Vous avez postulé à un emploi il y a deux ou trois ans, vous n’avez jamais été recontacté, puis un jour un courriel arrive : un recruteur a retrouvé votre curriculum vitae dans sa base et vous propose un poste. Ou bien, à l’inverse, vous demandez la suppression de votre dossier et l’entreprise vous répond que la conservation est nécessaire, sans fixer aucune limite. Ces situations sont devenues banales avec la généralisation des logiciels de gestion des candidatures et des candidathèques partagées entre établissements. Elles posent une question simple : une fois la candidature refusée, que peut garder l’employeur, pendant combien de temps, et comment obtenir l’effacement de vos données.
La réponse tient en deux temps. D’un côté, le droit du travail et le règlement général sur la protection des données (RGPD) encadrent strictement ce que l’employeur collecte et conserve : seules les informations utiles à l’appréciation de la candidature, gardées pour une durée limitée. De l’autre, le candidat dispose de droits concrets et gradués : demander l’accès à son dossier, exiger l’effacement, s’opposer au vivier, puis saisir la Commission nationale de l’informatique et des libertés (CNIL) ou le juge si l’employeur ne répond pas. Cet article décrit la règle applicable en 2026, la procédure pas à pas et les preuves à réunir, côté candidat comme côté entreprise qui veut se mettre en conformité.
I. Après un refus, l’employeur ne peut pas tout garder ni garder indéfiniment
Un dossier de candidature contient des données personnelles au sens du RGPD : identité, coordonnées, parcours, photographie parfois, notes d’entretien, résultats de tests. Le recruteur qui les conserve devient responsable de traitement et doit respecter les principes du règlement, ainsi que les règles propres au recrutement du code du travail. La conservation au-delà du recrutement initial, dans un vivier ou une candidathèque, n’est possible que dans des limites précises.
A. Seules les données utiles, gardées deux ans après le dernier contact sauf accord
Le RGPD impose cinq exigences cumulatives, dont trois commandent directement le sort des candidatures : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (minimisation), et « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (limitation de la conservation). Autrement dit, chaque information conservée doit rester nécessaire au recrutement, et la durée de conservation doit rester proportionnée à cet objectif.
Le code du travail resserre encore ce cadre au stade de la collecte : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles », et « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles ». Les questions sur la vie privée, la situation familiale, l’état de santé ou les opinions, sans rapport avec le poste, sont donc exclues dès la collecte, et leur conservation l’est aussi. Cette exclusion découle aussi du droit commun : « Chacun a droit au respect de sa vie privée », et le juge peut prescrire toute mesure propre à faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence. Un questionnaire qui sonde la vie intime ou des opinions sans lien avec le poste expose donc l’employeur sur ce double fondement.
En pratique, la CNIL admet qu’en cas d’issue négative, le CV et la lettre de motivation puissent alimenter un vivier de candidats, à condition que la durée de conservation n’excède en principe pas deux ans à compter du dernier contact avec le candidat et que celui-ci en ait été informé. La page d’information de la CNIL destinée aux candidats confirme la règle : le dossier peut être conservé deux ans après le dernier contact, ou plus longtemps si le candidat a donné son accord formel. Deux ans constitue donc le plafond de droit commun, et toute conservation plus longue suppose un consentement libre, spécifique et révocable, par exemple pour intégrer une candidathèque. Les analyses spécialisées de la conservation des CV retiennent la même lecture : durée de deux ans après le dernier contact, base légale à documenter et effacement à l’échéance sans consentement renouvelé.
Reste à qualifier la base légale de cette conservation. Pendant le recrutement en cours, le traitement des candidatures repose le plus souvent sur les mesures précontractuelles prises à la demande du candidat ou sur l’intérêt légitime de l’employeur à évaluer les postulants, le RGPD n’autorisant un traitement que si « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques », si « le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci » ou s’il « est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement » sans que prévalent les droits du candidat. Une fois le poste pourvu, les mesures précontractuelles ne justifient plus rien pour les candidats refusés : seul subsiste, pour le vivier, soit l’accord du candidat, soit un intérêt légitime étroitement borné dans le temps, que l’opposition du candidat fait tomber dans la plupart des cas. C’est pourquoi la CNIL fait de l’information et de l’accord préalables la clé du vivier régulier, et de la purge à deux ans la règle par défaut.
Concrètement, le dernier contact s’entend du dernier échange réel : envoi de la candidature, entretien, réponse du recruteur. Un accusé de réception automatique ne prolonge pas le délai. À l’échéance, l’employeur doit supprimer ou anonymiser les données ; les garder « au cas où » pendant cinq ou dix ans, sans nouvel accord, viole le principe de limitation de la conservation. Pour le candidat retenu, le dossier bascule dans le dossier du personnel du salarié et suit alors les durées propres à la relation de travail. Pour le candidat refusé, passé deux ans sans accord, l’effacement est dû.
B. Information préalable, tri par logiciel et interdiction des discriminations
Avant même la conservation se pose la question de la collecte et du tri. Le code du travail dispose que « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard », et que « Les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie ». Tests de personnalité, jeux de rôle, prise de références, requêtes dans les bases internes : le candidat doit savoir ce qui est utilisé, et chaque méthode doit rester pertinente pour le poste visé. La CNIL ajoute que l’employeur doit informer le candidat des destinataires des données, de la durée de conservation, des droits d’accès, de rectification et d’effacement, de la possibilité de saisir la CNIL et, le cas échéant, de l’existence d’une décision automatisée de tri des candidatures.
Le tri automatisé mérite une vigilance particulière. Le RGPD reconnaît à toute personne « le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques la concernant ou l’affectant de manière significative de façon similaire ». Un logiciel qui écarte automatiquement des candidatures en fonction de mots-clés, de scores ou de critères opaques entre dans ce champ. Le candidat peut alors exiger une intervention humaine, exprimer son point de vue et contester la décision. Côté entreprise, déployer un outil de tri sans information préalable, sans contrôle humain et sans analyse des biais expose à une contestation sur le double fondement du RGPD et du droit du travail. Deux réflexes de conformité complètent le dispositif : informer et consulter le comité social et économique avant d’utiliser ou de modifier des méthodes d’aide au recrutement, comme le rappelle la CNIL, et inscrire chaque traitement de recrutement au registre des activités de traitement avec sa finalité, sa base légale, ses destinataires et sa durée de conservation. Un registre qui confond candidatures en cours et vivier, ou qui ne prévoit aucune purge, révèle à lui seul le manquement en cas de contrôle.
Enfin, le recrutement reste soumis à l’interdiction des discriminations : le code du travail prohibe tout écart d’une procédure de recrutement fondé sur l’origine, le sexe, l’âge, l’état de santé, le handicap, les opinions ou les autres motifs qu’il énumère. Cette prohibition vise le recrutement lui-même, distinctement de la conservation des données, et un logiciel de tri qui défavoriserait un profil protégé engagerait l’employeur sur les deux terrains à la fois. La jurisprudence rappelle toutefois que le seul fait d’avoir postulé à de nombreux postes sans être retenu ne suffit pas à établir une discrimination. Dans un arrêt du 29 juin 2022, la cour d’appel de Paris (pôle 6, chambre 3, RG 19/06881, HSBC France) a confirmé le débouté d’une candidate qui invoquait une discrimination à l’embauche, faute de démontrer que l’absence de recrutement reposait sur un motif prohibé. L’enseignement est symétrique : le candidat qui conteste une éviction ou un tri doit apporter des éléments précis (écarts de traitement, critères utilisés, données conservées obtenues par le droit d’accès), et l’employeur doit documenter la pertinence de ses critères et de ses méthodes. Le droit d’accès aux données de recrutement sert aussi cet objectif probatoire, dans le respect des droits des tiers.
II. Faire effacer vos données : la méthode pas à pas, puis les recours
Lorsque le délai de deux ans est dépassé, que vous n’avez jamais consenti au vivier ou que vous retirez votre accord, l’employeur doit effacer vos données. Le RGPD organise un parcours gradué : demande directe au recruteur, puis réclamation auprès de la CNIL, puis action devant le juge, avec réparation possible. Chaque étape demande des preuves simples à réunir dès le départ.
A. Demander l’accès, puis l’effacement : contenu, adresse et preuves
Commencez par une demande d’accès. Le RGPD donne à toute personne le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’une série d’informations : finalités, catégories de données, destinataires, durée de conservation envisagée ou critères pour la déterminer, existence des droits de rectification, d’effacement, de limitation et d’opposition, et droit de réclamation auprès d’une autorité de contrôle. Cette première demande sert à savoir ce que l’entreprise détient vraiment : CV, lettres, notes d’entretien, scores, historique de conservation, destinataires internes ou externes. Le responsable doit fournir ses informations « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » et « facilite l’exercice des droits conférés à la personne concernée ». Si vous avez déjà suivi la procédure décrite pour les organismes qui ne répondent pas, appliquez les mêmes réflexes : demande écrite, identité justifiée avec parcimonie, accusé de réception conservé. Pour mémoire, la démarche générale à suivre lorsqu’un organisme ne répond pas à une demande d’accès, entre plainte CNIL et action devant le juge, s’applique aussi aux dossiers de recrutement.
Vient ensuite la demande d’effacement. Le RGPD prévoit que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique », notamment lorsque « les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière », lorsque la personne retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique, ou lorsque les données ont fait l’objet d’un traitement illicite. Un CV conservé quatre ans après un refus, sans nouvel accord, entre dans le premier cas. Un vivier alimenté alors que vous vous y êtes opposé entre dans le deuxième ou le troisième. Votre courrier doit donc viser le bon motif : refus daté, dernier contact daté, absence d’accord ou retrait de l’accord, opposition au vivier. Le responsable du traitement doit répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, comme le prévoit l’article 12 du règlement, et motiver un éventuel refus.
Deux situations appellent un traitement distinct. Si vos données ont été diffusées à des tiers (cabinet de recrutement, plateforme, filiales), le responsable qui a rendu les données publiques et qui est tenu de les effacer doit prendre des mesures raisonnables, y compris techniques, pour informer les autres responsables qui traitent ces données de votre demande d’effacement. Réclamez cette répercussion par écrit et demandez la liste des destinataires : l’article 15 vous y donne droit. Si un tri automatisé a écarté votre candidature, ajoutez à votre demande l’exigence d’une intervention humaine et la contestation de la décision, sur le fondement de l’article 22. Conservez chaque preuve : annonce, accusé de candidature, échanges, réponse ou silence du recruteur, captures de la candidathèque ou du courriel de relance tardive. Si un questionnaire intrusif vous a été soumis, conservez-en une copie : les informations exigées doivent rester limitées à l’appréciation de votre capacité à occuper l’emploi, et tout excès nourrit à la fois la demande d’effacement et, le cas échéant, une action en cessation de l’atteinte à la vie privée.
Au moment de postuler, l’employeur aurait dû vous remettre une information complète : identité du responsable, finalité du traitement, caractère obligatoire ou facultatif des réponses et conséquences d’un défaut de réponse, destinataires des données, durée de conservation, droits d’accès, de rectification et d’effacement, possibilité de saisir la CNIL et, le cas échéant, existence d’un tri automatisé des candidatures. Si cette information ne vous a jamais été donnée, signalez-le dans votre courrier : l’absence d’information est un manquement autonome qui renforce la demande d’effacement et la réclamation ultérieure. Vérifiez aussi les coordonnées du délégué à la protection des données, quand l’entreprise en a désigné un, et mettez-le en copie : son rôle est précisément de faire appliquer ces règles en interne, et son intervention accélère souvent la réponse.
Pour être efficace, la demande d’effacement gagne à suivre un modèle stable : identité et coordonnées, référence précise du poste et de la date de candidature, date du dernier contact, rappel de l’absence d’accord ou retrait exprès de l’accord donné, motif juridique invoqué (données devenues inutiles, retrait du consentement, opposition, traitement illicite), périmètre visé (dossier, vivier, candidathèque, destinataires tiers), et demande de confirmation écrite de la suppression avec la liste des destinataires informés. Adressez-la au destinataire indiqué dans la politique de confidentialité ou, à défaut, au service des ressources humaines et au délégué à la protection des données, par un moyen qui prouve la réception. Sans réponse dans le mois, relancez une fois en rappelant le silence, puis saisissez la CNIL : la preuve d’une double demande ignorée pèse lourd dans l’instruction.
L’opposition mérite un mot à part. Toute personne peut s’opposer à un traitement fondé sur l’intérêt légitime pour des raisons tenant à sa situation particulière, et le responsable ne peut passer outre que s’il démontre des motifs légitimes et impérieux qui prévalent. Conserver un vivier de candidats sur le fondement de l’intérêt légitime, sans accord, reste fragile face à une opposition motivée : une fois le recrutement pourvu, l’intérêt du candidat à ne plus figurer dans une base l’emporte le plus souvent sur l’intérêt de l’employeur à garder une réserve de profils. Formulez l’opposition séparément de la demande d’effacement : elle produit un effet pour l’avenir et interdit toute réalimentation du vivier avec vos données.
Côté entreprise, la conformité se joue en amont : registre des traitements distinguant candidatures en cours et vivier, mentions d’information remises au candidat, recueil de l’accord pour la candidathèque, purge automatique à deux ans, habilitations restreintes aux recruteurs, contrats avec les éditeurs de logiciels et les cabinets qui précisent les rôles et les durées. Un employeur qui reçoit une demande d’effacement doit vérifier l’échéance, supprimer dans tous les supports y compris les sauvegardes selon ses cycles techniques, notifier les destinataires et répondre de façon motivée. Le silence ou la réponse dilatoire transforme un simple retard en grief supplémentaire devant la CNIL.
B. Plainte CNIL, juge et réparation quand l’employeur maintient la conservation
Si l’employeur ne répond pas, refuse sans motif valable ou conserve malgré votre opposition, le RGPD ouvre deux voies complémentaires. D’abord la réclamation : « Sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». En France, cette autorité est la CNIL, saisie en ligne. Joignez la chronologie, la demande et ses preuves d’envoi, la réponse ou la preuve du silence, et les captures établissant la conservation. L’autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. La CNIL peut mettre en demeure, prononcer des mesures correctrices et, pour les manquements graves ou répétés, des sanctions financières. Cette voie est aujourd’hui largement utilisée par les particuliers, et les employeurs reçoivent un nombre croissant de demandes d’effacement : anticiper la réponse plutôt que laisser le silence s’installer reste le réflexe le plus sûr des deux côtés.
Ensuite le recours devant le juge. Le règlement garantit à « chaque personne concernée » un recours juridictionnel effectif contre le responsable du traitement ou le sous-traitant si elle considère que ses droits ont été violés du fait d’un traitement effectué en violation du règlement, et l’action peut être portée devant les juridictions de l’État membre de la résidence habituelle. En pratique française, le candidat demande au tribunal judiciaire la cessation du traitement illicite (suppression du vivier, interdiction de réutilisation) sous astreinte, ainsi que des dommages et intérêts. Le fondement indemnitaire existe à double titre : le RGPD prévoit que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », et le droit commun de la responsabilité rappelle que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».
La jurisprudence récente montre que les juges n’hésitent pas à sanctionner la conservation excessive de données professionnelles. Dans un arrêt du 20 mars 2025, la cour d’appel de Montpellier (2e chambre civile, RG 24/02397) a jugé que le maintien de comptes de messagerie d’anciens salariés pendant près d’un an après leur départ, sans motif impérieux, méconnaissait les principes de finalité, de minimisation et de limitation de la conservation des articles 5.1 b), c) et e) du RGPD. La cour a ordonné la suppression des comptes sous astreinte provisoire de 500 euros par jour de retard. Le raisonnement vaut pour les candidatures : passé la finalité du recrutement et le délai admis, la conservation devient manifestement illicite et le juge peut l’arrêter sous astreinte. Le préjudice moral (perte de maîtrise de ses données, prospection non désirée, anxiété liée à la diffusion du CV) et, le cas échéant, le préjudice matériel (démarchages répétés, usage détourné) ouvrent droit à réparation, dont le montant dépend des pièces produites.
En cas d’urgence, par exemple lorsque le CV circule entre plusieurs sociétés ou que des données sensibles sont exposées, le juge des référés peut être saisi pour faire cesser rapidement l’atteinte, sur le fondement du droit commun comme sur celui de la protection des données. L’astreinte, illustrée par les 500 euros par jour de retard prononcés par la cour d’appel de Montpellier, donne à l’injonction de suppression son effectivité : l’employeur qui tarde paie chaque jour de retard. Demandez-la systématiquement, avec un délai bref et une durée suffisante, et prévoyez le réexamen en cas d’inexécution persistante.
Reste la question probatoire, souvent décisive. Le candidat doit prouver la conservation (relance tardive, réponse écrite du recruteur, extrait de candidathèque obtenu par le droit d’accès), l’absence d’accord ou son retrait, et le dépassement du délai depuis le dernier contact. L’employeur qui prétend détenir un accord doit le produire : case pré-cochée, mention noyée dans des conditions générales ou accord présumé ne valent pas consentement libre et spécifique. En cas de litige mêlant conservation abusive et soupçon de discrimination (tri par âge, origine ou sexe via un logiciel, questions interdites en entretien), cumulez les fondements mais documentez chacun séparément : le juge du RGPD sanctionne la conservation illicite sur pièces, tandis que la discrimination exige, comme l’illustre l’arrêt parisien de 2022, des éléments comparatifs précis et non de simples affirmations.
Conclusion
Un refus d’embauche ne donne pas à l’employeur un droit perpétuel sur votre dossier. Les informations collectées doivent rester limitées à l’appréciation de la candidature, le vivier ne peut excéder en principe deux ans après le dernier contact sans votre accord formel, et les méthodes de tri, notamment automatisées, doivent vous être annoncées et rester pertinentes pour le poste. Quand ces limites sont dépassées, la voie est balisée : demande d’accès pour savoir ce qui est détenu, demande d’effacement et opposition motivées et datées, puis, en cas de silence ou de refus injustifié, réclamation auprès de la CNIL et action devant le juge pour obtenir la suppression sous astreinte et la réparation du préjudice. La décision de la cour d’appel de Montpellier du 20 mars 2025 confirme que la conservation excessive se paie, et l’expérience des contentieux du recrutement montre que les dossiers gagnés sont les dossiers documentés. Gardez vos preuves dès la candidature, exigez des réponses écrites et datées, refusez toute conservation sans limite ni tri opaque, et fixez à l’employeur un délai précis pour confirmer la suppression effective. Côté entreprise, la purge à échéance, l’accord explicite pour la candidathèque et l’information complète des candidats restent les moyens les plus simples d’éviter un contrôle, une mise en demeure ou une condamnation.
Besoin d’un avis rapide sur votre dossier
Vous souhaitez un avis sur votre dossier en numérique et données personnelles, après un refus d’embauche, une conservation prolongée de votre CV ou un litige sur un vivier de candidats. Maître Reda KOHEN, avocat au Barreau de Paris, étudie votre situation et vos preuves pour envisager la demande d’effacement, la plainte devant la CNIL ou l’action devant le juge. Joignez le cabinet par téléphone au 06 46 60 58 22 ou via le formulaire de contact.