Vous n’avez jamais postulé auprès d’une entreprise et pourtant son service des ressources humaines vous appelle pour un poste, cite votre expérience au mot près et vous propose un entretien. En remontant le fil, vous découvrez qu’un cabinet de recrutement, une plateforme d’intermédiation ou un apporteur d’affaires a transmis votre curriculum vitae, votre lettre de motivation et parfois vos coordonnées personnelles à plusieurs employeurs potentiels, sans vous en avertir et sans vous demander votre accord. Cette circulation discrète de votre dossier de candidature n’est pas un simple usage professionnel : elle constitue un traitement de données personnelles soumis au règlement général sur la protection des données, au code du travail et au contrôle de la Commission nationale de l’informatique et des libertés. Face à cette diffusion, vous disposez de droits précis : savoir qui détient votre dossier, sur quelle base juridique il a été transmis, exiger sa suppression, vous opposer à toute nouvelle transmission, saisir la Commission nationale de l’informatique et des libertés et demander réparation devant le juge. Cet article décrit la marche à suivre, les textes applicables et les preuves à rassembler, à jour en 2026.
I. Identifier qui diffuse votre dossier de candidature et sur quelle base
A. Reconstituer la chaîne de transmission de votre curriculum vitae
Le premier réflexe consiste à reconstituer le parcours de votre dossier. Un curriculum vitae déposé sur une plateforme d’emploi, confié à un cabinet de recrutement ou envoyé en réponse à une annonce peut être communiqué à des entreprises clientes du cabinet, intégré à une base partagée entre plusieurs enseignes d’un même groupe, ou revendu à des employeurs par un intermédiaire. Chaque transmission constitue une communication de données personnelles à un destinataire distinct, qui doit pouvoir être expliquée. Demandez par écrit à l’entreprise qui vous a contacté d’où elle tient vos coordonnées : nom de l’intermédiaire, date de réception, poste visé à l’origine. Adressez ensuite au cabinet ou à la plateforme une demande d’accès à vos données : catégories de données détenues, destinataires auxquels elles ont été communiquées, durée de conservation prévue et source lorsque les données n’ont pas été collectées auprès de vous. Conservez chaque message, chaque accusé de réception et chaque réponse : ces pièces établiront la chaîne des transmissions et les manquements éventuels à l’obligation d’information. Vérifiez aussi vos propres traces : conditions générales acceptées lors du dépôt de votre candidature, cases cochées ou non, messages électroniques du cabinet. Un accord donné pour un poste précis ne vaut pas accord pour une diffusion large à des employeurs indéterminés. Si vous retrouvez votre profil sur un site d’offres d’emploi ou si plusieurs entreprises inconnues vous démarchent la même semaine, notez les dates, les noms et les postes proposés : cette chronologie servira de preuve de la diffusion.
Restez vigilant sur un dernier mécanisme : la mise en visibilité de votre profil dans une cvthèque consultable par des employeurs abonnés. Certaines plateformes activent par défaut une option qui rend votre curriculum vitae accessible à des centaines d’entreprises, parfois indexé par les moteurs de recherche. Vérifiez vos paramètres de confidentialité, désactivez toute visibilité publique et demandez la suppression de votre profil de la base consultable, en distinguant la suppression de la visibilité et l’effacement complet de vos données. Une plateforme qui maintient votre dossier accessible après votre demande d’effacement, ou qui le réactive à l’occasion d’une mise à jour de ses conditions générales sans recueillir à nouveau votre accord, manque à ses obligations. Capturez vos paramètres avant et après modification : ces copies d’écran datées prouvent l’état de la visibilité et la date de votre opposition.
Un cas fréquent mérite une attention particulière : la mutualisation de votre dossier au sein d’un groupe de sociétés ou d’un réseau d’enseignes. Vous postulez auprès d’une marque et votre curriculum vitae devient accessible aux recruteurs de toutes les filiales, parfois dans plusieurs pays, sans que personne ne vous ait indiqué ces destinataires. Or chaque société du groupe qui utilise votre dossier pour ses propres recrutements agit comme responsable distinct et doit disposer de sa propre base légale et vous informer. La mention vague d’un partage possible avec nos partenaires dans une politique de confidentialité ne suffit pas : vous devez pouvoir connaître les catégories de destinataires avant la transmission, et seules des données adéquates, pertinentes et limitées à ce qui est nécessaire peuvent circuler. Surveillez aussi le contenu même de ce qui circule : photographie, date de naissance, situation familiale, adresse précise ou données de santé évoquées dans un entretien n’ont pas à être transmis à des employeurs tiers quand ils sont sans lien direct et nécessaire avec le poste. Quand le cabinet transmet l’intégralité de votre dossier, y compris des informations que l’employeur destinataire n’aurait jamais pu vous demander directement, la violation est double : diffusion sans base et collecte excessive. Signalez ces éléments dans vos demandes écrites, car ils aggravent le manquement et justifient une réparation plus substantielle.
B. Une diffusion à des tiers n’est licite qu’informée et fondée sur une base légale
La diffusion de votre dossier de candidature à des employeurs tiers doit reposer sur l’une des bases légales prévues par le règlement général sur la protection des données. En pratique, les organismes invoquent le consentement ou l’intérêt légitime. Le consentement n’est valable que s’il est libre, spécifique, éclairé et univoque : accepter d’être recontacté pour des offres similaires ne couvre pas la transmission de votre dossier complet à des dizaines d’entreprises non identifiées. L’intérêt légitime suppose un équilibre réel avec vos droits, et il ne dispense jamais d’informer. Lorsque les données n’ont pas été collectées auprès de vous, comme c’est le cas de l’employeur qui reçoit votre curriculum vitae d’un cabinet, le responsable du traitement doit vous fournir l’identité et les coordonnées du responsable du traitement, les finalités et la base juridique, les catégories de données, les destinataires et la source des données. Cette information doit intervenir dans un délai raisonnable après l’obtention des données, sans dépasser un mois, et au plus tard lors de la première communication avec vous ou de la première transmission à un autre destinataire, selon l’article 14 du RGPD. Quand le cabinet collecte directement votre candidature, il doit vous indiquer dès la collecte la durée de conservation ou les critères utilisés pour la déterminer, ainsi que l’existence de vos droits d’accès, d’effacement, d’opposition et de réclamation (article 13 du RGPD). Le droit du travail renforce cette exigence : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles », selon l’article L. 1221-6 du code du travail. La transmission de votre dossier à des employeurs sans rapport avec le poste visé rompt ce lien direct et nécessaire. De même, « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard », d’après l’article L. 1221-8 du code du travail. Une méthode qui consiste à diffuser votre dossier à des tiers sans vous en avertir méconnaît cette information préalable. La diffusion de votre dossier touche aussi au respect de votre vie privée : « Chacun a droit au respect de sa vie privée », et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence. Quand la transmission véhicule votre photographie, votre âge, votre adresse ou votre situation familiale vers des employeurs qui n’avaient pas à en connaître, elle expose en outre à des tris prohibés : « Aucune personne ne peut être écartée d’une procédure de recrutement » en raison de critères tels que l’origine, le sexe, l’âge, la situation de famille, l’apparence physique ou le lieu de résidence. Rappelez ces deux fondements dans vos courriers : ils montrent que la diffusion illicite ne viole pas seulement le règlement européen, mais aussi les protections françaises de la personne et de l’égal accès à l’emploi, déjà rappelées par l’article L. 1221-6 du code du travail sur le lien direct et nécessaire avec le poste.
Sur la conservation, la Commission nationale de l’informatique et des libertés indique : la Commission nationale de l’informatique et des libertés retient un repère de deux ans après le dernier contact avec le recruteur, prolongeable uniquement avec votre accord formel, à condition de vous en avoir informé Passé ce délai, ou sans accord pour une conservation plus longue, le maintien de votre dossier en base et sa diffusion deviennent fautifs. Le principe de limitation de la conservation l’impose : les données doivent être ne conservées sous forme identifiante que pendant la durée nécessaire aux finalités, selon l’article 5 du RGPD. La presse spécialisée de conformité le confirme : deux ans n’est pas une durée légale universelle, il faut distinguer le recrutement en cours, le vivier pour de futures offres et l’archive probatoire, comme l’explique l’analyse de DonnéesPersonnelles.fr mise à jour le 27 septembre 2026 sur la conservation des curriculum vitae. Retenez l’essentiel : une diffusion à des tiers sans information, sans base légale identifiable ou au-delà de la durée nécessaire constitue une violation que vous pouvez faire sanctionner.
II. Stopper la diffusion, obtenir l’effacement et être indemnisé
A. Les demandes écrites, les preuves et les délais de réponse
Agissez par écrit, en recommandé avec accusé de réception ou par courrier électronique avec preuve de dépôt, auprès de chaque acteur : le cabinet ou la plateforme à l’origine de la diffusion, et chaque employeur destinataire. Formulez des demandes distinctes pour chacun de vos droits. Demandez d’abord l’accès à l’ensemble de votre dossier : curriculum vitae, lettre, notes d’évaluation, enregistrements éventuels, liste des destinataires et dates de transmission. Exigez ensuite l’effacement de vos données : l’article 17 du RGPD ouvre le droit d’obtenir l’effacement dans les meilleurs délais et impose au responsable d’effacer dans les mêmes délais. Ce droit joue notamment quand les données ne sont plus nécessaires au regard des finalités, quand vous retirez votre consentement et qu’aucun autre fondement ne justifie le traitement, ou quand vous vous opposez au traitement sans motif légitime impérieux contraire. Exercez en parallèle votre droit d’opposition : l’article 21 du RGPD permet de s’opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur l’intérêt légitime. Une fois l’opposition formulée, le cabinet ne peut poursuivre la diffusion qu’en démontrant des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou pour la constatation, l’exercice ou la défense de droits en justice. Demandez enfin que chaque destinataire de votre dossier soit informé de l’effacement ou de la limitation, car le responsable du traitement doit notifier ces mesures à chaque destinataire auquel les données ont été communiquées, sauf impossibilité ou efforts disproportionnés (article 19 du RGPD). Fixez un délai de réponse d’un mois, qui correspond à l’obligation légale : le responsable du traitement doit répondre sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, selon l’article 12 du RGPD. S’il ne donne pas suite, il doit vous informer sans tarder, et au plus tard dans un délai d’un mois, des motifs de son inaction ainsi que de la possibilité de saisir l’autorité de contrôle et le juge. Constituez dès l’ouverture un dossier de preuves : captures des offres et des messages, relevés d’appels des entreprises inconnues, copies de vos demandes et des réponses reçues, conditions générales de la plateforme, preuve de l’absence d’information sur la diffusion. Si le cabinet prétend que vous aviez consenti, c’est à lui de démontrer ce consentement, et un consentement noyé dans des conditions générales ou pré-coché ne satisfait pas aux exigences. Si l’employeur destinataire affirme avoir reçu votre dossier dans le cadre d’un partenariat, exigez la copie du contrat qui encadre cette transmission et vérifiez qu’il prévoit les instructions documentées et les garanties du traitement. Quand la diffusion se poursuit malgré votre opposition, chaque nouvel appel d’un employeur inconnu devient une pièce supplémentaire : notez-le avec sa date. En cas de refus persistant, de réponse incomplète ou d’absence de réponse à l’issue du délai d’un mois, passez à l’étape suivante sans attendre : la plainte devant la Commission nationale de l’informatique et des libertés et, si votre préjudice le justifie, l’action en justice.
Précisez dans chaque courrier la liste exacte des mesures attendues : communication de la source et des destinataires avec leurs dates, suppression de votre dossier dans la base active et dans la candidathèque, confirmation écrite de l’effacement, information de chaque destinataire et engagement de ne plus transmettre. Quand le cabinet invoque un intérêt légitime, exigez l’exposé écrit de la mise en balance qu’il prétend avoir réalisée et contestez-la point par point : absence de lien avec le poste d’origine, nombre de destinataires, ancienneté du dossier, démarches répétées malgré votre situation. Quand il invoque votre consentement, exigez la preuve du recueil : date, support, formulation exacte, identité des destinataires annoncés et finalités décrites. Un consentement qui ne désignait ni les entreprises destinataires ni l’étendue de la diffusion ne couvre pas la transmission litigieuse, et vous pouvez le retirer à tout moment, le retrait valant pour l’avenir sans rétroactivité sur le passé. Si l’entreprise destinataire vous oppose qu’elle a simplement acheté un fichier de profils, rappelez-lui qu’en recevant des données qui ne proviennent pas de vous, elle devient elle-même responsable de l’information due dans le mois et de la vérification de la base légale : l’acheteur d’un fichier illicite ne peut se retrancher derrière son vendeur. Demandez-lui d’où elle tient le fichier, à quelle date et avec quelles garanties contractuelles, et conservez sa réponse ou son silence comme preuve.
B. La plainte devant la Commission nationale de l’informatique et des libertés, le recours au juge et la réparation
La plainte devant la Commission nationale de l’informatique et des libertés constitue la voie naturelle quand la diffusion persiste ou quand l’effacement est refusé. Le règlement ouvre ce droit sans détour : toute personne qui estime qu’un traitement viole ses droits peut introduire une réclamation auprès de l’autorité de contrôle, en particulier celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, selon l’article 77 du RGPD. Déposez votre plainte en ligne avec l’ensemble de votre dossier : chronologie des démarchages, demandes restées sans réponse, preuve de l’absence d’information, copies des transmissions identifiées. L’autorité instruit, peut mettre en demeure, prononcer des mesures correctrices et infliger des sanctions administratives dont le montant tient compte de la gravité, de la durée et du nombre de personnes concernées. En parallèle, vous pouvez agir devant le juge judiciaire pour faire cesser la diffusion et obtenir réparation. Le texte garantit un recours juridictionnel effectif à toute personne qui estime que ses droits ont été violés par un traitement non conforme, selon l’article 79 du RGPD. Devant le tribunal judiciaire, vous pouvez demander l’injonction de cesser toute diffusion sous astreinte, la suppression des données chez chaque destinataire identifié et l’indemnisation de votre préjudice. Le droit à réparation est autonome : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant, selon l’article 82 du RGPD. Le préjudice moral se caractérise ici par la perte de maîtrise de votre parcours professionnel, les démarchages répétés d’employeurs inconnus, l’anxiété liée à la circulation de vos coordonnées et parfois la compromission d’une recherche d’emploi confidentielle, quand votre employeur actuel apprend par un tiers que vous candidatez ailleurs. Le préjudice matériel peut résulter d’une opportunité manquée ou d’un déplacement inutile à un entretien pour un poste que vous n’aviez jamais visé. Chiffrez chaque chef de préjudice avec des pièces : attestations, relevés téléphoniques, échanges de messages, justificatifs de frais. Ce droit européen à réparation se complète du droit commun français : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». La faute s’établit ici par la violation caractérisée des textes : diffusion sans information préalable, comme l’exige l’article L. 1221-8 du code du travail, conservation au-delà du nécessaire et méconnaissance de votre opposition. Le juge peut alors ordonner la cessation, y compris en référé sur le fondement du droit au respect de la vie privée, et allouer des dommages et intérêts.
Sachez toutefois que l’effacement n’est pas absolu dans tous les contextes : la première chambre civile de la Cour de cassation a, le 3 juin 2026, rejeté le pourvoi d’un demandeur qui sollicitait la suppression d’un article de presse rendant compte de sa condamnation pénale, après mise en balance avec la liberté d’expression et d’information (Cass., 1re civ., 3 juin 2026, n° 25-14.228, rejet du pourvoi). Cette solution propre à l’archive de presse ne profite pas au cabinet de recrutement : la diffusion commerciale de votre curriculum vitae à des employeurs ne participe ni au débat public ni à la liberté de la presse, et aucun motif d’intérêt public ne justifie son maintien contre votre volonté. Quand plusieurs responsables participent à la même diffusion, chacun peut être tenu pour responsable du dommage dans sa totalité afin de garantir une réparation effective, avec répartition ultérieure entre eux selon leur part de responsabilité. Agissez enfin sans tarder : plus la diffusion se prolonge, plus votre dossier circule, plus la preuve de l’étendue des destinataires devient difficile et plus le préjudice s’aggrave.
Si la diffusion de votre dossier s’accompagne d’un refus d’embauche que vous estimez injuste, complétez votre action par l’accès aux notes et appréciations du recruteur : notre analyse du dossier de recrutement et des notes que vous pouvez exiger avant de contester détaille cette voie complémentaire.
Votre dossier de candidature vous appartient dans sa dimension personnelle : nul cabinet, nulle plateforme, nul intermédiaire ne peut le diffuser à des employeurs tiers sans vous en informer et sans base légale. Quand des entreprises que vous n’avez jamais contactées détiennent votre curriculum vitae, exigez par écrit l’accès, l’effacement et l’arrêt de toute transmission, imposez le délai d’un mois et conservez chaque preuve. En cas de refus ou de silence, la plainte devant la Commission nationale de l’informatique et des libertés et l’action devant le tribunal judiciaire vous ouvrent la cessation de l’illicite et la réparation de votre préjudice matériel et moral. La solution rendue le 3 juin 2026 rappelle que l’effacement se heurte parfois à d’autres droits fondamentaux, mais cette limite propre à la presse ne protège pas la diffusion commerciale des dossiers de candidature. Documentez la chaîne des transmissions, visez chaque destinataire et faites valoir l’ensemble de vos droits : c’est cette rigueur qui transforme un démarchage subi en une violation sanctionnée.