Vous avez postulé à un emploi, passé un ou plusieurs entretiens, puis reçu un refus poli. Quelques mois plus tard, vous découvrez que l’entreprise conserve toujours votre curriculum vitae, votre lettre de motivation, parfois les notes prises pendant l’entretien ou les résultats d’un test. Vous lui demandez de tout supprimer. Elle répond qu’elle garde votre dossier « au cas où », pour de futurs postes, ou ne répond pas du tout. Cette situation soulève une question de droit précise : jusqu’à quand un employeur peut-il conserver les données d’un candidat qu’il n’a pas recruté, et comment obtenir leur suppression effective, jusqu’à la réparation devant le juge si nécessaire.

La réponse tient en deux temps. D’un côté, la conservation n’est pas interdite par principe, mais elle est strictement encadrée : finalité du recrutement, données limitées au poste visé, information préalable du candidat et durée limitée. La Commission nationale de l’informatique et des libertés admet ainsi qu’en cas d’issue négative à une candidature, la conservation du curriculum vitae et de la lettre de motivation pour alimenter un vivier reste possible, à condition que la durée n’excède en principe pas deux ans à compter du dernier contact et que le candidat en ait été informé. De l’autre, le candidat dispose d’armes concrètes : droit d’accès pour savoir ce qui est conservé, droit d’opposition et droit à l’effacement pour faire supprimer, réclamation devant la Commission nationale de l’informatique et des libertés, et action en justice pour obtenir réparation du préjudice subi.

Cet article décrit d’abord ce que l’employeur peut conserver après un refus et ce qui lui est interdit, puis la méthode complète pour faire effacer vos données et, le cas échéant, obtenir réparation.

I. Ce que l’employeur peut conserver après un refus, et ce qui lui est interdit

A. Une conservation possible, mais limitée : finalité, pertinence et deux ans maximum

Tout traitement de données personnelles dans le cadre d’un recrutement doit poursuivre une finalité déterminée, explicite et légitime : évaluer votre capacité à occuper le poste proposé. Le code du travail l’exprime directement : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Ces informations doivent en outre, selon le même texte, présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. Un employeur ne peut donc pas collecter des informations par curiosité, pour sonder votre vie privée ou pour constituer un dossier de précaution sans rapport avec le poste.

Le règlement général sur la protection des données impose la même discipline à l’échelle européenne. Les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire, et surtout conservées seulement le temps nécessaire à ces finalités, selon le principe de limitation de la conservation posé par l’article 5 du règlement européen 2016/679 sur la protection des données. Concrètement, une fois le poste pourvu et le processus de recrutement achevé, la finalité initiale est épuisée : la conservation ne peut se prolonger que sur un autre fondement, pour une autre finalité annoncée, et pour une durée bornée.

La Commission nationale de l’informatique et des libertés fixe le repère : la Commission admet, sur sa page consacrée au recrutement dans les petites et moyennes entreprises, qu’après un refus, l’employeur peut garder le curriculum vitae et la lettre de motivation pour alimenter un vivier de candidats, à trois conditions cumulatives : une durée qui n’excède en principe pas deux ans à compter du dernier contact avec le candidat, et une information préalable de ce dernier (fiche de la Commission sur le recrutement et les données personnelles) Trois conditions se dégagent. Premièrement, la durée de deux ans court à compter du dernier contact, c’est-à-dire du dernier échange réel entre vous et le recruteur, et non de la date d’envoi de votre candidature. Un nouvel entretien, un appel ou un message reportent le point de départ. Deuxièmement, vous devez avoir été informé de cette conservation en vivier : l’employeur doit vous dire qu’il garde vos données, pourquoi et combien de temps, au moment de la collecte ou au plus tard lors de la réponse négative. Troisièmement, ces deux ans constituent un plafond de principe, pas un droit automatique à conserver : si aucun poste correspondant à votre profil n’est prévisible, une durée plus courte s’impose, et certaines entreprises limitent volontairement la conservation à quelques mois après le rejet.

L’information du candidat constitue d’ailleurs une obligation autonome du code du travail, distincte du règlement européen. « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. » Tests de personnalité, mises en situation, jeux de rôle, analyse automatisée des candidatures : chaque méthode doit vous être annoncée avant son utilisation, ses résultats restent confidentiels, et la méthode doit être pertinente au regard de la finalité poursuivie. Un test sans lien avec le poste, ou dont vous n’avez jamais été informé, vicie la collecte dès l’origine. Avant de déployer ou de modifier ces méthodes, l’employeur doit également informer le comité social et économique, ce qui offre un point de contrôle interne utile dans les entreprises qui en sont dotées.

La base légale du traitement mérite un mot, car elle détermine vos leviers. Pendant le recrutement, l’employeur s’appuie le plus souvent sur l’exécution de mesures précontractuelles prises à votre demande : le règlement vise notamment les traitements nécessaires à l’exécution de mesures précontractuelles prises à la demande de la personne. Postuler, c’est demander l’examen de votre candidature, et cet examen justifie la collecte. La conservation ultérieure en vivier, en revanche, ne relève plus des mesures précontractuelles : elle repose en pratique sur votre consentement ou sur l’intérêt légitime de l’employeur, à condition de vous en informer et de respecter votre opposition. Un consentement noyé dans les conditions générales d’un site d’offres, sans case distincte ni information claire, ne vaut pas accord libre et éclairé. Et lorsque la conservation repose sur l’intérêt légitime, votre opposition pour des raisons tenant à votre situation particulière inverse la charge : c’est à l’employeur de démontrer des motifs impérieux, pas à vous de justifier votre refus.

Pour vérifier ce qui vous concerne, commencez par reconstituer votre dossier : date d’envoi de la candidature, dates des entretiens et des échanges, contenu de la réponse négative, mentions d’information reçues sur la conservation. Puis exercez votre droit d’accès : demandez à l’employeur la liste exacte des données conservées, leur origine, leur destinataire et la durée de conservation prévue. La réponse, ou son absence, conditionne toute la suite. Si vous avez déjà obtenu la copie de vos données dans un autre contexte, la méthode d’accès et de contestation décrite pour les organismes qui refusent de remettre la copie des données personnelles s’applique de la même façon face à un recruteur silencieux.

B. Les pratiques interdites : collecte déloyale, données hors sujet et conservation silencieuse

La première interdiction vise la collecte déloyale. « Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Consulter vos réseaux sociaux à votre insu pour y chercher des indices sur votre vie privée, interroger un ancien employeur sans vous l’avoir dit, activer un dispositif d’enregistrement pendant l’entretien sans information préalable : ces procédés violent ce texte, même si les informations ainsi obtenues semblent anodines. La loyauté de la collecte s’apprécie indépendamment de la pertinence du contenu collecté.

La deuxième interdiction porte sur la nature des données. Certaines catégories sont soit interdites, soit soumises à des conditions si strictes qu’elles sont en pratique exclues d’un recrutement ordinaire. L’état de santé, l’origine ethnique ou raciale, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la vie sexuelle ou l’orientation sexuelle ne peuvent être traités que dans des cas limitativement énumérés par le règlement européen, qui ne correspondent pas à un recrutement classique. Un questionnaire qui interroge votre santé, votre grossesse éventuelle, votre situation familiale détaillée ou vos engagements dépasse le lien direct et nécessaire avec le poste. Le casier judiciaire n’échappe pas à la règle : sa demande systématique est prohibée, et elle n’est envisageable que lorsque la nature du poste le justifie réellement, par exemple pour des fonctions soumises à des conditions légales d’honorabilité. Les données bancaires, le numéro de sécurité sociale ou la copie de votre pièce d’identité n’ont rien à faire dans un dossier de candidature : elles appartiennent, le cas échéant, au dossier administratif du salarié embauché, pas à celui du candidat écarté.

La troisième interdiction concerne les décisions entièrement automatisées. Un tri algorithmique des candidatures qui écarterait votre dossier sans aucune intervention humaine doit vous avoir été signalé, avec une information sur sa logique et ses conséquences. Vous pouvez demander une intervention humaine, exprimer votre point de vue et contester la décision. En pratique, les rejets standard reçus quelques minutes après l’envoi d’une candidature en ligne méritent une vérification : si un système automatisé a statué seul sur votre sort, l’employeur doit pouvoir le justifier et vous en informer.

Les logiciels de suivi des candidatures, répandus dans les grandes entreprises et les cabinets, ajoutent une couche de vigilance. Ils centralisent les profils, les notent, les comparent et parfois les trient automatiquement avant tout regard humain. Lorsque vous candidatez en ligne, conservez la copie de l’annonce, les mentions d’information affichées et les accusés de réception automatiques : ces éléments prouvent ce qui vous a été annoncé et à quelle date. Si l’employeur utilise une solution algorithmique de tri, la page de la Commission nationale de l’informatique et des libertés rappelle qu’il doit vous informer de l’existence de cette prise de décision automatisée. Un rejet immédiat, sans entretien ni examen visible de votre dossier, justifie une demande d’explication ciblée : intervention humaine effective, critères appliqués, possibilité de contester.

La quatrième interdiction vise la conservation silencieuse et les usages détournés. Passé le délai annoncé, ou à défaut passé deux ans après le dernier contact, chaque jour de conservation supplémentaire constitue un manquement au principe de limitation de la conservation. De même, réutiliser votre dossier pour une autre finalité — vous adresser des offres commerciales, transmettre votre profil à une autre société du groupe ou à un partenaire sans information — détourne la finalité initiale et exige un fondement propre. La transmission de votre candidature à un cabinet de recrutement, à un prestataire de tests ou à un hébergeur de données doit rester encadrée par un contrat écrit qui limite le sous-traitant aux seules instructions de l’employeur. Enfin, un transfert de vos données hors de l’Union européenne, vers une maison mère ou un prestataire établi dans un pays tiers, n’est licite que dans les conditions prévues par le règlement, avec des garanties appropriées que le candidat doit pouvoir connaître.

Face à ces situations, la qualification juridique se prépare avec méthode. Identifiez le traitement en cause, le responsable qui en décide, le rôle de chaque acteur et le contrat qui les lie : l’entreprise qui recrute décide des finalités et des moyens, le cabinet extérieur ou l’éditeur de logiciel de recrutement agit pour son compte. Distinguez ensuite les obligations de protection des données, les obligations du code du travail sur les méthodes de recrutement et, le cas échéant, les règles propres à certains secteurs. Cette cartographie détermine à qui adresser vos demandes et sur quels textes les fonder.

II. Faire effacer vos données et obtenir réparation

A. La demande d’effacement et d’opposition, pas à pas

Le droit à l’effacement vous permet d’obtenir la suppression de vos données lorsque l’un des motifs prévus par le règlement est réuni. L’article 17 du règlement européen ouvre ce droit largement : toute personne peut obtenir l’effacement de ses données dans les meilleurs délais, et le responsable doit les effacer, dès que l’un des motifs prévus est réuni — au premier rang desquels le fait que les données ne sont plus nécessaires au regard des finalités de leur collecte. Un curriculum vitae conservé trois ans après un refus, sans nouveau contact ni information, entre typiquement dans ce cas. Le retrait du consentement, lorsqu’il fondait la conservation en vivier, ou le caractère illicite du traitement d’origine constituent d’autres motifs utilisables.

Le droit d’opposition complète cet arsenal lorsque la conservation repose sur l’intérêt légitime de l’employeur, ce qui est fréquent pour les viviers de candidats. l’article 21 du règlement permet à toute personne de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime du responsable, y compris un profilage Une fois votre opposition formulée, l’employeur ne peut poursuivre le traitement que s’il démontre des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou pour la constatation, l’exercice ou la défense de droits en justice. La simple commodité de disposer d’un stock de profils ne constitue pas un motif impérieux. En pratique, combinez les deux demandes dans le même courrier : opposition à la conservation en vivier et demande d’effacement de l’ensemble du dossier de candidature.

La procédure suit un calendrier précis. Adressez votre demande par écrit, de préférence par lettre recommandée avec accusé de réception ou par courriel avec preuve d’envoi, au destinataire identifié dans la mention d’information : service des ressources humaines, délégué à la protection des données si l’entreprise en a désigné un, ou adresse dédiée aux droits des personnes. Joignez la copie d’un justificatif d’identité si l’entreprise l’exige raisonnablement pour vérifier qu’elle s’adresse bien à la bonne personne, sans transmettre plus que le nécessaire. Décrivez les données visées — curriculum vitae, lettre de motivation, notes d’entretien, résultats de tests, échanges —, rappelez les dates de votre candidature et du dernier contact, et fixez un délai de réponse. Le règlement impose à l’employeur de vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, prolongeable de deux mois pour les demandes complexes à condition de vous en informer dans le premier mois. Conservez chaque preuve : candidature initiale, réponse négative, mentions d’information, demande d’effacement, relances, captures des espaces candidats encore accessibles.

Plusieurs cas particuliers appellent une vigilance accrue. Si un cabinet de recrutement a conduit le processus, adressez votre demande à la fois à l’entreprise et au cabinet, en leur demandant de préciser leurs rôles respectifs et de justifier de la transmission de vos données entre eux. Si votre candidature a transité par une plateforme d’offres d’emploi, demandez séparément à la plateforme ce qu’elle conserve pour son propre compte, car elle peut agir comme responsable distinct pour son service. Si l’entreprise invoque une obligation légale de conservation, exigez la référence exacte du texte et vérifiez sa portée : une obligation comptable ou sociale ne justifie pas la conservation d’un dossier de candidature écarté. Si elle oppose un contentieux en cours ou prévisible, ce motif ne vaut que pour les données strictement nécessaires à la défense de ses droits, et pour la durée de la procédure. À Paris et en Île-de-France, où siègent de nombreuses directions des ressources humaines et intermédiaires du recrutement, identifiez précisément l’entité qui a décidé du traitement : la filiale qui a mené les entretiens, la holding qui centralise les viviers, le prestataire qui héberge la base. Une demande adressée à la mauvaise entité retarde la réponse d’un mois.

B. La plainte devant la Commission nationale de l’informatique et des libertés, le juge et la réparation du préjudice

Si l’employeur ne répond pas dans le délai d’un mois, refuse l’effacement ou répond de façon incomplète, la réclamation devant la Commission nationale de l’informatique et des libertés constitue l’étape suivante. l’article 77 du règlement permet à toute personne de saisir l’autorité de contrôle de l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, lorsqu’elle estime que le traitement de ses données viole le règlement Résidant en France, vous pouvez saisir l’autorité française même si la société mère est établie dans un autre État membre, grâce au mécanisme de coopération européenne. Votre plainte doit être précise : identité du responsable, chronologie des faits, copies de votre demande d’effacement et de la réponse reçue ou de l’absence de réponse, liste des données dont vous demandez la suppression. L’autorité vous informe de l’état d’avancement et de l’issue de votre réclamation, et si elle ne traite pas votre plainte ou ne vous informe pas dans un délai de trois mois, vous pouvez former un recours juridictionnel contre cette inaction.

La Commission dispose de pouvoirs gradués : mise en demeure de se conformer, injonction de satisfaire votre demande d’effacement sous astreinte, et sanctions financières. Le règlement prévoit des amendes administratives pouvant atteindre des montants dissuasifs, fixées selon la nature et la gravité du manquement, sa durée, le nombre de personnes concernées et la coopération de l’entreprise. La perspective d’un contrôle suffit souvent à débloquer un dossier enlisé : les entreprises redoutent l’examen de l’ensemble de leurs viviers, bien au-delà de votre cas individuel.

L’action en justice suit une voie distincte, cumulable avec la plainte. l’article 79 du même règlement garantit à chaque personne un recours effectif devant le juge lorsqu’elle estime que ses droits ont été violés par un traitement non conforme Vous pouvez agir devant les juridictions de l’État membre où l’employeur dispose d’un établissement, ou devant celles de votre résidence habituelle : le texte permet d’agir soit devant les juridictions de l’État où le responsable dispose d’un établissement, soit devant celles de l’État de votre résidence habituelle. En France, le tribunal judiciaire connaît de ces demandes : le conseil de prud’hommes, juge du contrat de travail, n’est pas la juridiction naturelle d’un candidat qui n’a jamais été salarié de l’entreprise. Pour un litige parisien ou francilien, le tribunal judiciaire du lieu de l’établissement recruteur ou de votre domicile concentre la plupart des dossiers, avec des délais et des pièces à préparer comparables aux autres contentieux civils : assignation, bordereau de pièces, démonstration du manquement et du préjudice.

La réparation du préjudice obéit à un régime propre au règlement. l’article 82 du règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’en obtenir réparation auprès du responsable ou du sous-traitant Le préjudice moral — anxiété de voir circuler votre dossier, sentiment d’être surveillé, démarches répétées restées sans réponse — est expressément réparable, à côté du préjudice matériel, par exemple le coût d’un changement d’adresse électronique professionnelle ou la perte d’une chance liée à la diffusion de notes défavorables. La Cour de justice de l’Union européenne, dans un arrêt du 4 mai 2023 (affaire C-300/21), a précisé l’équilibre : d’une part, la simple violation du règlement ne suffit pas, à elle seule, à ouvrir droit à réparation ; il faut démontrer un dommage réel, même modeste, causé par la violation. D’autre part, la Cour interdit aux juges nationaux d’exiger que le préjudice moral atteigne un certain seuil de gravité pour être indemnisé : aucun seuil de ce type ne peut vous être opposé pour écarter l’indemnisation d’un préjudice moral établi. Concrètement, documentez votre dommage : échanges avec le recruteur, relances ignorées, découverte fortuite de la conservation, démarches accomplies, retentissement personnel. Le juge fixe ensuite le montant selon les règles internes françaises, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.

Le temps joue aussi en matière d’action en justice. L’action en réparation fondée sur le règlement se prescrit selon le droit commun : « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Le point de départ court en pratique du jour où vous avez découvert la conservation abusive — par exemple la date de la réponse évasive de l’employeur ou celle où vous avez constaté que votre espace candidat restait actif. Cinq ans laissent une marge confortable, mais l’expérience montre que les preuves s’effacent vite : captures, courriels et accusés de réception doivent être sauvegardés dès le premier litige, pas à la veille de l’assignation.

Deux erreurs fréquentes méritent d’être signalées. La première consiste à croire que l’absence de réponse de l’employeur vaut acceptation : elle ne vaut rien, sinon la preuve d’un manquement à l’obligation de réponse, et c’est à vous de passer à l’étape suivante. La seconde consiste à accepter un effacement partiel sans vérification : exigez la confirmation écrite de la suppression auprès du responsable et de ses sous-traitants, y compris les sauvegardes dans les limites techniques annoncées, et vérifiez que votre espace candidat a bien été clôturé. Un effacement réel laisse des traces procédurales, pas des copies actives.

En résumé, un candidat écarté n’est pas démuni face à la conservation de son dossier. Les informations collectées doivent se limiter à l’appréciation de ses aptitudes, chaque méthode de recrutement doit lui avoir été annoncée, et la conservation en vivier ne dépasse en principe pas deux ans après le dernier contact, avec son information. Passé ce cadre, l’opposition et l’effacement s’exercent par écrit avec un mois de délai de réponse, la Commission nationale de l’informatique et des libertés peut être saisie et dispose de pouvoirs de contrainte et de sanction, et le tribunal judiciaire peut ordonner la suppression et réparer le préjudice matériel et moral sans exiger un seuil de gravité. La méthode vaut pour tout recrutement comparable : identifier le responsable, dater le dernier contact, demander l’accès puis l’effacement, saisir l’autorité puis le juge en cas d’échec, et documenter chaque étape.