Votre candidature a été rejetée en quelques heures, parfois en quelques minutes, par un courriel automatique qui ne dit rien des raisons du refus. Derrière ce message se trouve souvent un logiciel de tri, un score ou un outil d’analyse qui a classé votre dossier sans qu’un humain l’ait lu. Cette situation, devenue banale dans les recrutements à fort volume, pose une question de droit précise : un employeur peut-il confier à une machine le soin d’écarter un candidat, et que peut faire la personne rejetée pour comprendre, contester et obtenir réparation ?
Le droit français et le droit européen apportent des réponses concrètes. Le candidat doit être informé à l’avance des méthodes utilisées à son égard, les informations collectées doivent présenter un lien direct avec le poste, et aucune décision produisant des effets significatifs ne peut en principe reposer exclusivement sur un traitement automatisé. Lorsque ces règles sont méconnues, le candidat dispose d’une palette d’actions graduées : demander l’accès à ses données et l’explication de la logique suivie, exiger une intervention humaine, saisir la CNIL et, le cas échéant, demander réparation devant le juge.
Cet article décrit pas à pas ce cadre et les démarches utiles, à jour des textes applicables en 2026, y compris le nouveau régime européen des systèmes d’intelligence artificielle utilisés pour le recrutement.
I. Le tri automatisé des candidatures est strictement encadré
A. Informer le candidat et limiter la collecte au strict nécessaire
Le Code du travail impose à l’employeur une transparence préalable. Aux termes de la loi, le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. Cette information porte sur tout outil qui participe à la sélection : logiciel de tri de CV par mots-clés, test en ligne noté automatiquement, entretien vidéo analysé par algorithme, score de compatibilité ou classement automatisé des dossiers. L’employeur qui déploie un tel outil sans en avertir les candidats manque à cette obligation, et ce manquement peut ensuite être invoqué dans toute contestation du rejet.
La même disposition ajoute que les résultats obtenus sont confidentiels et que les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie. Un test sans rapport avec le poste, un questionnaire qui explore la vie privée ou un critère de filtrage qui n’évalue pas les aptitudes professionnelles ne satisfont pas à cette exigence de pertinence. Le candidat écarté sur le fondement d’un tel outil peut donc contester non seulement l’absence d’information, mais aussi l’adéquation même de la méthode au poste visé.
Le contenu des informations collectées est lui aussi limité. La loi dispose que les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. Un logiciel qui aspire l’ensemble d’un profil public, qui déduit des caractéristiques personnelles sans rapport avec le poste ou qui conserve des données excédentaires méconnaît cette règle. En pratique, les outils qui enrichissent automatiquement les candidatures à partir de sources externes sont les premiers concernés : tout ce qui dépasse l’appréciation de la capacité à occuper le poste doit être écarté du traitement.
À cette limitation s’ajoute une interdiction de la collecte dissimulée : aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. L’analyse discrète des réseaux sociaux du candidat, le pistage de sa navigation sur le site de recrutement ou l’enregistrement à son insu d’indicateurs comportementaux pendant un test en ligne entrent dans le champ de cette interdiction dès lors que le dispositif n’a pas été annoncé. Enfin, le principe général de proportionnalité s’applique : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Un dispositif de présélection particulièrement intrusif, par exemple l’analyse automatisée des émotions faciales pendant un entretien vidéo, doit être apprécié à l’aune de ce texte : la nature du poste justifie-t-elle une telle immixtion, et un moyen moins attentatoire permettait-il d’atteindre le même but ?
Le règlement européen complète ces exigences nationales par une obligation d’information détaillée : identité du responsable du traitement, finalités et bases juridiques, destinataires des données, durées de conservation, droits du candidat et possibilité de saisir l’autorité de contrôle. Cette information doit être fournie au moment de la collecte, c’est-à-dire dès le dépôt de la candidature, dans des termes clairs et accessibles. Un bandeau vague qui renvoie à une politique de confidentialité introuvable, ou une information communiquée seulement après le rejet, ne satisfait pas à cette exigence. Lorsque le traitement présente un risque élevé pour les droits des candidats, comme c’est le cas d’une évaluation systématique et automatisée à grande échelle, l’employeur doit en outre mener une analyse d’impact relative à la protection des données avant le déploiement, et être en mesure de justifier les mesures prises pour réduire les risques, y compris le risque de biais discriminatoires.
Ces obligations pèsent sur l’employeur en tant que responsable du traitement, y compris lorsque le logiciel est fourni par un prestataire extérieur en mode SaaS ou cloud. Le contrat qui lie l’employeur à l’éditeur doit alors organiser les rôles de chacun, les instructions données au sous-traitant, la sécurité des données et l’assistance due pour répondre aux demandes des candidats. Un employeur ne peut pas se retrancher derrière son prestataire pour refuser l’accès aux données ou l’explication d’un rejet : le choix d’externaliser l’outil ne transfère pas la responsabilité du respect des droits du candidat. Lorsque l’outil est fourni par un éditeur extérieur, le contrat de sous-traitance doit prévoir la nature et la durée du traitement, les types de données, les mesures de sécurité, l’interdiction de réutiliser les candidatures pour entraîner d’autres modèles sans base légale, et l’assistance due au responsable pour répondre aux demandes d’accès et d’effacement. Le candidat peut demander à connaître l’identité du sous-traitant et la répartition des rôles, car cette information conditionne l’exercice effectif de ses droits.
Avant de déployer un tri automatisé à grande échelle, l’employeur doit en outre s’interroger sur la nécessité d’une analyse d’impact relative à la protection des données, compte tenu du caractère potentiellement à haut risque d’une évaluation systématique des candidats.
B. Aucun rejet exclusivement automatisé sans garanties humaines
La règle centrale figure à l’article 22 du règlement général sur la protection des données. Ce texte dispose que la personne concernée a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire. Le rejet d’une candidature produit un effet significatif au sens de ce texte : il prive la personne d’une chance d’emploi. Dès lors, un refus décidé par le seul logiciel, sans intervention humaine réelle, entre dans le champ de cette protection.
La Cour de justice de l’Union européenne a donné à cette notion une portée large dans son arrêt du 7 décembre 2023 rendu dans l’affaire dite SCHUFA. La direction des affaires juridiques du ministère de l’économie résume ainsi l’apport de la décision : par un arrêt rendu dans l’affaire C-634/21, la Cour de justice de l’Union européenne retient que l’établissement automatisé d’une valeur de probabilité relative à la capacité de remboursement d’un crédit fondé sur les données personnelles constitue une décision individuelle automatisée selon l’article 22 du règlement général sur la protection des données. L’enseignement vaut pour le recrutement : l’établissement automatisé d’un score de compatibilité ou d’une note qui détermine, en fait, l’écartement du candidat constitue une décision individuelle automatisée, même si la décision formelle de refus est ensuite signée par un service des ressources humaines qui se borne à suivre le classement produit par l’outil. Une validation humaine purement formelle, qui ne repose sur aucun réexamen effectif du dossier, ne suffit pas à écarter la qualification.
Le même article 22 organise les garanties dues lorsque le traitement automatisé repose sur l’exécution d’un contrat ou sur le consentement explicite. Dans ces hypothèses, le responsable du traitement met en œuvre des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée, au moins du droit de la personne concernée d’obtenir une intervention humaine de la part du responsable du traitement, d’exprimer son point de vue et de contester la décision. Concrètement, le candidat écarté par le logiciel peut exiger que son dossier soit réexaminé par une personne, présenter ses observations sur les éléments que l’outil a mal interprétés et contester le refus. L’employeur doit avoir organisé ce réexamen humain avant même le déploiement de l’outil, et non l’improviser après une réclamation.
En pratique, le réexamen humain doit être effectif et documenté : la personne qui réexamine le dossier doit disposer du pouvoir de revenir sur le classement proposé par l’outil, et sa décision doit reposer sur une appréciation propre des aptitudes du candidat. Un circuit de validation qui entérine systématiquement la proposition du logiciel, sans examen réel des dossiers écartés, ne constitue pas l’intervention humaine exigée par les textes. Le candidat qui demande ce réexamen peut joindre à sa demande les pièces que l’outil a pu mal interpréter : diplômes, attestations d’expérience, explications sur une période d’inactivité ou sur un parcours atypique. Rappelons à cet égard que les résultats des méthodes d’aide au recrutement sont confidentiels : le candidat peut exiger que ses notes et scores ne circulent pas au-delà des personnes chargées du recrutement.
À ce régime s’ajoute depuis 2024 le règlement européen sur l’intelligence artificielle, qui classe les usages liés à l’emploi parmi les systèmes à haut risque. Son annexe III vise expressément les systèmes d’IA destinés à être utilisés pour le recrutement ou la sélection de personnes physiques, en particulier pour publier des offres d’emploi ciblées, analyser et filtrer les candidatures et évaluer les candidats. Les fournisseurs et déployeurs de ces systèmes sont soumis à des exigences strictes de gestion des risques, de qualité des données, de documentation et de contrôle humain. Selon le calendrier officiel présenté par l’administration française, le 2 août 2026 marque l’application complète aux systèmes d’IA à haut risque déjà identifiés, tels que ceux utilisés dans la biométrie, les infrastructures critiques, l’éducation, l’emploi ou la justice. Pour ces systèmes, il est également obligatoire de prévoir une supervision humaine pour éviter que des décisions importantes soient prises uniquement par des machines. Un candidat rejeté en 2026 peut donc utilement vérifier si l’outil qui l’a écarté relève de ce régime et si le déployeur respecte les obligations de supervision et de documentation qui en découlent.
Du côté de l’employeur, la conformité d’un tel dispositif suppose un travail préalable documenté : cartographier les données réellement utilisées par l’outil, écarter les variables sans lien direct avec le poste, tester le système sur des jeux de données représentatifs pour détecter les écarts entre catégories de candidats, former les équipes de recrutement à ne pas suivre aveuglément les recommandations du logiciel, et organiser une voie de recours interne simple pour les candidats écartés. Cette documentation n’est pas une formalité : en cas de contrôle de la CNIL ou de contentieux, c’est elle qui permet de démontrer que la décision n’était pas exclusivement automatisée et que les biais ont été recherchés puis corrigés. À l’inverse, l’absence de toute documentation sur le fonctionnement de l’outil et sur le rôle respectif de la machine et des recruteurs constitue un indice sérieux de manquement, que le candidat peut relever dans sa plainte comme devant le juge.
II. Contester le rejet et obtenir réparation
A. Accéder aux données, comprendre la logique et saisir la CNIL
La première démarche consiste à exercer le droit d’accès. Le règlement européen dispose que la personne concernée a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, dans ce cas, l’accès à ces données ainsi qu’à une série d’informations, au nombre desquelles figure l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée. La demande doit être adressée à l’employeur qui a publié l’offre, de préférence par écrit, en précisant qu’elle porte sur l’ensemble du dossier de candidature, les notes et scores attribués, les critères appliqués par l’outil et la logique suivie. Pour un éclairage complet sur l’exercice de ce droit, ses délais et ses recours, le lecteur peut se reporter à notre analyse dédiée au droit d’accès aux données personnelles, à la copie et aux recours devant la CNIL et le juge.
L’employeur ne peut pas répondre par un simple rappel du motif légitime du refus ni opposer le secret de l’algorithme pour éluder toute explication. Le droit d’accès inclut les informations utiles sur la logique sous-jacente et les conséquences du traitement, ce qui impose de décrire en termes compréhensibles les critères déterminants, leur pondération et le rôle exact joué par l’outil dans la décision. Si la réponse est incomplète, évasive ou tardive, ce silence constitue un indice supplémentaire de manquement et prépare la saisine de l’autorité de contrôle.
Le règlement impose à l’employeur de répondre dans un délai précis : le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, à condition d’en informer le candidat dans le premier mois. Passé ce délai sans réponse complète, le candidat peut saisir l’autorité de contrôle, car sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement. Pour le candidat qui postule en France, la CNIL est l’autorité compétente, quel que soit le lieu d’établissement de l’éditeur du logiciel.
La deuxième démarche porte sur la conservation du dossier. La CNIL indique qu’à la condition de vous en informer et d’avoir obtenu votre accord, un recruteur peut conserver vos données personnelles même si vous n’obtenez pas le poste et précise que le dossier pourra être conservé 2 ans après votre dernier contact avec le recruteur, ou plus longtemps si vous avez donné votre accord formel. Le candidat dont le dossier est conservé au-delà de ce délai sans accord, ou qui souhaite s’opposer à toute conservation dans un vivier, peut exiger l’effacement et, à défaut d’exécution, saisir la CNIL. À Paris comme en Île-de-France, où se concentrent les sièges sociaux et les directions des ressources humaines, ces demandes écrites gagnent à être adressées à la fois au recruteur opérationnel et au délégué à la protection des données de l’entreprise, dont les coordonnées figurent en principe dans la politique de confidentialité du site de recrutement.
La troisième démarche est la plainte devant la CNIL, compétente pour contrôler le respect du règlement européen et de la loi nationale. La plainte doit exposer les faits dans l’ordre chronologique, joindre l’offre, la candidature, le refus automatisé, les demandes adressées à l’employeur et ses réponses, et identifier précisément les manquements allégués : absence d’information préalable sur l’outil, décision exclusivement automatisée sans réexamen humain, refus d’accès à la logique, conservation excessive. Lorsque la CNIL ne répond pas ou tarde à traiter la plainte, des recours existent pour relancer la procédure et la contester, que nous décrivons dans notre dossier sur la plainte CNIL sans réponse, son dépôt, sa relance et sa contestation. La saisine de l’autorité de contrôle n’exclut pas l’action devant le juge : les deux voies peuvent être menées de front, et les constatations de la CNIL, lorsqu’elles existent, éclairent utilement le débat judiciaire.
B. Prouver la discrimination et demander réparation au juge
Le tri automatisé présente un risque documenté de discrimination indirecte : un critère apparemment neutre, tel que la disponibilité immédiate, la continuité du parcours ou la proximité géographique déduite du code postal, peut défavoriser une catégorie de candidats. La loi est claire : aucune personne ne peut être écartée d’une procédure de recrutement en raison de l’un des motifs prohibés, au nombre desquels figurent notamment l’origine, le sexe, la situation de famille, l’âge, le handicap ou l’adresse. Lorsqu’un outil reproduit des biais présents dans les données d’apprentissage ou dans les recrutements passés, l’employeur qui l’utilise sans contrôle répond des écarts qu’il produit.
Le régime probatoire applicable au candidat est aménagé. La loi dispose que le candidat présente des éléments de fait laissant supposer l’existence d’une discrimination, puis qu’au vu de ces éléments, il incombe à la partie défenderesse de prouver que sa décision est justifiée par des éléments objectifs étrangers à toute discrimination. Le candidat n’a donc pas à rapporter la preuve complète de la discrimination : des statistiques sur les profils écartés, des captures montrant des formulations d’offre ou des critères suspects, des échanges avec le recruteur ou des comparaisons avec des profils similaires retenus peuvent suffire à faire naître le doute. La loi ajoute que le juge forme sa conviction après avoir ordonné, en cas de besoin, toutes les mesures d’instruction qu’il estime utiles, ce qui autorise le juge à ordonner la production des données de recrutement, des grilles de notation ou des dossiers de candidats comparables.
La Cour de cassation veille à l’effectivité de ce régime. Dans un arrêt du 5 février 2025 publié au bulletin (pourvoi n° 23-15.776), la chambre sociale a jugé que, lorsque le salarié présente plusieurs éléments de fait constituant selon lui une discrimination, il appartient au juge d’apprécier si ces éléments pris dans leur ensemble laissent supposer l’existence d’une telle discrimination et, dans l’affirmative, il incombe à l’employeur de prouver que ses décisions sont justifiées par des éléments objectifs étrangers à toute discrimination, le juge formant sa conviction après avoir ordonné, en cas de besoin, toutes les mesures d’instruction qu’il estime utiles. La solution, rendue en matière de carrière, éclaire les litiges d’embauche : face à un candidat qui produit des éléments laissant supposer une discrimination, la juridiction saisie apprécie ces éléments ensemble et ordonne au besoin les mesures d’instruction propres à départager les parties, plutôt que de rejeter la demande au seul motif que le candidat ne dispose pas des pièces détenues par l’employeur. Dans le même sens, les juges du fond ordonnent régulièrement la production de données de comparaison, comme l’a fait la cour d’appel de Versailles le 24 novembre 2022 en enjoignant à l’employeur de communiquer la liste et les rémunérations de salariés placés dans une situation comparable. Pour le candidat écarté par un logiciel, l’enjeu est identique : obtenir la communication des critères appliqués, des distributions de notes et des profils retenus, afin de vérifier si l’outil a produit un écart systématique au détriment d’une catégorie protégée.
Le testing, pratiqué avec méthode et loyauté, reste un mode de preuve admis pour révéler une discrimination à l’embauche, et les statistiques issues des propres données de recrutement de l’entreprise, une fois communiquées sur injonction du juge, permettent de vérifier si l’outil écarte systématiquement certains profils. Ces éléments, combinés aux écrits conservés dès le refus, forment le socle du dossier soumis à la juridiction.
Sur le terrain indemnitaire, le règlement européen ouvre une action autonome : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le candidat peut ainsi demander réparation du préjudice causé par une décision exclusivement automatisée, un défaut d’information ou un refus d’accès, indépendamment de toute discrimination. Lorsque la discrimination est établie, s’y ajoutent les réparations prévues par le droit du travail, la perte de chance d’obtenir l’emploi et le préjudice moral lié à l’atteinte à l’égalité de traitement. L’action en responsabilité se prescrit selon le droit commun : les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. En pratique, le point de départ court du jour où le candidat a connu les faits permettant d’agir, ce qui suppose souvent d’avoir d’abord obtenu, par le droit d’accès, les informations sur l’outil et la logique du rejet. D’où l’importance d’agir vite : exercer ses droits par écrit dès le refus, conserver toutes les preuves et ne pas laisser passer les mois sans constituer le dossier.
La responsabilité prévue par le règlement européen présente un atout procédural important : elle peut être recherchée à la fois contre l’employeur responsable du traitement et contre le prestataire sous-traitant, et chacun des co-responsables peut être tenu pour la totalité du dommage afin de garantir une réparation effective. Le candidat n’a donc pas à démêler seul la chaîne des responsabilités techniques entre l’entreprise qui recrute et l’éditeur du logiciel : il peut agir contre l’employeur, à charge pour ce dernier d’appeler son prestataire en garantie. Cette architecture rend l’action indemnitaire praticable même lorsque l’outil est développé et hébergé par un tiers, y compris hors de France. Elle complète utilement l’action en discrimination du Code du travail, qui vise pour sa part l’employeur et peut donner lieu à des dommages-intérêts réparant la perte de chance et le préjudice moral.
Le candidat francilien saisira le conseil de prud’hommes compétent pour le litige lié au recrutement, la juridiction judiciaire pour la réparation fondée sur le règlement européen et la CNIL, dont le siège est à Paris, pour la voie administrative. Ces voies se combinent : droit d’accès et demande de réexamen humain auprès de l’employeur, plainte devant la CNIL en cas de manquement persistant, puis action en réparation et, le cas échéant, en discrimination devant le juge avec demande de mesures d’instruction. Chaque étape documente la suivante, et c’est cette chaîne de preuves écrites qui fait la force du dossier.
Un refus de candidature décidé par un logiciel n’est donc jamais une fatalité juridique. L’employeur doit informer, limiter la collecte, garantir un réexamen humain et documenter la pertinence de ses outils ; le candidat peut exiger l’accès, comprendre la logique, faire effacer ses données, saisir la CNIL et demander réparation au juge. Face à la généralisation de ces outils et à l’entrée en application complète du régime européen de l’intelligence artificielle à haut risque en 2026, les candidats qui conservent leurs écrits et exercent leurs droits sans tarder se donnent les moyens de transformer un courriel de refus automatique en un dossier solidement étayé.