[{"@context":"https:\/\/schema.org\/","@type":"BlogPosting","@id":"https:\/\/mdp-data.com\/rgpd-recrutement-obligations-donnees-candidats-ia\/#BlogPosting","mainEntityOfPage":"https:\/\/mdp-data.com\/rgpd-recrutement-obligations-donnees-candidats-ia\/","headline":"RGPD et recrutement : obligations, donn\u00e9es candidats et intelligence artificielle","name":"RGPD et recrutement : obligations, donn\u00e9es candidats et intelligence artificielle","description":"\tLe recrutement est une priorit\u00e9 de contr\u00f4le CNIL 2026. Entre donn\u00e9es interdites, dur\u00e9es de conservation, outils de scoring automatis\u00e9 et nouvelles obligations de l'AI Act, voici ce que les recruteurs et DPO doivent ma\u00eetriser pour s\u00e9curiser leurs processus de s\u00e9lection.","datePublished":"2026-07-23","dateModified":"2026-07-22","author":{"@type":"Person","@id":"https:\/\/mdp-data.com\/author\/mdpdata\/#Person","name":"Christophe SAINT-PIERRE","url":"https:\/\/mdp-data.com\/author\/mdpdata\/","identifier":5,"image":{"@type":"ImageObject","@id":"https:\/\/secure.gravatar.com\/avatar\/dda2b7fb6ebd7d829cda1b55f29137a792e548278c72cf22d119baca5d18707f?s=96&d=mm&r=g","url":"https:\/\/secure.gravatar.com\/avatar\/dda2b7fb6ebd7d829cda1b55f29137a792e548278c72cf22d119baca5d18707f?s=96&d=mm&r=g","height":96,"width":96}},"publisher":{"@type":"Organization","name":"MDP DATA PROTECTION","logo":{"@type":"ImageObject","@id":"https:\/\/mdp-data.com\/wp-content\/uploads\/2025\/12\/2025-MDP-Logo.webp","url":"https:\/\/mdp-data.com\/wp-content\/uploads\/2025\/12\/2025-MDP-Logo.webp","width":600,"height":60}},"image":{"@type":"ImageObject","@id":"https:\/\/mdp-data.com\/wp-content\/uploads\/2026\/07\/rgpd_et_recrutement_cnil_ia_donnees_candidats.jpg","url":"https:\/\/mdp-data.com\/wp-content\/uploads\/2026\/07\/rgpd_et_recrutement_cnil_ia_donnees_candidats.jpg","height":1080,"width":1920},"url":"https:\/\/mdp-data.com\/rgpd-recrutement-obligations-donnees-candidats-ia\/","about":["RGPD"],"wordCount":1841,"keywords":["CNIL","Conformit\u00e9 RGPD","Discrimination algorithmique","Donn\u00e9es candidats","DPO","Dur\u00e9e de conservation","RGPD recrutement"],"articleBody":"Le recrutement figure parmi les priorit\u00e9s de contr\u00f4le affich\u00e9es par la CNIL pour 2026. Chaque candidature trait\u00e9e, chaque outil de tri automatis\u00e9, chaque donn\u00e9e conserv\u00e9e trop longtemps constitue un traitement de donn\u00e9es personnelles \u00e0 part enti\u00e8re \u2014 avec des r\u00e8gles pr\u00e9cises sur ce qui peut \u00eatre collect\u00e9, combien de temps, et selon quelles modalit\u00e9s lorsque l’intelligence artificielle intervient dans la s\u00e9lection.SommaireToggleLe recrutement, un traitement de donn\u00e9es personnelles \u00e0 encadrerQuelles donn\u00e9es collecter \u2014 et lesquelles proscrirePriorit\u00e9 de contr\u00f4le CNIL 2026 : ce qui va \u00eatre v\u00e9rifi\u00e9Dur\u00e9es de conservation des donn\u00e9es candidatsIA et recrutement : ce que dit l’AI ActD\u00e9cision automatis\u00e9e, biais algorithmique et intervention humaineFAQ \u2014 RGPD et recrutementEn r\u00e9sum\u00e9SourcesPour aller plus loinLes solutions MDP Data ProtectionNotre M\u00e9thode : le Continuous Compliance Operating System – CCOS\u00c0 propos de l’auteurLe recrutement, un traitement de donn\u00e9es personnelles \u00e0 encadrerToute op\u00e9ration portant sur les donn\u00e9es d’un candidat \u2014 collecte, organisation, consultation, conservation, suppression \u2014 constitue un traitement au sens du RGPD, quelle que soit la taille de l’organisation qui recrute. Ce traitement doit reposer sur l’une des bases l\u00e9gales pr\u00e9vues par le r\u00e8glement, choisie en amont et non a posteriori, ce choix ayant des cons\u00e9quences directes sur les droits dont b\u00e9n\u00e9ficient les candidats.Le principe de minimisation s’applique strictement : seules les donn\u00e9es ad\u00e9quates, pertinentes et strictement n\u00e9cessaires \u00e0 la s\u00e9lection pour le poste concern\u00e9 peuvent \u00eatre collect\u00e9es. Cette exigence rejoint celle qui structure l’ensemble des traitements RH, du recrutement jusqu’\u00e0 la gestion administrative du personnel : chaque donn\u00e9e doit pouvoir se justifier par une finalit\u00e9 pr\u00e9cise.Quelles donn\u00e9es collecter \u2014 et lesquelles proscrireCertaines cat\u00e9gories de donn\u00e9es sont, par principe, interdites en phase de recrutement, sauf exception l\u00e9gale pr\u00e9cise et strictement encadr\u00e9e :Donn\u00e9es de sant\u00e9, opinions politiques, religieuses ou syndicales : leur collecte est en principe prohib\u00e9e. Une exception peut exister, par exemple pour l’am\u00e9nagement d’un poste destin\u00e9 \u00e0 un travailleur handicap\u00e9 \u2014 mais alors la donn\u00e9e est recueillie \u00e0 cette seule fin, jamais pour d\u00e9partager des candidatures.Extrait de casier judiciaire : rel\u00e8ve de l’article 10 du RGPD et ob\u00e9it \u00e0 une interdiction de principe. Un recruteur ne peut l’exiger que lorsqu’un texte sp\u00e9cifique le pr\u00e9voit pour le poste concern\u00e9 (professions de s\u00e9curit\u00e9, contact avec des mineurs, certaines fonctions financi\u00e8res). Demander syst\u00e9matiquement le bulletin n\u00b03 \u00e0 tous les candidats, en dehors de ces cas, constitue une pratique irr\u00e9guli\u00e8re.Donn\u00e9es issues des r\u00e9seaux sociaux : leur collecte est possible, mais doit pr\u00e9senter un lien direct et n\u00e9cessaire avec le poste \u00e0 pourvoir, et le candidat doit en \u00eatre inform\u00e9.Priorit\u00e9 de contr\u00f4le CNIL 2026 : ce qui va \u00eatre v\u00e9rifi\u00e9Le 3 avril 2026, la CNIL a confirm\u00e9 que le recrutement figure parmi ses th\u00e9matiques de contr\u00f4le prioritaires pour l’ann\u00e9e, trois ans apr\u00e8s la publication de son guide du recrutement (19 fiches, janvier 2023, mise \u00e0 jour en mai 2026 pour int\u00e9grer les d\u00e9marches de contr\u00f4le de l’honorabilit\u00e9). Les contr\u00f4les se concentreront sur trois axes pr\u00e9cis :Les syst\u00e8mes de prise de d\u00e9cision automatis\u00e9e utilis\u00e9s pour trier ou noter les candidatures.La qualit\u00e9 de l’information d\u00e9livr\u00e9e aux candidats sur l’usage de leurs donn\u00e9es.Le respect des dur\u00e9es de conservation annonc\u00e9es.Ces contr\u00f4les ciblent en priorit\u00e9 les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures qu’ils traitent \u2014 mais les obligations sous-jacentes s’appliquent \u00e0 toute organisation, quelle que soit sa taille.Dur\u00e9es de conservation des donn\u00e9es candidatsPour un candidat non retenu, la CNIL recommande une conservation maximale de 2 ans \u00e0 compter du dernier contact, \u00e0 condition d’en avoir inform\u00e9 le candidat. Pass\u00e9 ce d\u00e9lai, les donn\u00e9es doivent \u00eatre supprim\u00e9es, sauf si le candidat a explicitement accept\u00e9 d’int\u00e9grer un vivier de candidatures pour une dur\u00e9e d\u00e9finie. Cette r\u00e8gle s’inscrit dans le cadre plus large du r\u00e9f\u00e9rentiel CNIL sur les dur\u00e9es de conservation RH, publi\u00e9 en avril 2026, qui couvre l’ensemble du cycle de vie des donn\u00e9es du personnel.IA et recrutement : ce que dit l’AI ActLes outils qui trient, notent ou pr\u00e9s\u00e9lectionnent automatiquement les candidatures ne rel\u00e8vent pas seulement du RGPD. L’Annexe III, point 4(a) du r\u00e8glement europ\u00e9en sur l’intelligence artificielle classe explicitement en haut risque les syst\u00e8mes d’IA destin\u00e9s \u00e0 publier des offres d’emploi cibl\u00e9es, analyser et filtrer des candidatures, ou \u00e9valuer des candidats lors d’entretiens ou d’\u00e9preuves. Cette qualification s’applique par d\u00e9faut, ind\u00e9pendamment de l’intention affich\u00e9e de l’outil.Sur le calendrier, un accord politique provisoire du 7 mai 2026 (Digital Omnibus) propose de reporter l’\u00e9ch\u00e9ance des obligations haut risque de l’Annexe III du 2 ao\u00fbt 2026 au 2 d\u00e9cembre 2027 \u2014 mais ce report n’est pas encore d\u00e9finitivement act\u00e9. Piloter sa mise en conformit\u00e9 comme si l’\u00e9ch\u00e9ance d’origine tenait reste la position la plus prudente, d’autant que les obligations d\u00e9j\u00e0 en vigueur (transparence, documentation) ne sont pas concern\u00e9es par ce report.D\u00e9cision automatis\u00e9e, biais algorithmique et intervention humaineL’article 22 du RGPD encadre strictement les d\u00e9cisions individuelles fond\u00e9es exclusivement sur un traitement automatis\u00e9 : un rejet de candidature 100 % automatis\u00e9, sans intervention humaine r\u00e9elle dans la d\u00e9cision finale, n’est pas conforme. La CNIL est particuli\u00e8rement attentive aux outils qui d\u00e9duisent des caract\u00e9ristiques du candidat \u00e0 partir de signaux indirects \u2014 analyse de la voix, de l’expression faciale en visioconf\u00e9rence \u2014 car ils exposent davantage au risque de discrimination algorithmique, un sujet o\u00f9 RGPD et AI Act se recoupent directement.Sur le plan de la base l\u00e9gale, le recours \u00e0 l’int\u00e9r\u00eat l\u00e9gitime pour un outil de scoring automatis\u00e9 suppose une mise en balance document\u00e9e entre l’objectif poursuivi et l’atteinte potentielle aux droits des candidats \u2014 la m\u00eame logique que celle d\u00e9j\u00e0 d\u00e9velopp\u00e9e par la CNIL pour les traitements IA en g\u00e9n\u00e9ral.Votre processus de recrutement est-il pr\u00eat pour les contr\u00f4les CNIL 2026 ? \u00c9changeons sur votre situation !FAQ \u2014 RGPD et recrutement  Peut-on demander un extrait de casier judiciaire \u00e0 tous les candidats ?Non. La consultation d’un extrait de casier judiciaire rel\u00e8ve de l’article 10 du RGPD et ob\u00e9it \u00e0 une interdiction de principe. Elle n’est possible que lorsqu’un texte sp\u00e9cifique le pr\u00e9voit pour le poste concern\u00e9 : professions de s\u00e9curit\u00e9, contact avec des mineurs, ou certaines fonctions financi\u00e8res. En dehors de ces cas, l’exiger syst\u00e9matiquement constitue une pratique irr\u00e9guli\u00e8re.  Combien de temps peut-on conserver les donn\u00e9es d’un candidat non retenu ?La CNIL recommande une dur\u00e9e maximale de 2 ans \u00e0 compter du dernier contact avec le candidat, \u00e0 condition de l’en avoir inform\u00e9. Au-del\u00e0, une conservation n’est possible que si le candidat a explicitement accept\u00e9 d’int\u00e9grer un vivier de candidatures pour une dur\u00e9e d\u00e9finie.  Un outil de tri automatis\u00e9 de CV est-il autoris\u00e9 par le RGPD ?Oui, mais il ne peut pas prendre seul la d\u00e9cision finale de rejet : l’article 22 du RGPD impose une intervention humaine r\u00e9elle dans le processus de d\u00e9cision. L’outil doit \u00e9galement respecter les principes de transparence et de minimisation des donn\u00e9es.  Un outil de tri de CV est-il concern\u00e9 par l’AI Act ?Oui. L’Annexe III, point 4(a) du r\u00e8glement europ\u00e9en sur l’IA classe par d\u00e9faut en haut risque les syst\u00e8mes utilis\u00e9s pour publier des offres cibl\u00e9es, analyser et filtrer des candidatures, ou \u00e9valuer des candidats. Cette qualification s’applique ind\u00e9pendamment de la taille de l’entreprise qui d\u00e9ploie l’outil.  Le recrutement est-il vraiment une priorit\u00e9 de contr\u00f4le de la CNIL en 2026 ?Oui, la CNIL l’a confirm\u00e9 le 3 avril 2026. Les contr\u00f4les porteront sur les syst\u00e8mes de d\u00e9cision automatis\u00e9e, l’information des candidats et les dur\u00e9es de conservation \u2014 les trois th\u00e8mes d\u00e9velopp\u00e9s dans son guide du recrutement de 2023, mis \u00e0 jour en mai 2026.\ud83d\udd0e Vous avez une question plus g\u00e9n\u00e9rale sur la conformit\u00e9 RGPD ou la cybers\u00e9curit\u00e9 ? Consultez notre FAQ g\u00e9n\u00e9rale.En r\u00e9sum\u00e9Le RGPD applicable au recrutement repose sur une collecte strictement limit\u00e9e aux donn\u00e9es n\u00e9cessaires au poste, l’exclusion de principe de certaines cat\u00e9gories de donn\u00e9es (sant\u00e9, casier judiciaire hors exception l\u00e9gale), et une conservation maximale de 2 ans pour les candidats non retenus. La CNIL en a fait une priorit\u00e9 de contr\u00f4le pour 2026, avec un focus particulier sur les outils de d\u00e9cision automatis\u00e9e. Ces outils, lorsqu’ils reposent sur l’IA, sont d\u00e9sormais \u00e9galement encadr\u00e9s par l’AI Act, qui les classe en haut risque par d\u00e9faut.SourcesLe guide du recrutement \u2014 CNILLes contr\u00f4les en 2026 : recrutement, r\u00e9pertoire \u00e9lectoral unique et f\u00e9d\u00e9rations sportives \u2014 CNIL, 3 avril 2026Annexe III \u2014 Syst\u00e8mes d’IA \u00e0 haut risque \u2014 R\u00e8glement (UE) 2024\/1689Digital Omnibus AI Act : report 2027 et obligations \u00e0 anticiper \u2014 MDP Data ProtectionPour aller plus loinCNIL -  Nouvelle \u00e9dition : Guide 2024 de la s\u00e9curit\u00e9 des donn\u00e9es personnellesMDP Data Protection - Logiciel RGPD : comment choisir la solution id\u00e9ale pour votre entrepriseLes solutions MDP Data ProtectionMDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformit\u00e9 multi-r\u00e9glementaire (RGPD, NIS2 et IA Act...), avec une approche op\u00e9rationnelle et \u00e9volutive.SimplyRGPD : Pilotage de votre conformit\u00e9 au quotidien.MDP CAMPUS : Notre parcours de sensibilisation en vid\u00e9os p\u00e9dagogiques de 3 \u00e0 7 minutes.MDP Diagnostic : Diagnostic instantan\u00e9 de votre niveau de conformit\u00e9.Notre M\u00e9thode : le Continuous Compliance Operating System - CCOSEt si votre conformit\u00e9 vivait en continu, au lieu d'\u00eatre un livrable de plus ?D\u00e9couvrir la m\u00e9thode CCOS\u00c0 propos de l’auteur Christophe SAINT-PIERRE  \u2013 Fort de plus de 20 ans d\u2019exp\u00e9rience, Christophe accompagne les organisations dans leur mise en conformit\u00e9 r\u00e9glementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision strat\u00e9gique et approche op\u00e9rationnelle. Au sein de MDP Data Protection, il pilote une d\u00e9marche ax\u00e9e sur l\u2019excellence, l\u2019innovation et la valorisation r\u00e9glementaire. Son objectif : transformer les contraintes l\u00e9gales en opportunit\u00e9s business pour ses clients."},{"@context":"https:\/\/schema.org\/","@type":"BreadcrumbList","itemListElement":[{"@type":"ListItem","position":1,"name":"RGPD et recrutement : obligations, donn\u00e9es candidats et intelligence artificielle","item":"https:\/\/mdp-data.com\/rgpd-recrutement-obligations-donnees-candidats-ia\/#breadcrumbitem"}]}]