Vous avez passé plusieurs entretiens, le poste semblait acquis, puis le silence. Ou pire : une remarque lâchée en entretien final qui prouve que le recruteur a regardé vos photos de vacances, vos opinions, votre vie de famille sur Facebook ou Instagram. Cette pratique est courante, mais le droit français l’encadre strictement. Un recruteur peut consulter votre profil sur un réseau social professionnel. En revanche, fouiller vos réseaux personnels pour y chercher des motifs de vous écarter expose l’entreprise à une plainte devant la CNIL, à un contentieux prud’homal et à une condamnation à réparer votre préjudice.
La règle de départ tient en deux textes. Le code du travail dispose que « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles » (article L.1221-6 du code du travail). Le règlement général sur la protection des données impose de son côté que tout traitement respecte la « licéité, loyauté, transparence » à l’égard de la personne concernée. Tout le raisonnement qui suit découle de ces deux exigences : finalité professionnelle et loyauté de la collecte.
Cet article décrit d’abord ce que le recruteur a le droit de regarder et ce qui lui est interdit, puis les démarches concrètes pour contester une collecte abusive : figer les preuves, exercer vos droits d’accès et d’effacement, saisir la CNIL et le juge, et obtenir réparation.
I. Ce que le recruteur peut regarder, et la ligne qu’il ne doit pas franchir
A. Réseaux professionnels accessibles, réseaux personnels interdits de fait
La CNIL distingue nettement les deux univers. Sur son service d’aide en ligne, elle répond que la recherche est loyale sur les sites de recrutement et sur les réseaux sociaux professionnels, où l’objectif professionnel est clairement identifié, mais qu’elle ne l’est pas sur les réseaux personnels : la CNIL estime que l’employeur n’a pas le droit de collecter les informations issues de vos réseaux personnels, une telle collecte s’apparentant à une « enquête de moralité » (CNIL, Recrutement : l’employeur peut-il rechercher des données sur moi sur Internet ?). Cette position ne constitue pas une interdiction écrite dans un article de loi, mais elle éclaire la manière dont l’autorité interprète la loyauté et la pertinence de la collecte. Un recruteur qui écarte une candidature après avoir consulté des photos privées, des opinions religieuses ou politiques, des informations sur la santé ou la vie familiale s’expose donc à ce que cette collecte soit jugée déloyale et sans lien avec le poste.
Le guide de la CNIL consacré au recrutement va dans le même sens et formule la règle opérationnelle : le recueil par un recruteur d’informations publiées par un candidat sur un réseau social ou sur Internet constitue un « traitement de données à caractère personnel » (CNIL, Guide du recrutement, fiche n° 14). soumis de ce fait à l’ensemble des principes et règles applicables. Autrement dit, le simple fait de taper votre nom dans un moteur de recherche et d’exploiter ce qui en sort crée un traitement qui doit respecter le RGPD et le code du travail. La fiche recommande aux recruteurs d’éviter par principe la consultation des « réseaux sociaux non professionnels » des candidats. Tout écart à cette recommandation doit être justifié et limité à des types de postes spécifiques, ce qui laisse peu de place à la curiosité de routine.
Deux situations doivent être distinguées. Lorsque c’est vous qui avez spontanément communiqué un lien vers vos réalisations en ligne, par exemple le blog d’un graphiste ou les articles publiés par un juriste sur un réseau professionnel, le recruteur peut les prendre en compte dès lors qu’ils présentent un lien manifeste avec l’activité visée. Lorsque la consultation est à l’initiative du recruteur, pour compléter le dossier ou vérifier la cohérence des informations, il ne doit retenir que des contenus strictement en lien avec votre activité professionnelle, comme un profil sur un réseau social professionnel. Les informations extraites d’un compte Facebook verrouillé, d’un forum ou d’une recherche nominative généraliste ne remplissent pas cette condition dès qu’elles touchent à votre vie privée sans rapport avec le poste.
Le risque d’homonymie renforce cette exigence. Le guide de la CNIL invite le recruteur à porter un regard critique sur la fiabilité des données consultées à sa seule initiative, dont l’exactitude n’a pas été confirmée par le candidat. Une décision d’écartement fondée sur le profil d’un homonyme, sur une photographie ancienne ou sur un commentaire sorti de son contexte cumule deux manquements : collecte déloyale et données inexactes. En pratique, notez donc précisément ce que le recruteur vous a dit : toute allusion en entretien à un contenu que vous n’avez jamais communiqué est un indice direct d’une collecte à votre insu.
Cette analyse recoupe la question du tri automatisé des candidatures, qui relève d’un régime distinct fondé sur l’intervention humaine et l’explication des décisions : si votre candidature a été écartée par un outil ou une intelligence artificielle plutôt que par l’examen humain de vos profils, les règles applicables sont celles décrites dans notre article sur la candidature écartée par un tri automatisé ou une IA de recrutement.
B. Information préalable du candidat et base légale de la consultation
Avant même la question des réseaux sociaux, le code du travail impose une transparence préalable : « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » (article L.1221-8 du code du travail). La consultation systématique des profils en ligne constitue une méthode de recrutement au sens de ce texte. Un employeur qui pratique cette vérification sans vous en avoir informé manque à cette obligation, indépendamment du contenu effectivement consulté. Les résultats obtenus restent en outre confidentiels, ce qui interdit leur diffusion interne sans nécessité ou leur réutilisation pour un autre poste sans information nouvelle. Le texte va plus loin pour les collectes techniques : « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » (article L.1221-9 du code du travail). Un dispositif de veille systématique des profils en ligne, appliqué aux candidats sans les en avoir avertis, entre dans le champ de cette prohibition.
Côté données personnelles, le RGPD n’autorise un traitement que s’il repose sur l’une des bases légales prévues par son article 6, parmi lesquelles le consentement, le contrat ou l’intérêt légitime. Surtout, la loi française interdit au recruteur d’exploiter les données sensibles que les réseaux personnels révèlent presque toujours : « Il est interdit de traiter des données à caractère personnel qui révèlent […] les opinions politiques, les convictions religieuses ou philosophiques […] des données concernant la santé […] » (article 6 de la loi n° 78-17 du 6 janvier 1978). Pour la consultation de profils publics à finalité professionnelle, le recruteur invoque généralement son intérêt légitime, à condition que cet intérêt ne l’emporte pas sur vos droits, ou la nécessité de mesures précontractuelles prises à votre demande. En revanche, l’exploration de vos réseaux personnels à la recherche d’éléments de vie privée ne passe ce contrôle dans aucune des deux hypothèses : l’intérêt du recruteur à connaître vos opinions, votre religion ou votre état de santé ne pèse rien face à votre vie privée, et vous n’avez jamais demandé une telle investigation en adressant votre candidature.
L’obligation d’information qui en découle varie selon que vous avez fourni les données vous-même ou que le recruteur les a collectées indirectement. Dans le second cas, le règlement impose au responsable du traitement de vous fournir une série d’informations, dont son identité, les finalités poursuivies et vos droits (obligation d’information prévue par l’article 14 du RGPD). La CNIL précise que ces informations doivent vous parvenir dans un délai raisonnable « ne dépassant pas un mois » à compter de la date de la consultation, et que les dispenses d’information individuelle restent exceptionnelles, strictement interprétées et dûment justifiées (CNIL, Guide du recrutement, fiche n° 14). Si aucun document remis pendant le processus, ni aucune page accessible du site de l’entreprise, ne mentionne la consultation de vos profils en ligne, ce silence constitue un manquement distinct que vous pourrez invoquer en plus de la collecte elle-même.
Retenez enfin que la durée de conservation de votre dossier est bornée. La CNIL recommande que les données des candidats non retenus, conservées pour alimenter une CVthèque et proposer de nouvelles offres, le soient pendant une période qui « deux ans à compter du dernier contact » (CNIL, Guide du recrutement). Passé ce délai, ou dès que la finalité du recrutement est épuisée sans perspective réelle, vous pouvez exiger la suppression. Cette limite temporelle vous servira deux fois : pour obtenir l’effacement, et pour dater les manquements si l’entreprise conserve indéfiniment les captures de vos profils.
II. Contester une collecte abusive et obtenir réparation
A. Figer les preuves puis exercer vos droits d’accès et d’effacement
La première difficulté est probatoire : comment démontrer que le recruteur a consulté vos réseaux personnels et que cette consultation a pesé sur la décision ? Commencez par conserver tout écrit : convocation aux entretiens, échanges de courriels et de messages, annonce de poste, lettre ou message de refus. Si un propos tenu en entretien fait référence à un contenu privé, consignez-le par écrit le jour même, avec la date, le lieu, les personnes présentes et les termes exacts employés. Ces notes, rédigées sans délai, ont une valeur que n’aura jamais un récit reconstitué des mois plus tard. Cette discipline s’impose car « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention. » (article 9 du code de procédure civile).
Faites ensuite établir ce qui est visible par un tiers. Un constat dressé par un commissaire de justice (ancien huissier) des pages accessibles, des paramètres de confidentialité de vos comptes et, le cas échéant, des traces de consultation, fige la situation à une date certaine. Vos propres captures d’écran datées restent utiles en complément, même si leur force probante est moindre. Vérifiez aussi les fonctionnalités des plateformes : notifications de visite de profil sur les réseaux professionnels, historique des connexions, demandes d’ajout reçues de collaborateurs de l’entreprise. Chaque élément qui relie l’entreprise à vos profils pendant la période du recrutement compte.
L’arme la plus directe reste le droit d’accès prévu par le RGPD : « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. » (article 49 de la loi n° 78-17 du 6 janvier 1978). Écrivez au service des ressources humaines ou au délégué à la protection des données en demandant la confirmation du traitement, la copie des données issues de vos réseaux sociaux, les sources de ces données, les finalités poursuivies et les destinataires internes. Une entreprise qui a épluché vos profils doit répondre ; son silence ou sa réponse évasive devient une pièce de votre dossier. Adressez cette demande par un moyen qui prouve la date d’envoi et conservez-en copie.
Demandez parallèlement l’effacement des données indûment collectées. En droit français, « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » (article 51 de la loi n° 78-17 du 6 janvier 1978), notamment lorsque les données ne sont plus nécessaires au regard des finalités de la collecte. Visez précisément les captures, notes et commentaires issus de vos réseaux personnels, ainsi que tout le dossier de candidature si le délai de deux ans est dépassé ou si aucune perspective d’embauche n’existe. L’effacement ne répare pas le passé, mais il fait cesser le manquement et démontre, en cas de refus, la mauvaise foi de l’entreprise.
La jurisprudence sur les réseaux sociaux en entreprise confirme que le mode d’obtention des informations décide de leur sort en justice. Dans l’affaire dite Petit Bateau, la Cour de cassation a rappelé que « si en vertu du principe de loyauté dans l’administration de la preuve, l’employeur ne peut avoir recours à un stratagème pour recueillir une preuve », tout en admettant la production litigieuse parce qu’elle avait été spontanément communiquée par une salariée autorisée à accéder au compte (Cour de cassation, chambre sociale, 30 septembre 2020, n° 19-12.058). La même décision pose le cadre général : « le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie privée à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi. » Transposée au recrutement, cette grille joue en votre faveur : l’employeur qui fouille vos réseaux personnels par ses propres moyens, sans communication spontanée de votre part et sans nécessité liée au poste, ne remplit ni la loyauté ni la proportionnalité. Une nuance s’impose toutefois depuis le revirement de l’assemblée plénière : « il y a lieu de considérer désormais que, dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats. » (Cour de cassation, assemblée plénière, 22 décembre 2023, n° 20-20.648). Le juge met alors en balance le droit à la preuve et les droits en présence, et n’admet l’atteinte à la vie privée que si elle est indispensable et strictement proportionnée. Concrètement, ne misez pas tout sur l’irrecevabilité de la preuve adverse : attaquez aussi la collecte elle-même devant la CNIL et sur le fondement du RGPD, où la déloyauté reste sanctionnée indépendamment du procès.
Un arrêt de la cour d’appel de Paris illustre la sévérité du contrôle sur les messageries privées. Dans cette affaire, un salarié avait été licencié sur la foi d’une conversation tenue sur la messagerie intégrée de son compte Facebook, ouverte par un intérimaire sur un poste resté connecté. La cour a jugé que la messagerie gardait un caractère strictement personnel, que l’accès non autorisé violait le secret des correspondances et que le mode d’obtention de la preuve était jugé déloyal et illicite, peu important que l’employeur n’ait pas consulté le compte lui-même. Elle en a déduit que les propos ainsi obtenus ne pouvaient justifier le licenciement, jugé sans cause réelle et sérieuse (cour d’appel de Paris, pôle 6, chambre 11, 17 novembre 2020, RG n° 18/10574, texte de la décision). Si les juges protègent ainsi la messagerie privée d’un salarié déjà en poste, la collecte opérée sur le compte personnel d’un simple candidat, qui ne doit à l’entreprise ni loyauté contractuelle ni disponibilité, est encore plus difficile à justifier.
B. Saisir la CNIL et le juge, puis chiffrer et obtenir la réparation
Une fois les preuves figées et vos droits exercés, deux voies se combinent : la plainte devant la CNIL et l’action en justice. Elles ne s’excluent pas et poursuivent des objectifs différents, la sanction administrative d’un côté, votre indemnisation de l’autre.
La plainte CNIL se dépose en ligne et doit décrire précisément les faits : poste visé, calendrier du recrutement, contenus consultés, propos tenus en entretien, demandes d’accès et d’effacement restées sans réponse. Le RGPD garantit ce recours : « Elle traite les réclamations, pétitions et plaintes introduites par une personne concernée […], examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire, et informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable » (article 8 de la loi n° 78-17 du 6 janvier 1978). Ce droit de réclamation, également garanti par l’article 77 du RGPD,. Pour un recrutement en France, l’autorité compétente est la CNIL, dont le siège est à Paris et qui reçoit les plaintes par son téléservice. Joignez vos courriers de demande d’accès et d’effacement avec leurs preuves d’envoi : ils démontrent que vous avez tenté de régler la difficulté directement, ce que l’autorité apprécie, et ils matérialisent la persistance des manquements.
L’action en justice dépend de ce que la collecte a révélé et de ses conséquences. Si l’exploration de vos réseaux a conduit à vous écarter en raison de votre origine, de votre sexe, de vos mœurs, de votre orientation sexuelle, de votre âge, de votre situation de famille, de vos opinions politiques, de vos convictions religieuses, de votre apparence physique, de votre état de santé ou de votre handicap, le code du travail prohibe cette éviction : « Aucune personne ne peut être écartée d’une procédure de recrutement ou de nomination ou de l’accès à un stage ou à une période de formation en entreprise » pour de tels motifs (article L.1132-1 du code du travail). Le conseil de prud’hommes est compétent pour ce contentieux, y compris au stade de l’embauche. À Paris et en Île-de-France, le conseil compétent se détermine en fonction du lieu de conclusion ou d’exécution du contrat envisagé ou du domicile du candidat lorsque l’employeur est hors ressort, et les délais d’audience comme les pratiques de mise en état varient d’un conseil à l’autre : renseignez-vous tôt sur le calendrier prévisible pour articuler la procédure prud’homale avec la plainte CNIL.
Même sans motif discriminatoire caractérisé, la violation du RGPD ouvre droit à réparation. Le règlement dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil), applicable sans préjudice du droit à réparation consacré par l’article 82 du RGPD. Le préjudice moral du candidat écarté après l’examen de sa vie privée se chiffre à partir d’éléments concrets : durée du processus, niveau du poste et rémunération espérée, brutalité de l’éviction, diffusion interne des informations collectées, nécessité de refaire des démarches. Joignez les justificatifs de préjudice matériel lorsqu’il existe, par exemple des frais de déplacement pour des entretiens organisés alors que la décision était déjà prise, ou la perte d’une autre opportunité pendant un processus artificiellement prolongé. L’action en responsabilité peut être portée devant le juge judiciaire, distinctement de la réclamation CNIL, et les juridictions françaises admettent la réparation du seul préjudice moral résultant d’une violation des données personnelles dès lors qu’il est établi.
En cas d’atteinte grave et actuelle, le référé offre une voie rapide. Le code civil dispose que « Chacun a droit au respect de sa vie privée » et que les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, ces mesures pouvant, en cas d’urgence, être ordonnées en référé (article 9 du code civil). Un candidat dont les informations privées circulent au sein de l’entreprise, ou dont le dossier enrichi de captures de ses réseaux est conservé et réutilisé, peut ainsi demander au juge des référés d’ordonner la suppression et d’interdire toute diffusion, sous astreinte. Cette action suppose de démontrer l’urgence et l’illicéité manifeste, ce que vos constats, la réponse à votre demande d’accès et l’absence d’information préalable établissent le plus souvent.
Reste la question du quantum et de la stratégie. Ne présentez jamais un montant en l’air : détaillez poste par poste le préjudice allégué, distinguez le préjudice moral lié à l’intrusion dans votre vie privée de la perte de chance liée à l’éviction, et adossez chaque poste à une pièce. La perte de chance d’obtenir un emploi suppose de démontrer que la chance était réelle et sérieuse, ce qui exclut les candidatures manifestement hors profil mais inclut les processus avancés brutalement interrompus après la consultation de vos réseaux. Conservez la chronologie complète : annonce, envois, entretiens, date approximative de la consultation en ligne, propos révélateurs, refus. C’est cette chronologie, plus que de longues affirmations, qui emporte la conviction du juge et de la CNIL.
Conclusion
Un recruteur n’est pas un enquêteur : il peut apprécier vos aptitudes professionnelles à partir de vos profils publics à vocation professionnelle, après vous avoir informé de ses méthodes, mais il ne peut pas explorer votre vie privée sur les réseaux personnels pour décider de votre embauche. La CNIL l’interdit en pratique, le code du travail exige un lien direct et nécessaire avec le poste, et le RGPD sanctionne la collecte déloyale comme le défaut d’information. Si vous découvrez qu’un recruteur a épluché vos réseaux sociaux avant de vous écarter, figez les preuves, exigez l’accès et l’effacement, saisissez la CNIL et faites juger la réparation de votre préjudice. La collecte indue ne restera impunie que si personne ne la conteste.