I. Ce que l’employeur peut et ne peut pas regarder sur vous avant de vous choisir
A. Trois verrous cumulatifs : finalité, information préalable et loyauté de la collecte
Le premier verrou tient à la finalité. L’article L1221-6 du Code du travail dispose que les informations demandées au candidat, sous quelque forme que ce soit, ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles (article L1221-6 du Code du travail). Le texte ajoute que ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. La formule vise les informations demandées, mais la logique vaut pour celles que l’employeur va chercher lui-même : consulter un profil en ligne pour y relever des éléments de vie privée sans rapport avec le poste méconnaît cette exigence, car la collecte ne sert alors ni la capacité à occuper l’emploi ni les aptitudes professionnelles. Vérifier sur LinkedIn la cohérence d’un parcours, la maîtrise d’un outil métier ou l’existence d’une expérience revendiquée présente en revanche, pour un poste qui l’exige, le lien direct et nécessaire requis. Explorer un compte Facebook pour y découvrir les opinions, la vie de famille, l’état de santé ou les engagements d’un candidat ne le présente pas.
Le deuxième verrou tient à l’information préalable. L’article L1221-8 du Code du travail prévoit que le candidat est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard, et que ces méthodes doivent être pertinentes au regard de la finalité poursuivie (article L1221-8 du Code du travail). L’article L1221-9 ajoute qu’aucune information concernant personnellement un candidat ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1221-9 du Code du travail). La recherche du nom d’un candidat sur un moteur, la consultation de ses profils et l’enregistrement de captures d’écran constituent une méthode d’évaluation au sens de ces textes dès lors qu’elles alimentent la décision de recruter ou d’écarter. Un employeur qui passe systématiquement les candidats au crible des réseaux sans les en avoir informés avant s’expose donc à la critique sur deux fondements à la fois : défaut d’information préalable et collecte par un dispositif tenu secret. L’article L1121-1 du même code rappelle la règle de fond qui surplombe l’ensemble : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché (article L1121-1 du Code du travail).
Le troisième verrou tient au droit des données personnelles. Dès qu’une information trouvée en ligne est enregistrée, classée ou réutilisée pour évaluer une candidature, l’opération constitue un traitement soumis au Règlement général sur la protection des données. L’article 5 du règlement impose que les données soient traitées de manière licite, loyale et transparente, collectées pour des finalités déterminées, explicites et légitimes, et surtout limitées à ce qui est nécessaire au regard des finalités poursuivies, selon le principe de minimisation des données (guide CNIL sur le recrutement). Cette minimisation interdit de ratisser large : aspirer l’intégralité d’un profil, de ses photos et de ses interactions pour un poste sans rapport avec ces éléments dépasse ce qui est nécessaire. Quant à la base juridique, l’employeur invoque en pratique ses intérêts légitimes, mais le règlement ne l’autorise que si le traitement reste nécessaire à ces intérêts et que ne prévalent pas les intérêts ou les libertés et droits fondamentaux du candidat, une balance que le juge apprécie au regard du lien entre les finalités, du contexte et de la nature des données (arrêt du 3 octobre 2024, pourvoi n° 21-20.979). La seconde chambre civile de la Cour de cassation, dans un arrêt du 3 octobre 2024 rendu sur avis de la chambre sociale, rappelle d’ailleurs que le juge doit apprécier la licéité au regard de l’article 6 en tenant compte du lien entre les finalités, du contexte de la collecte et de la nature des données (arrêt du 3 octobre 2024, pourvoi n° 21-20.979). Des photographies publiées dans un cadre privé puis réutilisées pour juger une candidature changent de finalité, et ce changement doit être justifié : la compatibilité entre la finalité initiale de publication et la finalité de recrutement ne se présume pas.
L’obligation d’information du RGPD s’ajoute à celle du Code du travail sans s’y substituer. Lorsque les données n’ont pas été collectées auprès de la personne elle-même, ce qui est le cas d’une recherche en ligne à son insu, le règlement lui impose de fournir spontanément une série d’informations : identité du responsable, finalités et base juridique, catégories de données, source des données, y compris lorsqu’elles proviennent de sources accessibles au public, et existence de ses droits (guide CNIL sur le recrutement). Cette information doit intervenir au plus tôt, et au plus tard dans un délai d’un mois à compter de la collecte, ou au plus tard au moment de la première communication avec la personne (guide CNIL sur le recrutement). Concrètement, un candidat qui découvre au premier entretien que le recruteur connaît le contenu de ses publications peut exiger de savoir quelles données ont été collectées, dans quel but et sur quel fondement. Si l’employeur envisage en outre d’utiliser ces données pour une autre finalité que celle de leur collecte initiale, il doit en informer la personne au préalable (guide CNIL sur le recrutement).
La position de la CNIL sur ces pratiques est nette et elle distingue deux situations. À la question de savoir si l’employeur peut rechercher des données sur un candidat sur Internet, l’autorité répond oui pour les sites de recrutement payants et pour les réseaux sociaux professionnels, dont l’objectif professionnel est clairement identifié, et non pour les réseaux sociaux personnels tels que Facebook ou les forums, ni pour la simple frappe du nom sur un moteur de recherche : ces derniers révèlent souvent de nombreuses informations relatives à la vie privée et une telle collecte s’apparente à une enquête de moralité (question-réponse de la CNIL sur le recrutement et Internet). Le guide de la CNIL consacré au recrutement précise la même ligne de conduite : il est recommandé aux recruteurs d’éviter par principe la consultation de toutes sources autres que les réseaux sociaux, sites et plateformes spécialement dédiés à des échanges professionnels, toute exception devant être justifiée et limitée à des types de postes spécifiques, formalisée dans une charte et accompagnée d’une sensibilisation des personnes chargées du recrutement (guide CNIL sur le recrutement, fiche consacrée aux sources ouvertes). Autrement dit, consulter LinkedIn pour vérifier un parcours reste admis dans le cadre rappelé plus haut, tandis que fouiller Facebook, Instagram ou TikTok pour sonder la personnalité du candidat est, sauf justification particulière liée au poste, une collecte illicite.
B. Public ou privé : la frontière que les juges appliquent déjà aux contenus en ligne
La deuxième question est celle du statut de ce que l’employeur a trouvé. Tout ce qui figure sur Internet n’est pas librement exploitable contre un candidat. Les juges distinguent les contenus selon leur audience et leur destination, et cette distinction, forgée dans le contentieux du licenciement, éclaire directement le recrutement.
La chambre sociale de la Cour de cassation a jugé le 30 septembre 2020 que des éléments publiés sur un compte Facebook privé, accessible uniquement à des personnes préalablement approuvées et en nombre limité, relèvent de la vie privée (arrêt du 30 septembre 2020, pourvoi n° 19-12.058). Dans cette affaire, l’employeur avait produit la photographie d’une future collection publiée par une salariée sur son compte privé pour établir une faute : la Cour a admis la preuve parce que sa production était indispensable à l’exercice du droit à la preuve et proportionnée au but poursuivi, mais elle a maintenu la qualification des contenus privés. Le même arrêt rappelle la double exigence qui encadre toute preuve portant atteinte à la vie privée : d’une part, l’employeur ne peut avoir recours à un stratagème pour recueillir une preuve, et d’autre part, le droit à la preuve ne justifie la production d’éléments portant atteinte à la vie privée qu’à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi (arrêt du 30 septembre 2020, pourvoi n° 19-12.058). Transposée au recrutement, cette grille signifie qu’un employeur ne peut ni ruser pour accéder à un compte verrouillé, par exemple en créant un faux profil pour s’y faire accepter, ni exploiter des contenus privés sans rapport nécessaire avec le poste.
L’Assemblée plénière de la Cour de cassation a confirmé cette logique le 22 décembre 2023 à propos d’une conversation échangée sur la messagerie privée attachée au compte Facebook d’un salarié : une conversation privée qui n’était pas destinée à être rendue publique ne peut constituer un manquement aux obligations découlant du contrat de travail (arrêt d’Assemblée plénière du 22 décembre 2023, pourvoi n° 21-11.330). Ces deux décisions portent sur des licenciements et non sur des refus d’embauche, de sorte qu’elles ne tranchent pas à elles seules le sort d’une candidature écartée après une fouille en ligne. Elles fixent toutefois la méthode que les juges appliquent aux contenus des réseaux sociaux : ce qui a été publié dans un cercle restreint, sans intention de le rendre public, garde la protection de la vie privée et ne peut servir de grief professionnel. Un recruteur qui écarte un candidat en se fondant sur des publications à audience restreinte, des messages privés ou des photos partagées entre proches s’appuie donc sur des éléments que la jurisprudence refuse déjà de traiter comme des faits professionnels.
Reste le cas des contenus publiés en mode public : accessibles à tous, ils ne bénéficient pas de la même protection de principe. Pour autant, leur exploitation dans un recrutement reste soumise aux trois verrous décrits plus haut. Un contenu public peut être regardé, mais dès qu’il est collecté et utilisé pour évaluer la candidature, le lien direct et nécessaire avec le poste, l’information préalable du candidat et la minimisation des données s’imposent. Et lorsque les éléments publics révèlent des données sensibles, opinions politiques, convictions religieuses, état de santé, appartenance syndicale ou orientation sexuelle, leur utilisation expose l’employeur à un risque supplémentaire : celui d’une discrimination. Le guide de la CNIL met en garde contre ce risque précis et recommande d’écarter par principe les sources non professionnelles, où la probabilité de rencontrer des informations sans lien avec les activités professionnelles est très élevée (guide CNIL sur le recrutement). Si le refus d’embauche paraît motivé par un tel critère, le candidat peut aussi agir sur le terrain de la discrimination, notamment en exigeant la communication de son dossier de recrutement comme l’explique l’analyse consacrée au refus d’embauche discriminatoire et au dossier de recrutement. Les questions posées en entretien obéissent à la même logique de pertinence, ainsi que le détaille l’analyse des questions interdites et des tests à l’embauche.
En pratique, la presse spécialisée relève que la fouille en ligne est devenue massive : selon une enquête menée en 2025 auprès de 489 recruteurs, 68 % d’entre eux déclarent avoir déjà recherché des informations en ligne sur un candidat et, dans 65 % des cas, cette recherche a influencé leur décision (enquête Hellowork 2025 citée par Helloworkplace). Ces chiffres, issus d’une enquête d’éditeur et non d’une mesure officielle, montrent l’ampleur du phénomène et l’intérêt pour le candidat de savoir ce qui a pu être collecté sur lui. Le même article distingue la simple consultation d’un profil de sa collecte : dès qu’une information est conservée, par exemple par capture d’écran, ou réutilisée pour évaluer la candidature, le candidat doit en être informé et les données doivent présenter un lien direct avec le poste (analyse Helloworkplace de la vérification des réseaux sociaux). Cette distinction rejoint les textes : regarder sans enregistrer n’est pas un traitement, enregistrer pour décider en est un.
II. Écarté après une fouille en ligne : exiger le dossier, faire effacer et obtenir réparation
A. Accéder aux données collectées sur vous et en exiger la suppression
Le premier réflexe consiste à demander des comptes par écrit : quelles données l’employeur a-t-il collectées sur vous, d’où viennent-elles et à quoi ont-elles servi. Le règlement donne à toute personne « le droit d’obtenir du responsable du traitement l’accès aux données à caractère personnel la concernant qui ont été traitées par lui », ainsi que la communication des informations qui les accompagnent : finalités, catégories de données, destinataires, durée de conservation, droits disponibles et source des données (décision du Conseil d’État du 27 mai 2026, n° 502561). Le responsable « fournit une copie des données à caractère personnel faisant l’objet d’un traitement » et il doit répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande (fiche de la CNIL sur le droit d’accès). La demande se fait par écrit, auprès du service des ressources humaines ou du délégué à la protection des données si l’entreprise en a désigné un, en joignant un justificatif d’identité et en décrivant précisément le poste et la période de candidature pour faciliter la recherche.
Ce droit d’accès a des limites que le Conseil d’État a précisées le 27 mai 2026 dans une affaire où un candidat pilote réclamait à une compagnie aérienne la communication des grilles d’évaluation de sa candidature (décision du Conseil d’État du 27 mai 2026, n° 502561). La compagnie avait transmis les résultats aux tests, les commentaires des recruteurs et la synthèse du débriefing, mais refusait la grille d’évaluation elle-même au nom du secret des affaires. Le Conseil d’État a rejeté le recours : le droit d’obtenir une copie ne porte pas atteinte aux droits et libertés d’autrui, au nombre desquels figure le secret des affaires, et la CNIL, saisie de la plainte, avait implicitement mais nécessairement mis en balance ce droit d’accès avec la protection du secret des affaires sans entacher sa décision d’erreur d’appréciation (décision du Conseil d’État du 27 mai 2026, n° 502561). Le secret des affaires invoqué doit toutefois répondre aux trois critères légaux : information ni généralement connue ni aisément accessible, valeur commerciale effective ou potentielle du fait de son caractère secret, et mesures de protection raisonnables prises par son détenteur (article L151-1 du Code de commerce). Pour le candidat, l’enseignement est double : il obtient les données qui le concernent, notes, commentaires, résultats et appréciations, mais pas nécessairement les outils internes d’évaluation eux-mêmes, grilles, pondérations et algorithmes, lorsque ceux-ci relèvent d’un savoir-faire protégé. La balance penche d’autant plus en faveur de l’accès que l’employeur n’a presque rien communiqué : dans l’affaire jugée, la compagnie avait déjà transmis l’essentiel, ce qui permettait au candidat d’exercer ses autres droits.
Le même arrêt éclaire la procédure devant la CNIL. Lorsqu’un candidat saisit l’autorité d’une plainte portant sur ses droits individuels, accès, rectification, effacement, limitation ou opposition, le large pouvoir d’appréciation dont la CNIL dispose pour donner suite aux plaintes s’exerce sous l’entier contrôle du juge de l’excès de pouvoir (décision du Conseil d’État du 27 mai 2026, n° 502561). Concrètement, la CNIL peut clôturer une plainte après un simple rappel à l’ordre suivi d’une régularisation, et le juge ne censurera cette clôture qu’en cas d’erreur manifeste dans la balance des droits. Le candidat a donc intérêt à formuler une demande d’accès complète et documentée avant de saisir l’autorité, puis à contester la clôture s’il estime que la balance a été faussée. À noter : un retard de communication par l’employeur ne suffit pas à lui seul à vicier la clôture, et la communication peut prendre la forme d’une retranscription manuelle dès lors que les documents transmis restent intelligibles.
Le deuxième levier est l’effacement. Le règlement ouvre à toute personne le droit d’obtenir l’effacement de ses données lorsque celles-ci ne sont plus nécessaires au regard des finalités de leur collecte, lorsque la personne s’y oppose sans motif légitime impérieux du responsable, ou lorsque les données ont fait l’objet d’un traitement illicite (les droits pour maîtriser vos données personnelles, CNIL). Une collecte opérée sur Facebook à l’insu du candidat, sans lien avec le poste et sans information préalable, cumule les trois motifs : finalité détournée, opposition légitime et illicéité. Toute personne peut en outre s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur les intérêts légitimes du responsable, lequel doit alors cesser le traitement sauf à démontrer des motifs légitimes et impérieux qui prévalent (les droits pour maîtriser vos données personnelles, CNIL). En pratique, la demande d’effacement vise les captures conservées dans le dossier de candidature, les appréciations qui en découlent et, plus largement, tout profil constitué à partir des réseaux. Pour la conservation ordinaire des dossiers, la CNIL recommande de ne pas excéder en principe deux ans à compter du dernier contact avec la personne pour alimenter un vivier de candidats, ce qui fixe un repère utile : passé ce délai, et a fortiori en l’absence de tout consentement au vivier, l’effacement s’impose (guide CNIL sur le recrutement). Cette durée de deux ans est une recommandation de l’autorité et non un délai légal couperet, mais elle structure l’argumentaire.
B. Prouver la fouille, saisir la CNIL et le juge, et demander réparation
Prouver que l’employeur a fouillé vos réseaux est souvent le point délicat, car la consultation ne laisse pas toujours de trace entre vos mains. Plusieurs éléments peuvent néanmoins l’établir : les propos tenus en entretien qui reprennent des informations que vous n’avez jamais fournies, des courriels ou messages qui y font référence, les captures que vous avez vous-même conservées de vos paramétrages de confidentialité à la date des faits, et les demandes d’ajout ou visites de profils identifiables. Lorsque l’employeur produit lui-même en justice les éléments trouvés en ligne, la question de la loyauté de sa preuve se pose dans les termes rappelés par la Cour de cassation : pas de stratagème, production indispensable et atteinte proportionnée (arrêt du 30 septembre 2020, pourvoi n° 19-12.058). La chambre sociale a précisé en 2023 que « l’illicéité d’un moyen de preuve n’entraîne pas nécessairement son rejet des débats », le juge devant alors apprécier, en mettant en balance le droit au respect de la vie personnelle et le droit à la preuve, si la production contestée était indispensable à l’exercice de ce droit et strictement proportionnée au but poursuivi (arrêt du 8 mars 2023, pourvoi n° 21-17.802). Le candidat qui rapporte ses propres constats, attestations et échanges écrits se place sur le terrain le plus solide : des preuves loyalement obtenues par lui-même, sans procédé clandestin.
La voie non juridictionnelle passe par la CNIL, dont le siège est à Paris et qui reçoit les plaintes en ligne. La plainte doit décrire la chronologie : candidature, poste, absence d’information sur une consultation des réseaux, éléments montrant que des contenus en ligne ont été exploités, demandes d’accès et d’effacement restées sans réponse ou incomplètes. Joignez les pièces : annonce, échanges avec le recruteur, copie de votre demande d’accès et de la réponse, captures de vos paramétrages. Comme l’a jugé le Conseil d’État, la CNIL dispose d’un large pouvoir d’appréciation sur les suites, mise en demeure, rappel à la loi ou clôture, mais ce pouvoir est entièrement contrôlé par le juge lorsqu’il touche à vos droits individuels. Une mise en demeure ou une sanction de la CNIL constitue ensuite un appui sérieux pour l’action en réparation, sans être un préalable obligatoire.
La voie juridictionnelle relève du juge judiciaire. Tout manquement aux règles du recrutement et des données personnelles peut être porté devant lui, et le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ses règles le droit d’obtenir réparation du préjudice subi (les droits pour maîtriser vos données personnelles, CNIL). Le préjudice peut être moral : perte de chance d’obtenir l’emploi, atteinte à la vie privée, anxiété liée à l’exploitation de contenus personnels. Sa démonstration exige des éléments concrets : la chronologie entre la fouille et l’éviction, la teneur des contenus exploités, leur absence de lien avec le poste, et le défaut d’information préalable. Le responsable du traitement ne s’exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable, et lorsque plusieurs acteurs participent au traitement, par exemple un cabinet de recrutement et l’entreprise cliente, chacun peut être tenu pour l’ensemble afin de garantir une réparation effective (les droits pour maîtriser vos données personnelles, CNIL). Si des indices laissent penser que l’éviction repose sur un critère prohibé révélé par la fouille, origine, opinions, santé, situation familiale, l’action peut être articulée avec le contentieux du refus d’embauche discriminatoire.
Avant tout contentieux, une mise en demeure adressée à l’employeur reste l’étape qui débloque le plus de situations : rappel des trois verrous, demande de copie des données collectées sur le fondement de l’article 15, demande d’effacement sur le fondement des articles 17 et 21, et délai de réponse d’un mois conforme à l’article 12. Cette lettre fige aussi la preuve de vos démarches pour la CNIL et le juge. Conservez-en une copie ainsi que de tous les échanges, car c’est sur pièces que se gagne ce contentieux : ce que l’employeur savait de vous, d’où il le tenait, et ce qu’il en a fait.
Conclusion
Un employeur peut vérifier un parcours sur un réseau professionnel identifié comme tel, à condition d’en informer le candidat au préalable et de se limiter aux informations présentant un lien direct et nécessaire avec le poste. Il ne peut en revanche ni explorer à son insu les réseaux personnels et les moteurs de recherche pour sonder sa vie privée, ni conserver et exploiter ces contenus pour l’écarter, ni opposer le silence à une demande d’accès ou d’effacement. Le candidat écarté dans ces conditions dispose d’un chemin gradué : demander par écrit la copie des données collectées et leur effacement, saisir la CNIL en ligne en cas de réponse insuffisante, puis porter le litige devant le juge judiciaire pour faire constater la violation et obtenir réparation du préjudice matériel et moral. La décision du Conseil d’État du 27 mai 2026 rappelle que l’accès a pour limite le secret des affaires des outils d’évaluation, mais elle confirme que les données vous concernant, notes et appréciations, doivent vous être communiquées et que la balance opérée par la CNIL est entièrement contrôlée par le juge. Face à une fouille en ligne, le bon réflexe reste donc le même : exiger par écrit ce qui a été collecté, en vérifier la licéité au regard du poste, et agir vite, pièces en main, dès que la réponse manque ou élude.