Recommandation officielle · 2023
Guide Recrutement : les fondamentaux en matière de protection des données personnelles et questions-réponses
Repères de la CNIL pour les recruteurs : ne collecter que des données adéquates, pertinentes et strictement nécessaires ; fixer à l’avance une durée de conservation (repère : deux ans après le dernier contact pour un vivier, avec l’accord du candidat) ; décisions de tri entièrement automatisées en principe interdites ; données sensibles interdites sauf exceptions ; recours au Défenseur des droits en cas de discrimination.
La fiche
- Niveau de preuve
- Texte officiel
- Éditeur
- CNIL
- Publication
- 30 janvier 2023
- Type
- Recommandation officielle · Guide d’une autorité de protection des données (19 fiches)
- Langue
- français
- Lecture
- PDF lu pour les fiches 5 (données collectées), 9 (durées de conservation), 13 (logiciels de tri et décisions automatisées), 17 (données potentiellement discriminantes, fiche élaborée avec le Défenseur des droits) et 19 (données sensibles), le 24 octobre 2026
- Droits
- Publication d’une autorité publique : citations courtes (15 mots au plus) et paraphrases uniquement ; consulter la source pour le texte complet.
Limites
Guide destiné aux recruteurs (côté employeur) : Tafio, outil côté candidat, transpose ces repères par analogie. Les durées sont des points de repère dont un recruteur peut s’écarter en le justifiant. La page de présentation de ce guide figure dans l’ancien registre sous l’identifiant R09.
Extraits (11)
Fiche 5, p. 30, « L’essentiel à retenir »
« seules des données adéquates, pertinentes et strictement nécessaires à la sélection du candidat »
Un recruteur ne peut collecter que les données utiles et strictement nécessaires pour choisir un candidat à un poste donné.
Fiche 5, p. 30, « Quelles sont les données qu’un recruteur peut demander à un candidat ? »
« il doit donc écarter toute question ne relevant pas du contexte professionnel »
Le recruteur doit renoncer à toute question sans rapport avec le contexte professionnel (famille, projet d’enfant, mensurations…).
Fiche 5, p. 31, données sensibles
« Même l’accord exprès du candidat ne saurait, à lui seul, justifier »
Même avec l’accord du candidat, un recruteur ne peut pas demander ni garder des données sensibles sans lien direct et nécessaire avec le poste.
Fiche 9, p. 49, « L’essentiel à retenir »
« ne peuvent pas être conservées indéfiniment par le recruteur »
Les informations d’une candidature ne peuvent pas être gardées sans limite : la durée doit être fixée à l’avance et justifiée par le but poursuivi.
Fiche 9, p. 52, tableau « Pour résumer »
« ne devrait pas dépasser deux ans à compter du dernier contact »
Avec l’accord du candidat non retenu, la CNIL recommande de ne pas conserver son dossier plus de deux ans après le dernier contact (trois mois sans accord, pour lui expliquer le refus).
Fiche 13, p. 69, « L’essentiel à retenir »
« de tels procédés sont en principe interdits par le RGPD »
Les logiciels qui trient ou évaluent les candidatures au point de prendre une décision entièrement automatisée sont en principe interdits, sauf cas exceptionnels encadrés.
Fiche 13, p. 70, effets significatifs d’une décision
« devra en général être considérée comme l’affectant de manière importante »
Être écarté d’un recrutement par une décision uniquement automatisée est en général considéré comme un effet significatif pour le candidat.
Fiche 17, p. 88, encadré « Attention »
« il peut saisir le Défenseur des droits »
Un candidat qui pense avoir été discriminé peut saisir le Défenseur des droits ou la juridiction compétente ; la CNIL n’est pas compétente pour qualifier une discrimination.
Fiche 17, p. 89, encadré « Attention » sur les caractéristiques discriminatoires
Le guide liste les critères de discrimination : origine, sexe, orientation sexuelle, identité de genre, handicap, âge, apparence physique, religion, opinions, état de santé, grossesse, situation de famille, nationalité, lieu de résidence, entre autres.
Fiche 19, p. 95, « L’essentiel à retenir »
« est interdit, sauf exceptions expressément visées par le RGPD »
Le traitement des données sensibles d’un candidat (santé, origine, religion…) est interdit, sauf exceptions prévues par le RGPD et nécessité stricte pour le poste.
Fiche 5, p. 31, après l’encadré « Attention »
« aucune forme de discrimination liée à la collecte des informations »
La collecte d’informations ne doit donner lieu à aucune discrimination, par exemple liée à l’âge ou à l’apparence physique.
Les conseils qui s’appuient sur cette source (3)
- Texte officiel
À savoir : un recruteur ne peut pas garder votre candidature indéfiniment. La CNIL lui recommande de conserver le dossier d’un candidat non retenu au plus trois mois pour lui expliquer le refus, et, avec son accord, au plus deux ans après le dernier contact pour lui proposer d’autres postes.
- Confidentialité
privacy.retention
- Confidentialité
- Texte officiel
À savoir : en France, un recruteur ne peut vous demander que des informations ayant un lien direct et nécessaire avec le poste ou avec l’évaluation de vos aptitudes professionnelles, et doit vous informer à l’avance des méthodes d’évaluation utilisées. Vous devez répondre de bonne foi : Tafio ne vous aidera jamais à tromper un recruteur, mais ne vous pousse pas non plus à mettre dans vos documents des informations sans lien avec le poste (santé, famille, loisirs…).
- Confidentialité
privacy.recruiter_info_limits
- Confidentialité
- Texte officiel
Nul ne peut être écarté d’un recrutement en raison de son origine, de son sexe, de son âge, de sa situation de famille, de son apparence physique, de son nom, de son lieu de résidence, de son état de santé ou d’un autre critère interdit par la loi. Tafio ne vous demande pas ces informations, ne les déduit pas et ne vous classe pas. Si vous pensez avoir été discriminé·e, vous pouvez saisir le Défenseur des droits ou le conseil de prud’hommes.
- Confidentialité
privacy.non_discrimination
- Confidentialité