Vous avez postulé à un emploi, passé un ou plusieurs entretiens, puis reçu un refus poli. Dix-huit mois plus tard, le même recruteur vous recontacte pour un autre poste, preuve qu’il a conservé votre curriculum vitae, votre lettre de motivation, parfois vos prétentions salariales, votre situation familiale ou des appréciations notées après l’entretien. Pire : vous découvrez que votre dossier a circulé entre plusieurs sociétés du groupe, ou qu’un cabinet de recrutement l’a transmis à un employeur que vous n’avez jamais sollicité. La question se pose alors simplement : le recruteur avait-il le droit de garder votre dossier, pendant combien de temps, et comment obtenir sa suppression ?

La réponse tient en deux temps. Pendant le recrutement, l’employeur ne peut collecter que des informations liées directement au poste, par des moyens portés à votre connaissance. Après un refus, il peut en principe conserver votre CV deux ans après le dernier contact pour alimenter un vivier, à condition de vous en avoir informé ; au-delà, ou sur votre demande, il doit effacer. Quand le recruteur refuse, la CNIL puis le juge peuvent intervenir, et la réparation du préjudice est possible. Cet article détaille les règles applicables, la procédure d’effacement pas à pas et les recours, y compris les réflexes propres à Paris et à l’Île-de-France.

I. Pendant et après le recrutement, ce que le recruteur peut conserver

A. Pendant la procédure : seules les informations liées au poste, collectées loyalement

Le Code du travail pose une règle de finalité stricte. Aux termes de l’article L1221-6, « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Le même article ajoute que « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. » Concrètement, le recruteur peut interroger votre parcours, vos diplômes, vos compétences et vos références professionnelles pour le poste visé. Il ne peut pas exiger des renseignements sur votre vie privée, votre état de santé, vos opinions, votre situation familiale ou vos projets personnels, sauf lien direct et nécessaire avec l’emploi, hypothèse étroite que l’employeur devra démontrer en cas de litige. Le candidat, de son côté, est tenu de répondre de bonne foi aux demandes d’informations régulières, ce qui n’autorise pas l’employeur à poser des questions irrégulières.

La loyauté de la collecte fait l’objet de deux garde-fous supplémentaires. D’abord, « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » Les tests, questionnaires de personnalité, mises en situation, prises de références et tris algorithmiques des candidatures doivent donc vous être annoncés avant leur utilisation, leurs résultats restant confidentiels et les méthodes devant rester pertinentes au regard de la finalité poursuivie. Ensuite, « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » La consultation en douce de vos réseaux sociaux privés, l’enregistrement clandestin d’un entretien, la vidéosurveillance détournée de sa finalité ou l’exploitation d’un logiciel espion pour trier les candidatures violent cette interdiction. Pour les salariés déjà embauchés, la même protection existe à l’article L1222-4 : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. »

Le règlement général sur la protection des données renforce ces exigences. Son article 5 impose que les données soient les données doivent être traitées de façon licite, loyale et transparente, pour des finalités déterminées et en limitant la collecte au nécessaire, collectées pour des finalités déterminées et limitées à ce qui est nécessaire. Son article 6 rappelle que le traitement n’est régulier que s’il repose sur l’une des bases prévues par le texte, parmi lesquelles parmi lesquelles le consentement donné pour une ou plusieurs finalités spécifiques, l’exécution de mesures précontractuelles prises à votre demande ou l’intérêt légitime du recruteur, toujours sous contrôle de proportionnalité, l’exécution de mesures précontractuelles prises à votre demande ou l’intérêt légitime du recruteur, toujours sous contrôle de proportionnalité. La CNIL précise dans son guide destiné aux petites et moyennes entreprises que le recruteur doit informer chaque candidat de la base légale du traitement, des droits d’accès, de rectification et d’effacement, de la possibilité d’adresser une plainte à la CNIL, et le cas échéant de l’existence d’une décision automatisée de tri des candidatures, tandis que le comité social et économique doit être informé avant l’utilisation de techniques d’aide au recrutement (voir les cinq questions de la CNIL pour le recrutement dans les TPE et PME). L’administration résume les mêmes limites applicables dès le recrutement, notamment sur les courriels et l’historique de recherche, dans sa fiche sur la collecte des données des salariés et des candidats. Les prises de références appellent une vigilance particulière. Un ancien employeur interrogé par le recruteur ne peut divulguer que des informations objectives et vérifiables en lien avec le poste, et le candidat doit avoir été informé de cette démarche avant sa mise en oeuvre. De même, la consultation des profils publics en ligne reste soumise à la finalité du recrutement : le recruteur peut examiner ce que vous exposez publiquement pour un usage professionnel, mais il ne peut pas exploiter des publications privées, contourner vos paramètres de confidentialité ni constituer un dossier à partir de données détournées de leur contexte. Quand un tri automatisé ou un outil d’intelligence artificielle présélectionne les candidatures, l’information préalable porte aussi sur l’existence de cette décision automatisée, sa logique générale et vos droits de contestation et d’intervention humaine. Conservez les annonces, les questionnaires, les messages de convocation et les mentions d’information affichées lors du dépôt de candidature : ces documents datés établissent ce qui vous a été annoncé et ce qui ne l’a pas été.

Retenez ce premier réflexe : tout dossier de candidature constitué hors de ces règles naît irrégulier, et cette irrégularité fragilise ensuite toute conservation en vivier.

B. Après le refus : le vivier de deux ans, l’accord formel et le droit à l’effacement

Une fois le poste pourvu par un autre candidat, le recruteur doit en principe supprimer les données devenues inutiles. La conservation pour un usage futur reste possible dans un cadre étroit fixé par la CNIL : la CNIL indique qu’un dossier de candidature peut être conservé 2 ans après le dernier contact avec le recruteur, et seulement à condition de vous en avoir informé et d’avoir obtenu votre accord. La CNIL détaille cette tolérance dans sa doctrine applicable aux employeurs : en cas d’issue négative, garder le CV et la lettre de motivation pour alimenter un vivier de candidats reste admis si la durée n’excède en principe pas deux ans à compter du dernier contact et si le candidat en a été informé. Une conservation plus longue suppose votre accord formel, donné de manière libre et éclairée, par exemple une case à cocher non pré-cochée ou un courriel de consentement explicite. Sans information préalable et sans accord, la conservation en vivier manque de base légale et doit cesser sur votre demande.

Deux droits du règlement européen fondent votre demande. D’abord, l’article 17 dispose que le texte ouvre à toute personne le droit d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, notamment lorsque notamment quand elles ne sont plus nécessaires au regard des finalités de leur collecte. Un CV conservé trois ans après un refus sans nouvel échange, un dossier réutilisé pour un poste sans rapport avec la candidature initiale, ou des notes d’entretien subjectives sur votre vie privée que le recruteur ne peut justifier, entrent dans ce cas. Ensuite, l’article 21 prévoit que le texte permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, et le responsable doit alors cesser sauf motif légitime et impérieux, et le responsable doit cesser le traitement sauf motif légitime et impérieux. La CNIL explique la marche à suivre pour demander l’effacement de vos données à un organisme : identifier le responsable, formuler une demande précise listant les données visées, conserver la preuve de l’envoi, puis, sans réponse satisfaisante sous un mois, saisir la CNIL par une plainte. Le même raisonnement vaut quand un compte client conservé après fermeture continue d’alimenter de la prospection : la donnée devenue inutile doit disparaître, et le silence de l’organisme ouvre la voie du recours.

Précisez dans votre demande le sort des données sensibles au sens du règlement européen, car leur traitement obéit à une interdiction de principe assortie d’exceptions étroites. Un recruteur ne peut conserver des informations révélant l’origine prétendue, les opinions, les convictions, l’appartenance syndicale, des données de santé ou des données biométriques que si l’une des dérogations prévues par le texte est caractérisée, ce qui reste exceptionnel dans un vivier de candidatures. Si votre dossier contient de telles données, parce qu’un questionnaire les a collectées ou parce que vous les aviez mentionnées spontanément, exigez leur suppression immédiate sans attendre l’échéance des deux ans. Signalez aussi les pièces manifestement hors sujet que le recruteur détiendrait encore, comme une copie de pièce d’identité demandée avant l’embauche, un relevé bancaire ou un extrait de casier judiciaire sans lien avec le poste : leur conservation prolongée après un refus se justifie difficilement et renforce votre demande d’effacement général.

Distinguez enfin trois situations fréquentes. Premièrement, le recruteur vous recontacte dans les deux ans pour un poste comparable et vous aviez été informé de la conservation : le traitement repose en principe sur une base régulière, mais vous pouvez toujours vous y opposer et exiger l’effacement pour l’avenir. Deuxièmement, le recruteur conserve votre dossier au-delà de deux ans, le transmet à une autre société du groupe ou à un cabinet tiers sans votre accord : la finalité initiale est dépassée, chaque destinataire devient responsable de son propre traitement et doit justifier d’une base propre, ce qu’il ne pourra guère faire sans votre consentement. Troisièmement, le recruteur utilise contre vous, dans un contentieux ultérieur, des pièces issues de votre candidature : leur recevabilité dépendra du contrôle de loyauté et de proportionnalité qu’exerce le juge, comme l’illustrent les arrêts cités dans la seconde partie. Dans tous les cas, écrivez vite, précisément et avec preuve de dépôt, car le délai de conservation court à compter du dernier contact : chaque nouvel échange peut être présenté par le recruteur comme un point de départ reporté.

II. Exiger l’effacement et obtenir réparation quand le recruteur refuse

A. La procédure pas à pas : demande au recruteur, DPO, CNIL et sanctions

Commencez par une demande écrite au recruteur, de préférence par courriel avec accusé de réception ou par lettre recommandée. Identifiez-vous sobrement, rappelez la date de votre candidature et du dernier contact, listez les données dont vous exigez l’effacement (CV, lettre, photographie, prétentions salariales, notes d’entretien, résultats de tests, échanges de courriels), visez l’article 17 du règlement européen et l’information de conservation de deux ans, et fixez un délai d’un mois. Demandez la confirmation écrite de la suppression, y compris auprès des sous-traitants (logiciel de recrutement, hébergeur, cabinet externe) et la cessation de toute transmission à des tiers. Conservez copie de chaque message : ces pièces démontreront ensuite votre diligence devant la CNIL et le juge. Si l’entreprise a désigné un délégué à la protection des données, adressez-lui la demande en parallèle à l’adresse indiquée dans la politique de confidentialité. En cas de réponse évasive, exigez des précisions : quelles données restent conservées, sur quelle base légale, pour quelle durée, avec quels destinataires.

Conservez la preuve du dépôt de chaque demande, car le point de départ du délai d’un mois et la démonstration de l’inaction du recruteur conditionnent la recevabilité de votre plainte. Un courriel avec accusé de réception, un récépissé de lettre recommandée ou une capture du formulaire en ligne datée suffisent, accompagnés d’une copie du texte envoyé. Si le recruteur répond par un message générique affirmant que votre demande est prise en compte sans confirmer la suppression effective, relancez une fois par écrit en demandant l’attestation précise des fichiers effacés et des destinataires avisés, puis saisissez la CNIL au terme du délai. Cette discipline probatoire distingue les dossiers qui aboutissent vite de ceux qui s’enlisent dans des échanges vagues.

En l’absence de réponse dans un mois, ou en cas de refus non motivé, vous pouvez adresser une plainte à la CNIL, en joignant vos demandes préalables et les réponses reçues. La CNIL instruit, peut mettre en demeure l’organisme, prononcer des mesures correctrices et, pour les manquements graves, des amendes administratives dont le montant tient compte de la nature, de la durée, du nombre de personnes concernées et de la coopération de l’organisme. L’expérience des contrôles montre que les griefs retenus portent typiquement sur le défaut de base légale, l’excès de durée de conservation, le défaut d’information des candidats et l’absence de suite donnée aux demandes d’effacement. La plainte ne vous indemnise pas directement, mais la position de la CNIL pèse ensuite lourd devant le juge civil ou prud’homal, et elle contraint souvent le recruteur à régulariser. Présentez votre dossier de façon ordonnée : chronologie des contacts, preuve de l’information reçue ou de son absence, copie du vivier allégué, captures des relances tardives, identité des tiers destinataires si elle est connue. Pour situer cette démarche parmi les autres droits des candidats, notamment le refus de copie de vos données personnelles et ses recours, gardez à l’esprit que l’accès précède souvent l’effacement : obtenir d’abord la copie de votre dossier permet de viser juste dans la demande de suppression.

Traitez avec soin le cas des logiciels de gestion des candidatures, qui concernent la plupart des recrutements de taille moyenne ou grande en Île-de-France. L’éditeur du logiciel agit comme sous-traitant de l’employeur et ne peut conserver vos données au-delà des instructions reçues ; votre demande d’effacement doit donc être répercutée par l’employeur à son prestataire, avec confirmation. Quand le recruteur initial est un cabinet externe, exigez la suppression à la fois dans le système du cabinet et dans celui de l’entreprise cliente à laquelle le dossier a été transmis, car chacun est responsable de son propre fichier. Si le cabinet refuse en invoquant ses obligations comptables ou ses statistiques internes, répondez que l’anonymisation véritable, irréversible, suffit à ces usages et ne justifie pas la conservation de données identifiantes. Notez les noms des interlocuteurs, les dates et les engagements pris : ces mentions transforment une promesse orale en engagement vérifiable.

Anticipez les objections classiques. Le recruteur invoque un intérêt légitime à constituer un vivier : répondez que cet intérêt ne dispense ni de l’information préalable, ni de la limite de deux ans, ni de votre droit d’opposition, et qu’une conservation sans accord formel au-delà reste irrégulière. Il soutient que chaque relance fait courir un nouveau délai : contestez les contacts purement automatiques ou non sollicités, qui ne traduisent pas une relation suivie, et exigez la date exacte du dernier échange substantiel. Il prétend avoir anonymisé les données : vérifiez qu’aucune réidentification ne reste possible, car des données réversiblement pseudonymisées restent des données personnelles. Il affirme avoir tout supprimé mais vous recevez encore des offres : demandez l’attestation de suppression chez l’hébergeur et l’éditeur du logiciel de recrutement, ainsi que la liste des destinataires avisés de votre demande. Chaque manquement documenté renforce la plainte et, ensuite, la demande de dommages et intérêts. La présentation des expertises du cabinet à Paris permet de situer ces contentieux dans l’activité du cabinet.

B. Devant le juge : accès au dossier, preuve loyale, discrimination et réparation, avec les réflexes de Paris et d’Île-de-France

Le juge peut ordonner la communication de votre dossier de candidature, son effacement et la réparation de votre préjudice. La Cour de cassation encadre strictement l’usage en justice de données personnelles concernant des tiers ou des salariés. Par arrêt du 26 février 2025 (pourvoi n° 22-18.179, ECLI:FR:CCASS:2025:SO00158), la chambre sociale a contrôlé l’usage par l’employeur de correspondances issues de la messagerie du salarié au regard du secret des correspondances et de la loyauté de la preuve. Par arrêt du 3 octobre 2024 (pourvoi n° 21-20.979, ECLI:FR:CCASS:2024:C200859), la deuxième chambre civile a jugé qu’une preuve obtenue de manière déloyale reste recevable si sa production est nécessaire à l’exercice du droit à la preuve et si l’atteinte portée aux droits adverses est proportionnée au but poursuivi. Par arrêt du 25 novembre 2020 (pourvoi n° 17-19.523), la chambre sociale a rappelé que des identifiants techniques permettant d’identifier indirectement une personne, comme des adresses IP, constituent des données personnelles soumises à la loi du 6 janvier 1978, et que le droit à la preuve justifie une atteinte à la vie personnelle seulement si la production est nécessaire et proportionnée. Transposées au recrutement, ces solutions signifient qu’un recruteur ne peut ni collecter clandestinement, ni produire sans filtre des pièces attentatoires à votre vie privée : le juge vérifie la nécessité, la proportionnalité et la minimisation, ordonne au besoin des occultations, et écarte les pièces excessives.

Le contentieux du recrutement recoupe souvent la discrimination à l’embauche. Le Code du travail dispose qu’« Aucune personne ne peut être écartée d’une procédure de recrutement ou de nomination ou de l’accès à un stage ou à une période de formation en entreprise » pour un motif discriminatoire. Si votre dossier révèle des mentions liées à l’âge, au sexe, à l’origine, au handicap, à la situation familiale ou au lieu de résidence, ou si le motif réel du refus transparaît dans des notes internes, l’action en discrimination devant le conseil de prud’hommes devient envisageable parallèlement à l’action en protection des données. La charge de la preuve y est aménagée : le candidat présente des éléments laissant supposer une discrimination, puis l’employeur doit démontrer que sa décision repose sur des éléments objectifs étrangers à toute discrimination. Les documents obtenus par l’exercice du droit d’accès (grille de notation, comptes rendus d’entretien, échanges entre recruteurs) alimentent cette démonstration, sous le contrôle de proportionnalité décrit ci-dessus. La réparation couvre alors le préjudice lié à la perte de chance d’être embauché et le préjudice moral, en plus du préjudice propre à la violation des données (relances non désirées, diffusion à des tiers, anxiété liée à la perte de maîtrise de ses informations).

Agissez dans les délais de prescription applicables à chaque action. L’action en réparation fondée sur le règlement européen se prescrit en principe par cinq ans à compter de la connaissance du manquement, tandis que l’action prud’homale pour discrimination obéit à ses propres règles de recevabilité temporelle que le conseil vérifie d’office. Ne laissez donc pas la procédure CNIL, qui peut durer plusieurs mois, absorber tout votre calendrier : engagez les démarches judiciaires en parallèle dès que le refus d’effacement est caractérisé. Quand plusieurs responsables se renvoient la faute, l’employeur, le cabinet de recrutement et l’éditeur du logiciel, assignez ceux dont le rôle est établi par vos pièces plutôt que de viser trop large, car le juge apprécie la part de chacun dans le manquement. Demandez au tribunal, outre l’effacement et les dommages et intérêts, la publication ou la notification de la décision au responsable du traitement lorsque cette mesure complète utilement la réparation, et sollicitez une astreinte si vous redoutez une exécution tardive.

À Paris et en Île-de-France, quelques réflexes pratiques améliorent l’efficacité de la démarche. Adressez votre demande d’effacement au siège parisien ou francilien du recruteur quand il existe, tout en conservant l’adresse du responsable du traitement indiquée dans la politique de confidentialité ; les grands groupes centralisent souvent ces demandes à Paris, où les délais de réponse sont mieux suivis. Pour la voie prud’homale en cas de discrimination à l’embauche, le conseil de prud’hommes compétent est en principe celui du lieu d’embauche ou du siège de l’établissement concerné : le conseil de prud’hommes de Paris traite un volume important de litiges liés au recrutement des sièges parisiens, avec des délais d’audiencement à anticiper dans votre calendrier. Pour l’action en protection des données personnelles et en réparation, le tribunal judiciaire de Paris est fréquemment compétent pour les défendeurs établis dans son ressort, et la CNIL, installée à Paris, reçoit votre plainte en ligne avec un suivi dématérialisé. Constituez un dossier parisien solide : captures datées des offres et des relances, attestation de votre dernier contact réel, copie de l’information reçue lors de la candidature, échanges avec le délégué à la protection des données, plainte CNIL et sa réponse. Chiffrez le préjudice sans exagération : nombre de relances, durée de la conservation illicite, destinataires tiers identifiés, démarches accomplies, retentissement sur votre recherche d’emploi. Le juge indemnise un préjudice démontré, pas une contrariété alléguée.

Conclusion

Un refus d’embauche ne donne pas au recruteur un droit permanent sur votre dossier. Pendant la procédure, seules les informations présentant un lien direct et nécessaire avec le poste peuvent être collectées, par des moyens annoncés à l’avance. Après le refus, la conservation en vivier reste limitée en principe à deux ans après le dernier contact, avec votre information et votre accord, et votre demande d’effacement ou d’opposition doit être exécutée dans un délai d’un mois. Sans réponse satisfaisante, la plainte à la CNIL puis l’action devant le juge permettent d’obtenir la suppression et la réparation, sous le contrôle exigeant de loyauté et de proportionnalité qu’exerce la Cour de cassation sur l’usage des données personnelles. Écrivez tôt, visez chaque donnée et conservez chaque preuve : dans ce contentieux, la rigueur du dossier fait la force du droit.