du RGPD encadre strictement les décisions individuelles fondées exclusivement sur un traitement automatisé : un rejet de candidature 100 % automatisé, sans intervention humaine réelle dans la décision finale, n’est pas conforme. La CNIL est particulièrement attentive aux outils qui déduisent des caractéristiques du candidat à partir de signaux indirects — analyse de la voix, de l’expression faciale en visioconférence — car ils exposent davantage au risque de discrimination algorithmique, un sujet où RGPD et AI Act se recoupent directement.
Sur le plan de la base légale, le recours à l’intérêt légitime pour un outil de scoring automatisé suppose une mise en balance documentée entre l’objectif poursuivi et l’atteinte potentielle aux droits des candidats — la même logique que celle déjà développée par la CNIL pour les traitements IA en général.
FAQ — RGPD et recrutement
Peut-on demander un extrait de casier judiciaire à tous les candidats ?
Non. La consultation d’un extrait de casier judiciaire relève de l’article 10 du RGPD et obéit à une interdiction de principe. Elle n’est possible que lorsqu’un texte spécifique le prévoit pour le poste concerné : professions de sécurité, contact avec des mineurs, ou certaines fonctions financières. En dehors de ces cas, l’exiger systématiquement constitue une pratique irrégulière.
Combien de temps peut-on conserver les données d’un candidat non retenu ?
La CNIL recommande une durée maximale de 2 ans à compter du dernier contact avec le candidat, à condition de l’en avoir informé. Au-delà, une conservation n’est possible que si le candidat a explicitement accepté d’intégrer un vivier de candidatures pour une durée définie.
Un outil de tri automatisé de CV est-il autorisé par le RGPD ?
Oui, mais il ne peut pas prendre seul la décision finale de rejet : l’article 22 du RGPD impose une intervention humaine réelle dans le processus de décision. L’outil doit également respecter les principes de transparence et de minimisation des données.
Un outil de tri de CV est-il concerné par l’AI Act ?
Oui. L’Annexe III, point 4(a) du règlement européen sur l’IA classe par défaut en haut risque les systèmes utilisés pour publier des offres ciblées, analyser et filtrer des candidatures, ou évaluer des candidats. Cette qualification s’applique indépendamment de la taille de l’entreprise qui déploie l’outil.
Le recrutement est-il vraiment une priorité de contrôle de la CNIL en 2026 ?
Oui, la CNIL l’a confirmé le 3 avril 2026. Les contrôles porteront sur les systèmes de décision automatisée, l’information des candidats et les durées de conservation — les trois thèmes développés dans son guide du recrutement de 2023, mis à jour en mai 2026.
🔎 Vous avez une question plus générale sur la conformité RGPD ou la cybersécurité ? Consultez notre FAQ générale.
En résumé
Le RGPD applicable au recrutement repose sur une collecte strictement limitée aux données nécessaires au poste, l’exclusion de principe de certaines catégories de données (santé, casier judiciaire hors exception légale), et une conservation maximale de 2 ans pour les candidats non retenus. La CNIL en a fait une priorité de contrôle pour 2026, avec un focus particulier sur les outils de décision automatisée. Ces outils, lorsqu’ils reposent sur l’IA, sont désormais également encadrés par l’AI Act, qui les classe en haut risque par défaut.
Sources
- Le guide du recrutement — CNIL
- Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives — CNIL, 3 avril 2026
- Annexe III — Systèmes d’IA à haut risque — Règlement (UE) 2024/1689
- Digital Omnibus AI Act : report 2027 et obligations à anticiper — MDP Data Protection
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
