Vous avez envoyé un CV, passé un entretien, puis demandé au recruteur, à l’ESN ou à la plateforme de supprimer vos données. Rien ne se passe : pas de confirmation, parfois même de nouveaux appels ou de nouveaux messages. Ce n’est pas un simple désagrément administratif. Le curriculum vitae, les comptes rendus d’entretien, les notes de présélection et l’historique de candidature sont des données à caractère personnel. Leur conservation et leur usage relèvent du règlement (UE) 2016/679 (RGPD) et de la loi n° 78-17 du 6 janvier 1978. Le droit à l’effacement n’est pas un slogan : il s’exerce dans des conditions précises, dans un délai d’un mois, et son ignorance expose l’organisme à la plainte, au juge et à la sanction.
Le 9 septembre 2026, la CNIL a rendu publique la délibération SAN-2026-010 du 21 juillet 2026 infligeant 300 000 euros d’amende à la société EXTIA, ESN qui recrute des consultants pour les affecter chez ses clients. Sur 265 demandes d’effacement reçues en 2024, émanant surtout de candidats, plus des trois quarts n’avaient pas été traitées de façon satisfaisante. Douze demandes n’avaient pas été traitées du tout ; 166 personnes n’avaient pas été informées des suites ; 27 réponses étaient hors délai. La formation restreinte a retenu des manquements aux articles 12 et 17 du RGPD. Cette décision ne crée pas un droit nouveau. Elle montre, dossier après dossier, ce que le recruteur doit faire, ce qu’il ne peut plus opposer et comment le candidat, le consultant non retenu ou l’ancien salarié peut agir.
Le présent article distingue le droit applicable au CV et à la candidature, les exceptions réellement opposables, puis la méthode pour obtenir l’effacement, la réponse écrite et, si besoin, l’intervention de la CNIL ou du juge. Il ne se substitue pas à l’analyse d’un dossier : la base légale, la durée de conservation et les pièces à conserver varient selon que vous êtes candidat spontané, candidat qualifié, salarié sorti des effectifs ou personne prospectée sans avoir postulé.
I. Quand le droit à l’effacement s’applique à votre CV et à vos données de candidature
Le recruteur qui collecte un CV, qui contacte un profil sur une plateforme ou qui classe une candidature dans un vivier met en œuvre un traitement. Avant de parler de délai ou de plainte, il faut identifier qui décide, sur quel fondement et à quelles conditions l’effacement peut être exigé.
A. Le recruteur est responsable du traitement : conditions de l’article 17
L’article 4 du RGPD définit le responsable du traitement comme la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement . Dans un recrutement, c’est en principe l’entreprise ou l’ESN qui décide de collecter les candidatures, de les scorer, de les conserver et de relancer les profils. Un éditeur de logiciel de recrutement ou une plateforme d’offres peut n’être que sous-traitant s’il agit sur instruction. Il peut aussi être responsable, ou responsable conjoint, s’il détermine lui-même les finalités. Cette qualification n’est pas une étiquette commerciale : elle commande à qui adresser la demande.
La délibération SAN-2026-010 l’illustre. EXTIA recrutait par candidatures spontanées et par recherche active sur des sites spécialisés. Elle administrait elle-même l’outil de gestion des candidatures. La formation restreinte a jugé qu’elle était responsable des traitements de ressources humaines, lesquels impliquent en particulier le traitement des données à caractère personnel des candidats et des salariés, à des fins de recrutement et de gestion du personnel . Le fait que des données transitent par un logiciel interne n’a pas dilué cette qualité.
Le traitement doit d’abord être licite. L’article 6, paragraphe 1, du RGPD n’admet un traitement que si l’une des conditions qu’il énumère est remplie. Pour une candidature active, le fondement le plus fréquent est la nécessité de mesures précontractuelles prises à la demande de la personne (point b). Pour un vivier, une CVthèque ou une relance après un refus, le recruteur invoque souvent l’intérêt légitime (point f) ou le consentement (point a). Aucun de ces fondements n’autorise une collecte illimitée. L’article 5, paragraphe 1, point e) impose que les données soient conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées .
Le droit à l’effacement est posé par l’article 17, paragraphe 1, du RGPD : La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique . Parmi ces motifs figurent, notamment, le fait que les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière (point a), le retrait du consentement lorsqu’il n’existe pas d’autre fondement (point b), l’opposition en l’absence de motif légitime impérieux (point c) et le traitement illicite (point d).
Pour un candidat non retenu, le motif le plus direct est souvent le point a : le poste est pourvu, le process est clos, le CV n’est plus nécessaire à cette finalité. Si le recruteur dit conserver le profil au cas où , il change de finalité. Il doit alors justifier un nouveau fondement, informer la personne et lui permettre de s’y opposer. L’article 21, paragraphe 1, du RGPD reconnaît le droit de s’opposer, pour des raisons tenant à la situation particulière, à un traitement fondé sur l’intérêt légitime. Cette opposition, si elle l’emporte, ouvre elle-même le droit à l’effacement au titre de l’article 17, paragraphe 1, point c).
La loi française ne crée pas un régime parallèle. L’article 51 de la loi du 6 janvier 1978, dans sa version en vigueur depuis le 1er juin 2019, dispose : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016 ». Le même article ajoute qu’en cas de non-exécution de l’effacement ou d’absence de réponse dans un délai d’un mois, la personne « peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation ». Ce délai interne à la CNIL n’est pas une garantie de résultat : il organise l’examen de la réclamation, pas la suppression automatique du fichier.
Ce droit n’est pas le déréférencement d’un résultat de recherche. Effacer le CV chez le recruteur et demander à un moteur de déréférencer une page publique sont deux procédures distinctes, avec des destinataires et des exceptions différents. Mélanger les deux fait perdre des semaines.
B. Durées, exceptions et information : ce que le recruteur peut vraiment opposer
Le droit à l’effacement n’est pas absolu. L’article 17, paragraphe 3, du RGPD écarte les paragraphes 1 et 2 lorsque le traitement est nécessaire, notamment, pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’État membre (point b) ou à la constatation, à l’exercice ou à la défense de droits en justice (point e). Un recruteur peut donc, dans certaines hypothèses, refuser d’effacer. Encore faut-il qu’il identifie l’obligation ou le litige, qu’il limite la conservation à ce qui est nécessaire, et qu’il l’explique.
Pour un candidat jamais embauché, les obligations de conservation du bulletin de paie, du registre unique du personnel ou des déclarations sociales ne s’appliquent pas. Le refus on garde tout deux ans, c’est la loi est inexact : aucune disposition légale n’impose, à elle seule, de conserver deux ans le CV d’un candidat écarté. La CNIL, dans une fiche destinée aux TPE et PME du 30 janvier 2023, indique qu’en cas d’issue négative, conserver le CV pour un vivier est possible sous réserve que la durée de conservation n’excède en principe pas deux ans et que le candidat en ait été informé, à compter du dernier contact avec ce candidat . Dans sa réponse CNIL Direct, elle précise que le dossier pourra être conservé 2 ans après votre dernier contact avec le recruteur, ou plus longtemps si vous avez donné votre accord formel , à la condition d’informer la personne et d’avoir obtenu son accord. Ces textes sont des orientations de l’autorité, pas un article de loi. Ils ne dispensent pas d’examiner le fondement, l’information délivrée et la demande d’effacement concrète.
La pratique d’EXTIA montre précisément le décalage entre une durée affichée et ce qui est prouvé. La société a décrit une suppression automatique à 60 jours pour les candidatures spontanées non présélectionnées, et une conservation de deux ans à compter de la dernière interaction pour les candidats qualifiés non retenus. La rapporteure a relevé que cette durée de 60 jours n’était pas formalisée dans un document interne de gouvernance et que le courriel adressé aux candidats non présélectionnés mentionnait une durée de deux ans, non de 60 jours. La formation restreinte n’a pas transformé cette explication tardive en preuve. Pour le candidat, la leçon est simple : ce qui compte, c’est ce qui a été écrit au moment de la collecte, ce qui est réellement conservé, et la réponse faite à la demande d’effacement, pas le discours tenu après un contrôle.
Les anciens salariés sont dans une situation différente. Des pièces du dossier de personnel doivent être conservées pendant les durées prévues par le droit du travail et de la sécurité sociale, ou le temps d’un contentieux. La délibération EXTIA le dit nettement : la société ne pouvait utilement invoquer la qualité d’ancien salarié […] pour justifier l’absence de traitement de leur demande d’effacement sans apporter les motifs précis pour lesquels cette demande d’effacement n’aurait pas été acceptée . Autrement dit, le statut d’ancien salarié n’est pas un refus global. Il peut justifier de garder certaines données (paie, preuves d’exécution du contrat, contentieux), pas de conserver le CV de recrutement, les notes d’entretien ou une CVthèque au cas où .
Deux autres limites reviennent souvent. La première est l’identification. L’article 12 du RGPD permet au responsable de demander des informations complémentaires s’il n’est pas en mesure d’identifier le demandeur. EXTIA a pu, pour un nombre résiduel de dossiers, justifier l’impossibilité d’identifier la personne ou l’échec d’envoi. Cette exception est étroite : elle ne couvre pas l’absence de procédure, la boîte saturée ou le stagiaire parti. La seconde limite est la liberté d’expression, prévue à l’article 17, paragraphe 3, point a). Elle concerne surtout les contenus publics, pas le fichier interne d’un recruteur.
Enfin, l’information n’est pas un accessoire. Même lorsque les données ont déjà été supprimées, le responsable doit dire ce qu’il a fait. La CNIL l’a rappelé dans son communiqué du 9 septembre 2026 : la suppression automatique ne dispensait pas la société d’informer ces candidats des suites apportées à leur demande . Dans la délibération, la formation restreinte formule le même principe : le fait que les données aient effectivement été effacées est sans incidence sur le fait que la société se devait d’informer les personnes concernées des suites données à leur demande, qu’il y ait été fait droit ou non . Un recruteur qui purge en silence reste en manquement.
II. Comment contraindre un recruteur qui n’efface pas et ne répond pas
Une fois le droit identifié, le litige se joue sur la preuve, le calendrier et le destinataire. Les dossiers EXTIA et Timework-it montrent que le silence, le spam et la désorganisation du service juridique ne tiennent pas longtemps.
A. Formuler la demande, faire courir le délai d’un mois et conserver la preuve
L’article 12, paragraphe 3, du RGPD impose au responsable de fournir des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande . Ce délai peut être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes , mais le responsable doit informer de cette prolongation et de ses motifs dans le premier mois. L’article 12, paragraphe 4 ajoute : Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel .
La demande n’exige pas de formulaire notarié. Elle doit toutefois permettre d’identifier le demandeur, le traitement visé et l’objet : effacement du CV, des comptes rendus, des notes, des copies transmises à des clients, des sauvegardes utiles. Le service public rappelle l’existence de ce droit et renvoie vers le modèle de courrier de la CNIL pour demander la suppression. Un courriel à l’adresse DPO ou RGPD mentionnée dans l’offre, un recommandé au siège, un message via le formulaire du site : le canal importe moins que la traçabilité. Conservez l’accusé de réception, la copie de l’offre, la date de l’entretien et, si possible, la politique de confidentialité affichée au moment de la candidature.
Demander en même temps une confirmation que des données sont traitées, les catégories détenues et les destinataires (clients, sous-traitants, filiales) n’est pas un luxe. L’article 15 du RGPD organise ce droit d’accès, distinct de l’effacement. L’accès permet de vérifier si le recruteur a transmis le CV à un client, s’il le conserve dans une seconde base, s’il l’a déjà anonymisé de façade. Dans EXTIA, les candidatures spontanées étaient d’abord stockées dans une BDD Candidats spontanés , puis, après présélection, transférées vers une BDD Candidats qualifiés . Une demande trop vague ( supprimez-moi ) peut n’atteindre qu’une des bases.
Le délai d’un mois court à compter de la réception. Passé ce délai sans réponse, ou avec une réponse dilatoire, le manquement à l’article 12 est caractérisable. La délibération EXTIA chiffre le phénomène : 265 demandes d’effacement en 2024, pour 28 322 candidatures ; 12 demandes non traitées ; 166 personnes sans information sur les suites ; au moins 27 réponses tardives, avec des retards pouvant atteindre plusieurs mois . La société a invoqué une désorganisation temporaire de son service juridique et la priorité donnée au traitement sur l’information. La formation restreinte a néanmoins retenu le manquement. Elle a aussi rappelé un point souvent négligé : même pour les candidats dont les données auraient été purgées à 60 jours, l’absence d’information restait fautive.
Le Conseil d’État a confirmé, dans un autre dossier de recrutement et de prospection, que l’absence de réponse n’est pas une fatalité technique. Dans sa décision n° 499566 du 28 novembre 2025, il a rejeté le recours de la société Timework-it contre une amende de 15 000 euros et une injonction, sous astreinte de 50 euros par jour, de répondre à une demande d’effacement. La personne concernée avait écrit les 12 octobre et 17 novembre 2022 pour faire cesser des prospections. La CNIL avait relancé, puis mis en demeure. La société a soutenu que les messages étaient partis en indésirables « en raison d’un mauvais paramétrage » et qu’elle n’avait pas reçu les courriers. Le Conseil d’État a jugé qu’elle avait fait preuve, « pour le moins, d’une négligence prolongée ». Ce n’est que le 25 novembre 2024, après la sanction du 26 septembre 2024, qu’elle a indiqué procéder à l’effacement. Un paramétrage de messagerie, une adresse générique ou un recommandé non retiré ne neutralisent pas l’article 12.
L’article 18 de la loi du 6 janvier 1978 dispose que les détenteurs de traitements « doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche ». Cette obligation, lue avec l’article 31 du RGPD, écarte l’excuse du courrier non retiré ou du message classé en indésirables.
Pendant le mois, ne multipliez pas les canaux contradictoires. Une relance claire, qui rappelle la date de la première demande et le délai légal, suffit. Si le recruteur refuse en invoquant un litige, une obligation légale ou une nouvelle candidature, exigez le motif écrit, la durée de conservation restante et les données réellement conservées. Un refus motivé n’est pas nécessairement illégal. Un silence, ou un refus global on ne supprime jamais les CV , l’est beaucoup plus souvent.
B. Plainte CNIL, juge et réparation : ce que le droit ouvre, sans résultat promis
Sans réponse à un mois, ou face à un refus non fondé, deux voies se cumulent. Elles ne s’excluent pas.
La première est la réclamation auprès de la CNIL, autorité de contrôle nationale au sens de l’article 8 de la loi du 6 janvier 1978. L’article 77, paragraphe 1, du RGPD dispose : Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise . En France, le canal est la plainte en ligne de la CNIL. L’article 51 de la loi de 1978, déjà cité, vise spécifiquement le défaut d’effacement ou l’absence de réponse dans le mois. Joignez la demande, les relances, l’offre d’emploi, les captures d’écran et, le cas échéant, les messages de relance commerciale reçus après la demande.
La CNIL n’est pas tenue de prononcer une amende dans chaque dossier. Elle peut clôturer après un rappel à l’organisme. Dans sa décision n° 474625 du 14 février 2024, le Conseil d’État a examiné le recours d’une personne dont la plainte contre Societe.com, relative à une demande d’effacement restée sans réponse, avait été close le 25 mai 2023. La CNIL avait indiqué avoir rappelé à la société ses obligations, demandé une réponse, et précisé que l’intéressé pourrait la saisir de nouveau « après l’écoulement d’un délai de six semaines » si la société ne se mettait pas en conformité. Cette décision n’érige pas le délai de six semaines en règle générale. Elle montre que la clôture d’une plainte après un rappel n’épuise pas le droit de réclamer, et qu’un recours pour excès de pouvoir contre une clôture n’est pas, à lui seul, le moyen le plus rapide d’obtenir l’effacement.
Lorsque le manquement est établi et que l’organisme persiste, la CNIL peut aller plus loin. L’article 20 de la loi du 6 janvier 1978, dans sa version en vigueur, permet au président de mettre en demeure le responsable, notamment, de « satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits » et d’« effacer des données à caractère personnel ». Le IV du même article permet de saisir la formation restreinte, qui peut prononcer un rappel à l’ordre, une injonction éventuellement assortie d’une astreinte, ou une amende.
L’article 22 de la même loi organise cette procédure contradictoire sur rapport d’un commissaire n’appartenant pas à la formation restreinte, et prévoit que celle-ci « peut rendre publiques les mesures qu’elle prend ». L’article 83 du RGPD exige des amendes effectives, proportionnées et dissuasives . Pour les manquements aux droits des personnes (articles 12 à 22), le paragraphe 5 fixe un plafond de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. EXTIA a été sanctionnée de 300 000 euros, sans injonction, parce qu’elle avait, en cours de procédure, supprimé les données et informé les personnes lorsque c’était encore possible. Timework-it a écopé, en procédure simplifiée, de 15 000 euros et d’une injonction sous astreinte. Ces montants ne préjugent d’aucune affaire : ils dépendent du chiffre d’affaires, du nombre de personnes, des antécédents et de la coopération réelle.
La CNIL a d’ailleurs mené en 2025 une campagne européenne sur le droit à l’effacement. Dans son bilan du 18 février 2026, elle indique que les demandes sont dans l’ensemble prises en compte, mais que persistent l’absence de procédures internes adaptées, le manque d’information des personnes, les durées mal définies et la difficulté à purger les sauvegardes. Le contrôle d’EXTIA s’inscrit dans cette action coordonnée, à partir de plaintes d’anciens salariés et de candidats. Un organisme déjà rappelé à deux reprises, comme EXTIA, s’expose à une amende plus lourde : l’article 83, paragraphe 2, point e), fait des violations antérieures un critère de gravité.
La seconde voie est le juge. L’article 79, paragraphe 1, du RGPD reconnaît un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement . L’action peut être intentée devant les juridictions de l’État membre d’établissement du responsable ou de la résidence habituelle de la personne, sauf autorité publique agissant dans l’exercice de prérogatives de puissance publique. L’article 82, paragraphe 1 ajoute : Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi . Le juge n’est pas lié par le montant d’une amende CNIL. L’amende n’indemnise pas la personne. Sur le terrain interne, l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Inversement, une plainte CNIL n’interdit pas l’action civile. Le préjudice, lui, doit être allégué et étayé : relances commerciales après opposition, perte de chance professionnelle liée à la circulation d’un CV, anxiété documentée, frais exposés. Aucun barème n’est fixé par le règlement.
Le juge des référés peut, dans les conditions du code de procédure civile, ordonner une mesure provisoire s’il existe un trouble manifestement illicite. Cette voie n’est pas automatique. Elle suppose des faits nets, une urgence caractérisée et une demande précise (cessation d’usage, confirmation d’effacement, astreinte). Le juge du fond reste compétent pour la réparation. Ni le référé ni la CNIL ne se substituent à l’identification du bon responsable : si le CV a été transmis à un client de l’ESN, ce client peut être lui-même responsable du traitement qu’il met en œuvre. Une demande unique à l’ESN ne purge pas nécessairement le fichier du client.
Les guides généraux sur le recrutement décrivent souvent le cadre côté employeur : données collectées, durée, registre. Ils n’épuisent pas la situation du candidat dont la demande d’effacement reste lettre morte, ni la leçon de la délibération EXTIA : l’information sur les suites fait partie du droit, y compris lorsque le fichier a déjà été purgé.
Conclusion
Un recruteur, une ESN ou une plateforme qui conserve votre CV après un refus, qui vous relance malgré votre demande ou qui ne répond pas dans le mois n’est pas dans une zone grise. L’article 17 du RGPD ouvre le droit à l’effacement lorsque les données ne sont plus nécessaires, lorsque vous retirez un consentement sans autre base, lorsque vous vous opposez sans motif légitime impérieux ou lorsque le traitement est illicite. L’article 12 impose une réponse dans le mois, y compris pour dire que les données ont déjà été supprimées ou pour motiver un refus limité à une obligation légale ou à un litige. L’article 51 de la loi Informatique et Libertés organise la saisine de la CNIL à l’issue de ce mois. Les décisions EXTIA du 21 juillet 2026 et Timework-it du 28 novembre 2025 montrent que le silence, le spam et la purge non expliquée ne tiennent pas devant l’autorité, et que le Conseil d’État confirme les amendes lorsque la négligence est prolongée.
La méthode reste prosaïque : identifier le responsable, écrire noir sur blanc, dater, relancer une fois, puis saisir la CNIL et, si le préjudice le justifie, le juge. Un ancien salarié ne se verra pas tout effacer d’un coup ; un candidat non retenu n’a, en revanche, aucune raison d’accepter que son CV circule indéfiniment dans un vivier dont il n’a pas été informé. La publication de la sanction EXTIA, le 9 septembre 2026, n’est pas un fait divers : c’est le mode d’emploi, a posteriori, de ce qu’un recruteur aurait dû faire dès la première demande.
Besoin d’un avis rapide sur votre dossier
Vous avez demandé l’effacement de votre CV, d’une candidature ou de données d’ancien salarié et l’organisme ne répond pas, refuse sans motif précis ou continue de vous relancer ? Le cabinet examine votre dossier en numérique et données personnelles : identification du responsable, demande d’effacement, plainte CNIL ou action judiciaire.
Maître Reda KOHEN, avocat au Barreau de Paris, vous répond. Contactez le cabinet au 06 46 60 58 22 ou via le formulaire de contact du cabinet.