Votre candidature était solide, vos diplômes correspondaient au poste, votre expérience collait à l’annonce, et pourtant la réponse est tombée en quarante-huit heures, polie et définitive, sans aucune explication. Ou bien vous êtes déjà salarié et vous découvrez que votre hiérarchie dispose d’un tableau de bord qui vous attribue une note d’engagement, un score de productivité ou un indicateur de risque de départ, calculé par un logiciel dont personne ne vous a jamais parlé. Ces situations ne relèvent plus de la prospective. Les outils d’intelligence artificielle qui trient les curriculum vitae, qui classent les candidats par ordre de compatibilité ou qui notent l’activité des salariés se sont installés dans les services des ressources humaines, et la Commission nationale de l’informatique et des libertés a placé le recrutement parmi ses thématiques prioritaires de contrôle pour 2026, en visant précisément les systèmes de prise de décision automatisée, l’information des candidats et les durées de conservation. Trois ans après la publication de son guide du recrutement de janvier 2023, l’autorité annonce qu’elle vérifiera le respect du règlement général sur la protection des données par ces acteurs, en priorité dans les grandes entreprises et les cabinets de recrutement.
La question qui se pose alors est simple et elle concerne des milliers de personnes. Un employeur ou un recruteur peut-il confier à un algorithme le pouvoir de vous écarter d’un emploi ou de juger votre travail, sans vous en informer, sans contrôle humain réel et sans possibilité de contester. La réponse du droit européen et du droit français est non, et elle s’appuie sur des textes précis, sur un arrêt majeur de la Cour de justice de l’Union européenne et sur une jurisprudence française qui n’hésite pas à suspendre les dispositifs déployés sans consultation des représentants du personnel. Cet article explique quels traitements sont interdits ou strictement encadrés, quels droits vous pouvez exercer dès aujourd’hui et par quelles voies obtenir la suspension du dispositif, l’intervention d’un humain et la réparation de votre préjudice.
I. Le tri algorithmique des candidats et la notation des salariés sont strictement encadrés
A. Votre candidature ne peut pas être éliminée par une machine sans garanties
Lorsqu’un logiciel analyse votre curriculum vitae, compare votre profil à celui des candidats retenus les années précédentes, vous attribue une note de compatibilité avec le poste ou décide que votre dossier ne figurera pas dans la liste des candidats auditionnés, il effectue un traitement de données personnelles au sens du règlement (UE) 2016/679 du 27 avril 2016. La Commission elle-même le rappelle dans son guide du recrutement, puisqu’elle y précise que toutes les opérations portant sur les données des candidats, de la collecte à la suppression, constituent des traitements soumis au règlement. Dès lors, chaque principe du règlement s’applique, à commencer par celui de l’article 5 qui exige que les données soient, je cite, adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Un outil qui aspire l’intégralité de votre présence en ligne, qui infère votre situation familiale, votre état de santé ou vos opinions à partir de vos réseaux sociaux, ou qui conserve des centaines de données sans rapport avec le poste, méconnaît ce principe de minimisation. La Commission l’a dit sans détour le 25 avril 2024 en mettant en demeure une société qui collectait de nombreuses données personnelles de candidats, comme le lieu de naissance, la nationalité ou la situation de famille, au motif que cette collecte était contraire au principe de minimisation. Le droit du travail français dit la même chose avec ses propres mots à l’article L1221-6 du code du travail, dont le texte en vigueur dispose que les informations demandées au candidat ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles, et que ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles.
Le verrou le plus puissant se trouve cependant à l’article 22 du règlement général sur la protection des données, qui pose un droit que trop peu de candidats connaissent. Son premier paragraphe énonce que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Un refus d’embauche produit à l’évidence un effet significatif sur l’existence d’une personne, et la Cour de justice de l’Union européenne a donné à ce texte une portée large dans son arrêt du 7 décembre 2023, SCHUFA, affaire C-634/21. Dans cette affaire, une société établissait de façon automatisée une valeur de probabilité de solvabilité à partir des données d’une personne, puis communiquait ce score à des tiers qui s’en servaient pour accorder ou refuser un contrat. La Cour a jugé que l’établissement automatisé d’une telle valeur de probabilité constitue une décision individuelle automatisée au sens de l’article 22 lorsque dépend de manière déterminante de cette valeur le fait qu’un tiers établisse, exécute ou mette fin à une relation contractuelle avec cette personne. Transposée au recrutement, cette solution change tout. Quand un éditeur de logiciel fournit à l’employeur un score de compatibilité ou une liste restreinte de candidats générée par l’algorithme, et que le recruteur se contente de valider ce résultat sans examen réel des dossiers écartés, c’est le score qui décide de manière déterminante, et le candidat fait l’objet d’une décision automatisée même si un humain a formellement cliqué sur le bouton de refus. Seule une intervention humaine réelle, qui consiste à examiner elle-même les dossiers et qui dispose du pouvoir de s’écarter du résultat de la machine, permet de sortir du champ de l’article 22. Une validation de pure forme ne suffit pas.
S’ajoutent à ce socle européen des obligations françaises d’information qui pèsent directement sur le recruteur. L’article L1221-8 du code du travail dispose que le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. Un candidat qui n’a jamais été informé de l’existence d’un logiciel de tri, de la logique qu’il applique ni des critères qu’il retient subit donc une double violation, celle du code du travail et celle des articles 13 et 14 du règlement européen qui imposent au responsable du traitement de fournir à la personne, au moment où les données sont obtenues, l’identité du responsable, les finalités et la base juridique du traitement, ainsi que l’existence de ses droits. Quant à la conservation de votre dossier après un refus, elle n’est pas libre. Le guide de la Commission consacré au recrutement impose au recruteur de définir en amont une durée de conservation cohérente et justifiée, ce qui exclut la conservation indéfinie des candidatures non retenues dans une base réutilisable sans information ni fondement. Si votre candidature rejetée en 2024 ressurgit dans un nouveau tri automatisé en 2026 sans que vous en ayez été averti, ce réemploi doit être contesté pied à pied.
B. Votre activité de salarié ne peut pas être notée et surveillée à votre insu
Une fois embauché, vous n’êtes pas livré sans défense aux tableaux de bord. Les logiciels dits d’engagement, de productivité ou de détection des talents qui agrègent vos courriels, vos temps de connexion, vos déplacements, vos évaluations et parfois vos échanges avec vos collègues pour produire un score individuel relèvent du même règlement européen, et ils se heurtent en outre à une interdiction claire du droit du travail. L’article L1222-4 du code du travail dispose qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. Un outil de suivi ou de notation déployé dans le dos des équipes, découvert par hasard à l’occasion d’un entretien d’évaluation ou d’une procédure disciplinaire, est donc illicite dans son principe même, et les informations qu’il a produites ne peuvent pas être utilisées contre le salarié. Ce principe général de proportionnalité irrigue tout le droit du travail. L’article L1121-1 du code du travail dispose que nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Un système de notation permanente des salariés doit donc passer ce test de proportionnalité, et un dispositif qui enregistre chaque frappe de clavier ou chaque déplacement pour produire un score individuel le rate presque par définition. À quoi s’ajoute la protection de la vie privée de l’article 9 du code civil, qui énonce que chacun a droit au respect de sa vie privée et permet au juge, y compris en référé en cas d’urgence, de prescrire toutes mesures propres à faire cesser l’atteinte. Cette règle vaut pour les dispositifs de contrôle de l’activité comme pour les traitements automatisés de gestion du personnel et les méthodes d’aide au recrutement interne, car l’article L2312-38 du code du travail organise en parallèle l’information collective. Son texte en vigueur prévoit que le comité social et économique est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi, qu’il est aussi informé, préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel, et qu’il est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. L’employeur qui déploie un logiciel de notation sans avoir loyalement informé chaque salarié concerné et sans avoir consulté le comité sur les dispositifs de contrôle manque ainsi à deux obligations distinctes, l’une individuelle et l’autre collective, et s’expose sur les deux terrains.
La justice française applique ces textes avec fermeté, comme le montre une ordonnance de référé du tribunal judiciaire de Paris du 16 janvier 2024, répertoire général 23/57300, rendue à propos du système dit d’engagement qu’une société d’édition de logiciels voulait imposer pour suivre et renseigner les activités de ses équipes commerciales. Le comité social et économique, soutenu par deux organisations syndicales, demandait la suspension du dispositif tant que l’information-consultation n’aurait pas eu lieu. Le juge des référés a ordonné à la société de convoquer son comité pour être informé et consulté sur ce système, au plus tard dans un délai d’un mois suivant la signification de la décision, en précisant que la mise en place de la plateforme devait être suspendue dans l’attente de la consultation à intervenir. Pour garantir l’exécution, il a assorti cette obligation d’une astreinte provisoire de 800 euros par jour de retard passé ce délai d’un mois, l’astreinte courant pendant une période de six mois au maximum, et il a condamné la société à verser au comité une provision de 1 500 euros à valoir sur la réparation de son préjudice, ainsi que 750 euros à chacune des organisations syndicales pour l’atteinte à l’intérêt collectif de la profession. Un salarié noté par un outil contestable n’est donc pas seul. Il peut alerter les élus, exiger la suspension du dispositif et s’appuyer sur une jurisprudence qui donne à la consultation un effet concret et chiffré.
Le règlement européen ajoute une troisième couche de protection souvent négligée par les employeurs pressés de s’équiper. L’article 35 du règlement impose au responsable du traitement d’effectuer, avant le traitement, une analyse de l’impact des opérations envisagées sur la protection des données, lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Un système de notation des salariés, un outil de recrutement fondé sur l’apprentissage automatique ou un dispositif de surveillance de l’activité entrent typiquement dans cette catégorie, en raison de l’asymétrie entre l’employeur et les personnes évaluées, du volume des données traitées et du risque de biais discriminatoires. L’absence d’analyse d’impact, ou une analyse bâclée qui ne mesure ni les biais ni les garanties, constitue une violation autonome que la Commission peut sanctionner et que le juge peut relever. De la même façon, le principe de protection dès la conception de l’article 25 et l’obligation de sécurité exigent que l’outil soit paramétré pour limiter la collecte, pour documenter sa logique et pour permettre l’exercice effectif des droits, faute de quoi c’est l’ensemble du dispositif qui repose sur une base fragile.
II. Contester la décision, exiger un humain et obtenir réparation
A. Exercer vos droits pas à pas, du dossier à la Commission
La première démarche consiste à écrire au responsable du traitement, c’est-à-dire en pratique à l’employeur ou à l’organisme qui a organisé le recrutement, en visant précisément les textes. Vous disposez d’un droit d’accès prévu à l’article 15 du règlement, dont le premier paragraphe reconnaît à la personne concernée le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’une série d’informations, parmi lesquelles les finalités du traitement, les catégories de données concernées, les destinataires, la durée de conservation envisagée et l’existence du droit de demander l’effacement ou de s’opposer au traitement. Concrètement, demandez la copie de votre dossier de candidature ou de votre dossier d’évaluation, la note ou le score qui vous a été attribué, les critères et la logique appliqués par l’outil, y compris l’importance respective accordée aux différents facteurs, ainsi que l’existence d’une intervention humaine et l’identité de la personne qui aurait réexaminé votre cas. Le responsable du traitement est tenu de vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition de vous avertir de cette prolongation et de ses motifs dans le délai initial d’un mois. Ce calendrier résulte de l’article 12 du règlement, et il interdit les fins de non-recevoir silencieuses. Si le responsable ne donne pas suite à votre demande, il doit vous informer sans tarder, et au plus tard dans un délai d’un mois, des motifs de son inaction ainsi que de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel.
Lorsque la réponse confirme qu’une décision automatisée a pesé sur votre sort, l’article 22 vous offre trois leviers indissociables. Son troisième paragraphe impose au responsable du traitement de mettre en oeuvre des mesures appropriées pour la sauvegarde de vos droits, et au moins du droit d’obtenir une intervention humaine de sa part, d’exprimer votre point de vue et de contester la décision. Exigez donc par écrit le réexamen de votre dossier par une personne physique, exposez les éléments que l’algorithme a ignorés ou mal interprétés, comme une reconversion, une expérience atypique ou un biais de données, et contestez formellement la décision initiale. Parallèlement, vous pouvez demander l’effacement des données traitées sans fondement, la rectification des informations inexactes qui ont alimenté le score et la limitation du traitement pendant l’examen de votre contestation. Si vous êtes salarié et que le dispositif de notation ou de contrôle n’a jamais été porté à votre connaissance, rappelez l’article L1222-4 du code du travail et demandez le retrait de la note, l’arrêt du dispositif à votre égard et la communication de l’analyse d’impact. Chaque courrier doit être conservé avec ses preuves de dépôt et de réception, car ces pièces feront la solidité de la suite.
En cas de refus, de réponse évasive ou d’absence de réponse à l’expiration du délai d’un mois, la plainte devant la Commission nationale de l’informatique et des libertés devient l’arme centrale, et le contexte de 2026 la rend particulièrement opportune. La Commission a annoncé qu’elle contrôlerait en priorité le recrutement, en se concentrant sur les systèmes de décision automatisée, l’information des candidats et les durées de conservation, et elle vise en premier lieu les grandes entreprises et les cabinets de recrutement qui traitent des volumes importants de candidatures. Une plainte documentée, qui joint l’offre d’emploi, le refus, les échanges avec le recruteur, la demande d’accès restée sans effet et tout élément établissant l’usage d’un outil automatisé, s’inscrit exactement dans cette priorité et maximise les chances d’instruction. Vous pouvez également signaler les faits au délégué à la protection des données de l’organisme s’il en a désigné un, et, si vous êtes salarié, saisir le comité social et économique pour qu’il exige l’information-consultation sur le fondement de l’article L2312-38, sur le modèle de l’affaire jugée à Paris en janvier 2024. La combinaison d’une plainte individuelle à la Commission et d’une action collective des élus oblige l’employeur à se justifier sur deux fronts à la fois.
B. Faire sanctionner l’employeur et chiffrer votre préjudice
L’employeur ou le recruteur qui persiste s’expose à un arsenal de sanctions graduées que votre avocat doit activer dans le bon ordre. La Commission peut d’abord le mettre en demeure de se conformer, comme elle l’a fait le 25 avril 2024 contre une société de recrutement qui collectait des données excessives, puis prononcer des injonctions et des amendes administratives dont les conditions générales sont fixées à l’article 83 du règlement, qui exige que les amendes soient dans chaque cas effectives, proportionnées et dissuasives. Ces sanctions administratives ne vous indemnisent pas directement, mais elles constatent la violation, elles contraignent l’organisme à corriger son dispositif et elles pèsent lourd dans la négociation ou devant le juge. Sur le terrain du droit du travail, le comité social et économique peut saisir le juge des référés pour obtenir la suspension du dispositif tant que la consultation n’a pas eu lieu, avec une astreinte journalière à la clé, sur le modèle de l’ordonnance parisienne de janvier 2024 qui a fixé l’astreinte provisoire à 800 euros par jour de retard pendant six mois au maximum. Un salarié sanctionné sur la foi d’une note produite par un outil jamais notifié peut en outre contester la sanction disciplinaire, voire le licenciement qui en découlerait, en excipant de l’illicéité du moyen de preuve et de la violation de l’article L1222-4.
Votre propre indemnisation repose sur l’article 82 du règlement, dont le premier paragraphe dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Ce texte couvre le préjudice moral, qui est souvent le principal dans ces affaires, comme la perte d’une chance d’être embauché, l’atteinte à la réputation professionnelle, l’angoisse d’être surveillé et noté en permanence ou le sentiment de dévalorisation provoqué par un score injuste. Le deuxième paragraphe du même article précise que tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation, tandis que le sous-traitant n’est tenu que s’il n’a pas respecté les obligations qui lui incombent spécifiquement ou s’il a agi en dehors des instructions licites du responsable ou contrairement à celles-ci. Cette répartition a une conséquence pratique majeure pour les litiges liés à l’intelligence artificielle. L’éditeur qui fournit le logiciel de tri ou de notation agit comme sous-traitant de l’employeur, et le contrat qui les lie doit encadrer les instructions, la sécurité, la transparence de la logique et l’assistance due pour répondre aux demandes des personnes. Si l’outil produit des décisions biaisées ou inexplicables, la responsabilité de l’employeur est engagée en premier lieu, et il lui appartient de se retourner contre son prestataire. C’est pourquoi les entreprises avisées auditent leurs contrats informatiques avant le contrôle de la Commission plutôt qu’après, avec l’aide d’un conseil qui connaît à la fois le règlement européen et le droit des contrats. En droit français, cette action en réparation s’articule avec le principe général de l’article 1240 du code civil, selon lequel tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. Pour approfondir l’encadrement contractuel de vos prestataires, vous pouvez consulter notre page consacrée aux contrats commerciaux et à la sécurisation des relations avec vos prestataires à Paris.
Pour chiffrer votre demande, rassemblez les bulletins de salaire perdus ou les revenus manqués pendant la période de recherche d’emploi prolongée par le refus injustifié, les frais exposés, les attestations de votre entourage sur votre état et tout élément médical si l’angoisse a nécessité un suivi. La perte de chance d’obtenir le poste, appréciée au regard de la solidité de votre candidature et du caractère déterminant du score dans le refus, guide l’évaluation du préjudice matériel. Devant le conseil de prud’hommes pour un litige salarial, devant le tribunal judiciaire pour une action en responsabilité contre un recruteur ou un cabinet, ou à l’appui d’une plainte devant la Commission, un dossier chiffré et daté fait toute la différence entre une violation constatée et une violation réparée.
Conclusion
Un algorithme peut aider à organiser des candidatures ou à éclairer une décision de gestion, mais il ne peut ni se substituer à l’appréciation humaine ni fonctionner dans l’ombre. Le droit européen vous reconnaît le droit de ne pas subir une décision exclusivement automatisée qui affecte votre vie professionnelle de manière significative, le droit d’en comprendre la logique, d’obtenir l’intervention d’une personne, d’exprimer votre point de vue et de contester. Le droit français ajoute l’exigence d’une information préalable de chaque candidat et de chaque salarié, la consultation des représentants du personnel avant tout dispositif de contrôle, et la pertinence stricte des informations collectées au regard du poste. La jurisprudence donne à ces principes des dents, de l’arrêt SCHUFA de la Cour de justice du 7 décembre 2023, qui qualifie de décision automatisée tout score dont dépend de manière déterminante une relation contractuelle, jusqu’à l’ordonnance du tribunal judiciaire de Paris du 16 janvier 2024, qui suspend un système de suivi des salariés et l’assortit d’une astreinte de 800 euros par jour. Et l’année 2026 marque un tournant, puisque la Commission a fait du recrutement une priorité de contrôle en visant précisément la décision automatisée. Si votre candidature a été écartée sans explication ou si votre travail est noté par une machine, ne laissez pas passer les délais. Demandez l’accès à votre dossier, exigez par écrit l’intervention humaine, saisissez le comité et la Commission, et faites chiffrer votre préjudice. Le droit des données personnelles n’est pas une abstraction, c’est l’instrument concret par lequel vous reprenez la main sur votre vie professionnelle.
Besoin d’un avis rapide sur votre dossier
Vous faites face à un refus de candidature ou à une notation automatisée dans le champ du numérique et des données personnelles et vous souhaitez un avis sur votre dossier. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique : 80 EUR TTC. Joignez le cabinet au 06 46 60 58 22 ou écrivez via la page formulaire de contact.