Vous aviez postulé, passé un ou deux entretiens, puis reçu un refus poli. Six mois plus tard, le même recruteur vous rappelle pour une mission, vous écrit sur votre adresse personnelle ou transmet votre dossier à l’un de ses clients sans vous prévenir. Parfois, c’est une société à laquelle vous n’avez jamais postulé qui détient votre curriculum vitae et vous démarche. Cette situation soulève une question simple : combien de temps un recruteur peut-il garder votre CV après un refus, et comment le contraindre à l’effacer quand il vous relance contre votre gré ?
Le curriculum vitae, la lettre de motivation, les comptes rendus d’entretien, les grilles de notation et l’historique des échanges sont des données à caractère personnel. Leur conservation après un refus n’est pas libre : elle repose sur le règlement (UE) 2016/679 (RGPD) et sur la loi n° 78-17 du 6 janvier 1978, dans la limite d’un vivier de deux ans après le dernier contact, et sous réserve de votre droit d’opposition et de votre droit à l’effacement. Quand le recruteur ignore votre demande, la Commission nationale de l’informatique et des libertés (CNIL) et le juge disposent de moyens précis pour le contraindre : mise en demeure, injonction sous astreinte, amende et réparation du préjudice.
Le 21 juillet 2026, la CNIL a infligé 300 000 euros d’amende à la société EXTIA pour des manquements au respect des droits des personnes, notamment du droit à l’effacement, décision rendue publique le 9 septembre 2026 (délibération SAN-2026-010). Sur 265 demandes d’effacement reçues en 2024, émanant majoritairement de candidats, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante. Et le 28 novembre 2025, le Conseil d’État a rejeté le recours d’une société de recrutement contre une amende de 15 000 euros et une injonction de répondre à une demande d’effacement (Conseil d’État, 10ème chambre, 28/11/2025, n° 499566). Ces deux affaires dessinent la méthode complète : ce que le recruteur peut garder, ce qu’il doit effacer, et comment agir quand il vous relance après un refus.
I. Ce que le recruteur peut conserver après un refus, et ce qu’il doit effacer sur votre demande
Avant d’écrire au recruteur ou de saisir la CNIL, il faut identifier le traitement en cause : qui conserve vos données, sur quel fondement et depuis quand. La réponse détermine si le vivier est encore régulier ou si l’effacement s’impose.
A. Le vivier de candidats : une tolérance de deux ans après le dernier contact, pas un droit acquis du recruteur
Le recruteur qui collecte votre CV, vous évalue puis classe votre dossier dans une base de profils met en œuvre un traitement de données personnelles. Il en est en principe le responsable, puisqu’il détermine les finalités et les moyens : sélectionner, noter, conserver, recontacter. L’éditeur du logiciel de recrutement ou la plateforme d’offres n’est le plus souvent que son sous-traitant, sauf s’il définit lui-même les finalités. Cette qualification commande à qui adresser votre demande : à l’entreprise ou au cabinet qui a décidé de vous ficher, pas seulement à l’outil informatique.
La conservation de votre dossier après un refus obéit au principe de limitation fixé par le règlement : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », et « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5 du RGPD). Autrement dit, le recruteur ne peut pas garder votre CV indéfiniment au motif qu’il pourrait servir un jour. Il doit fixer une durée cohérente avec la finalité de recrutement, l’annoncer et la respecter.
Pour les candidatures rejetées, la CNIL admet une règle pratique désormais bien établie : en cas d’issue négative à une candidature, le recruteur peut conserver le CV et la lettre de motivation pour alimenter un vivier de candidats, à condition que la conservation n’excède en principe pas deux ans à compter du dernier contact avec le candidat et que celui-ci en ait été informé (CNIL, recrutement et données personnelles dans les TPE/PME). Trois conditions se dégagent. D’abord, un délai maximal de deux ans qui court à partir du dernier contact : envoi du refus, appel téléphonique, entretien complémentaire ou actualisation de votre CV. Ensuite, une information préalable du candidat sur cette conservation, ses finalités, sa durée et ses droits. Enfin, une finalité limitée à de futurs recrutements, sans détournement vers de la prospection commerciale ou une transmission à des tiers non annoncés.
Concrètement, si vous avez reçu votre refus en mars 2024 et que le recruteur vous relance en octobre 2026, le délai de deux ans est dépassé : la conservation n’a plus de justification et l’effacement s’impose, même sans opposition formelle de votre part. Si la relance intervient dans le délai, par exemple huit mois après le refus, la conservation peut encore être régulière, à condition que vous ayez été informé du vivier et que vous ne vous y soyez pas opposé. En revanche, si le recruteur ne vous a jamais informé de la conservation, ou s’il transmet votre dossier à ses clients alors que cette transmission ne figurait ni dans l’offre ni dans sa politique de confidentialité, le traitement perd sa base dès l’origine. Cette exigence de proportion rejoint celle du droit du travail : nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives « de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail).
Le fondement juridique de cette conservation mérite d’être vérifié dans chaque dossier. Le règlement n’autorise un traitement que si l’une des conditions de licéité est remplie, notamment le consentement pour une ou plusieurs finalités spécifiques, la nécessité d’exécuter des mesures précontractuelles prises à votre demande, ou les intérêts légitimes du responsable du traitement lorsque vos intérêts et droits fondamentaux ne prévalent pas (article 6 du RGPD). Pendant la procédure de recrutement en cours, les mesures précontractuelles justifient la collecte et l’examen de votre dossier. Après le refus, seule la conservation en vivier doit être justifiée : soit par votre accord recueilli clairement, soit par l’intérêt légitime du recruteur à constituer une réserve de profils, à condition de vous avoir informé et de respecter votre opposition. Un consentement noyé dans des conditions générales, une case pré-cochée ou une simple absence de réponse ne valent pas accord. Et lorsque vous retirez votre accord ou que vous vous opposez, le recruteur doit tirer les conséquences sans délai, comme on le verra.
Deux situations fréquentes appellent une vigilance particulière. La première est celle des sociétés de services et des cabinets qui transmettent les CV à leurs clients pour des missions : chaque transmission est une communication à un destinataire qui doit avoir été annoncée, et chaque client qui conserve à son tour votre dossier devient responsable de sa propre conservation. La seconde est celle des profils démarchés sans candidature, repérés sur un réseau professionnel : le recruteur doit alors vous informer au plus tard lors du premier contact de son identité, de la source de vos données, de la durée de conservation et de vos droits. À défaut, la relance elle-même repose sur un traitement irrégulier.
B. L’opposition et l’effacement : les deux leviers qui permettent de sortir du vivier à tout moment
Même dans le délai de deux ans, vous restez maître de vos données. Le règlement vous donne deux leviers distincts, souvent confondus, qu’il faut articuler selon votre objectif : l’opposition et l’effacement.
Le droit d’opposition permet de refuser que vos données soient conservées ou utilisées pour de futurs recrutements. Lorsque les données sont traitées à des fins de prospection, ce droit est absolu : « la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection », et « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (article 21 du RGPD). Cette règle vise directement les recruteurs qui réutilisent un vivier pour démarcher : appels répétés, messages proposant des missions sans rapport avec votre profil, transmission de votre CV à des prospects. Dès votre opposition, ces utilisations doivent cesser. Pour les autres utilisations du vivier, l’opposition fondée sur votre situation particulière impose au recruteur de cesser le traitement, sauf s’il démontre des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou si la conservation est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.
Le droit à l’effacement va plus loin : il impose la suppression de vos données. Le règlement dispose que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant » lorsque l’un des motifs s’applique (article 17 du RGPD). Trois motifs couvrent l’essentiel des situations de vivier. Les données ne sont plus nécessaires au regard des finalités : c’est le cas quand le délai de deux ans est dépassé, quand le poste est pourvu et qu’aucun vivier ne vous a été annoncé, ou quand vous avez trouvé un emploi et que la réserve n’a plus d’objet. Vous retirez votre consentement et aucun autre fondement ne justifie la conservation : c’est le cas quand le vivier reposait sur votre accord et que vous le retirez. Vous vous opposez au traitement et aucun motif légitime impérieux ne prévaut : l’opposition fait alors basculer vers l’effacement. S’y ajoutent le traitement illicite, par exemple une collecte sans information ou une transmission non annoncée à des clients, et l’obligation légale d’effacer.
L’effacement, une fois acquis, ne se limite pas à la suppression de votre fiche dans un seul logiciel. Lorsque le recruteur a rendu vos données publiques ou les a transmises, il doit prendre des mesures raisonnables, y compris d’ordre technique, pour informer les autres responsables qui les traitent que vous avez demandé l’effacement de tout lien, de toute copie ou de toute reproduction (article 17, paragraphe 2, du RGPD). En pratique, exigez que l’effacement couvre la base active, les viviers secondaires, les boîtes partagées des consultants, les dossiers transmis aux clients et les sauvegardes dans la limite de leur cycle. Une suppression qui ne vise qu’une base sur deux, comme les doubles bases « candidatures spontanées » et « candidats qualifiés » observées dans l’affaire EXTIA, ne satisfait pas la demande.
Le recruteur ne peut écarter votre demande que pour l’un des motifs d’exception prévus par le règlement, et il doit le motiver par écrit. Les paragraphes applicables au recrutement sont étroits : le respect d’une obligation légale qui impose la conservation, par exemple en matière de preuve du respect de l’égalité de traitement pendant les délais de prescription, et la constatation, l’exercice ou la défense de droits en justice, par exemple un contentieux en cours sur la procédure d’embauche. Une formule générale du type « nous conservons tous les CV par sécurité » ou « notre politique interne prévoit cinq ans » ne constitue pas une exception valable. De même, la désorganisation interne, le départ du collaborateur chargé du dossier ou un paramétrage de messagerie défaillant n’exonèrent pas le recruteur, comme l’a jugé le Conseil d’État dans l’affaire Timework-it : la société invoquait des messages partis en indésirables et des courriers non reçus, mais le juge a retenu qu’elle avait fait preuve, « pour le moins, d’une négligence prolongée » (Conseil d’État, 10ème chambre, 28/11/2025, n° 499566).
II. Obtenir l’effacement en pratique : demande traçable, CNIL et juge
Connaître vos droits ne suffit pas quand le recruteur ne répond pas, répond à côté ou continue de vous relancer. La méthode compte autant que le fondement : chaque étape produit la preuve qui servira à l’étape suivante.
A. La demande écrite et la plainte CNIL : faire constater le manquement dans le délai d’un mois
Adressez d’abord une demande écrite, précise et traçable au responsable du traitement : l’entreprise ou le cabinet qui recrute, identifié dans l’offre, les mentions légales ou la politique de confidentialité. Indiquez votre identité, les postes visés, les dates de candidature et d’entretien, et l’objet exact : effacement du CV, de la lettre de motivation, des comptes rendus et notes, des messages échangés, des copies transmises à des clients, dans toutes les bases y compris le vivier. Demandez une confirmation écrite de l’effacement, la liste des destinataires auxquels vos données ont été transmises et les mesures prises auprès d’eux. Envoyez votre demande à l’adresse dédiée aux droits (souvent le délégué à la protection des données), et conservez l’accusé de réception, la copie de l’offre et la politique de confidentialité en vigueur au jour de votre candidature.
Coupler l’effacement avec une demande d’accès renforce votre position. Le droit d’accès permet de savoir quelles données sont détenues, pour quelles finalités, pendant combien de temps et à qui elles ont été communiquées, comme le détaille l’article de fond consacré au droit d’accès quand l’organisme ne répond pas. L’accès révèle souvent ce que le recruteur tait : un second vivier, des transmissions à des clients, des notes de notation ou une conservation au-delà de deux ans. La méthode complète, de la première demande jusqu’à la décision de justice, y est décrite étape par étape et s’applique directement aux dossiers de recrutement.
Le recruteur doit vous répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », ce délai pouvant être prolongé de deux mois pour les demandes complexes, à condition de vous prévenir dans le premier mois (article 12 du RGPD). S’il refuse de donner suite, il doit vous informer « sans tarder et au plus tard dans un délai d’un mois » des « motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel ». Un silence, une réponse dilatoire ou un refus non motivé caractérisent donc un manquement distinct, en plus du maintien injustifié de vos données. La CNIL rappelle aux particuliers que le responsable doit procéder à l’effacement dans les meilleurs délais et au plus tard dans un délai d’un mois, et que l’absence de réponse ou une réponse insatisfaisante ouvre la voie à la plainte.
Passé le délai sans effacement confirmé, ou dès le refus non motivé, saisissez la CNIL par une plainte documentée : demande initiale, preuve de réception, relance, captures des relances du recruteur, politique de confidentialité. L’autorité instruit, rappelle le recruteur à ses obligations, peut le mettre en demeure, puis sanctionner par la formation restreinte. La décision EXTIA montre l’échelle des manquements que la CNIL sanctionne : un contrôle réalisé en avril 2025, dans le cadre de l’action coordonnée européenne sur le droit à l’effacement, a révélé que sur 265 demandes reçues en 2024, plus des trois quarts n’avaient pas été traitées ou ne l’avaient pas été de manière satisfaisante, que 166 personnes n’avaient pas été informées des suites apportées à leur demande et que 27 autres avaient été informées hors délai, avec des retards pouvant atteindre plusieurs mois (délibération SAN-2026-010 du 21 juillet 2026). La formation restreinte a retenu des manquements aux articles 12 et 17 du RGPD et prononcé 300 000 euros d’amende, en tenant compte de la gravité, du nombre de personnes concernées et de rappels antérieurs restés sans effet.
L’affaire Timework-it illustre le sort des excuses techniques. La personne concernée avait demandé l’effacement les 12 octobre et 17 novembre 2022 pour faire cesser des prospections. La CNIL avait rappelé la société à ses obligations puis l’avait mise en demeure. Le 26 septembre 2024, une amende de 15 000 euros et une injonction de répondre à la demande, sous astreinte de 50 euros par jour de retard, ont été prononcées en procédure simplifiée. La société soutenait n’avoir rien reçu à cause d’un mauvais paramétrage de sa messagerie et n’avoir eu connaissance des actes qu’après la sanction, à laquelle elle disait s’être conformée le 25 novembre 2024. Le Conseil d’État a rejeté l’ensemble du recours le 28 novembre 2025, jugé la sanction proportionnée et confirmé que l’injonction restait justifiée (Conseil d’État, 10ème chambre, 28/11/2025, n° 499566). Pour un candidat, l’enseignement est direct : conservez la preuve de l’envoi et de la réception de votre demande, car le recruteur ne pourra pas se retrancher derrière sa propre désorganisation.
B. Le recours au juge : injonction sous astreinte et réparation du préjudice subi
La plainte CNIL et le recours au juge se combinent : l’autorité sanctionne le manquement, le juge ordonne et répare. Saisi en référé ou au fond, le tribunal judiciaire peut enjoindre au recruteur d’effacer vos données sous astreinte, d’informer les destinataires et de justifier de l’exécution. L’astreinte, dont l’affaire Timework-it donne un exemple à 50 euros par jour, rend l’inaction coûteuse chaque jour de retard. Le fondement procédural est l’article 835 du code de procédure civile, qui permet de prescrire en référé les mesures qui s’imposent « pour prévenir un dommage imminent, soit pour faire cesser un trouble manifestement illicite » (article 835 du code de procédure civile). Et chacun gardant « droit au respect de sa vie privée », le juge peut prescrire en référé toutes mesures propres à faire cesser l’atteinte (article 9 du code civil). Devant le juge, produisez un dossier ordonné : demande d’effacement et preuve de réception, relance restée sans réponse, captures des relances commerciales postérieures au refus, politique de confidentialité applicable, échanges avec les clients destinataires le cas échéant, et plainte CNIL avec ses suites. Ces pièces établissent à la fois le maintien injustifié et la négligence du recruteur.
La réparation du préjudice obéit à une règle claire : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82 du RGPD). La violation seule ne suffit pas : il faut démontrer un préjudice. Le droit commun de la responsabilité conforte cette action : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). En matière de vivier abusif, les préjudices indemnisables sont concrets. Le démarchage persistant après opposition constitue un trouble de la vie personnelle et professionnelle : appels sur le lieu de travail, messages répétés, sollicitations pour des missions sans rapport. La transmission de votre dossier à des clients sans votre accord peut compromettre une recherche d’emploi en cours ou exposer des informations que vous aviez réservées à un seul recruteur. La conservation au-delà de deux ans, assortie d’un refus d’effacer, prolonge l’atteinte au droit de garder la maîtrise de vos données. Chiffrez chaque chef : relevés d’appels, copies de messages, attestations de l’employeur actuel si les démarchages ont perturbé votre activité, justificatifs d’une candidature compromise.
Deux précisions encadrent l’action. D’abord, le recruteur peut s’exonérer s’il prouve que le fait à l’origine du dommage ne lui est nullement imputable, et le sous-traitant n’est responsable que s’il a méconnu ses propres obligations ou agi hors des instructions licites (article 82 du RGPD). Visez donc le bon défendeur : le recruteur responsable du vivier en premier lieu, et le sous-traitant seulement s’il a outrepassé ses instructions, par exemple en réutilisant les CV pour son propre compte. Ensuite, quand plusieurs acteurs participent au même traitement, chacun peut être tenu pour l’ensemble du dommage afin de garantir une réparation effective, quitte à se répartir ensuite la charge entre eux. Si votre CV a circulé entre un cabinet, une plateforme et deux clients, vous pouvez agir contre le cabinet sans devoir poursuivre chacun séparément.
Enfin, ne négligez pas la dimension probatoire de vos propres données de recrutement dans un litige d’embauche. Si vous contestez une discrimination à l’embauche, les grilles de notation, les comptes rendus et l’historique de conservation sont des pièces que le recruteur ne peut ni détruire après votre demande d’accès ni vous refuser durablement. L’exception qui permet au recruteur de conserver des données pour la constatation, l’exercice ou la défense de droits en justice joue dans les deux sens : elle autorise une conservation ciblée le temps du litige, mais elle n’autorise ni le vivier généralisé ni les relances commerciales. Dans ce cas, demandez au juge la communication des pièces et l’interdiction de toute utilisation hors procès.
En résumé, le calendrier qui protège le candidat tient en quatre dates : le dernier contact, qui fait courir les deux ans ; votre demande d’effacement, qui impose une réponse dans un mois ; la plainte CNIL, dès le silence ou le refus non motivé ; le juge, pour l’injonction sous astreinte et la réparation. Tenez ce calendrier par écrit, et chaque relance du recruteur après votre opposition deviendra une pièce de plus à votre dossier plutôt qu’une fatalité.
Conclusion
Un refus d’embauche n’autorise pas le recruteur à vous relancer indéfiniment ni à diffuser votre dossier. Pendant deux ans après le dernier contact, et à condition de vous en avoir informé, il peut conserver votre CV pour de futurs recrutements. Mais dès que vous vous opposez ou demandez l’effacement, il doit s’exécuter dans un délai d’un mois, motiver tout refus et cesser toute prospection. Les décisions EXTIA et Timework-it montrent que la CNIL et le Conseil d’État sanctionnent désormais sans hésiter la négligence, la désorganisation et les excuses techniques. Constituez votre dossier dès la première demande, saisissez la CNIL en cas de silence et demandez au juge l’injonction et la réparation : face à un vivier devenu illégal, la méthode fait la différence entre une relance de plus et une condamnation.
Besoin d’un avis rapide sur votre dossier
Vous êtes relancé par un recruteur après un refus, votre CV circule sans votre accord ou votre demande d’effacement reste sans réponse ? Maître Reda KOHEN, avocat au Barreau de Paris, vous donne un avis sur votre dossier en numérique et données personnelles. Pour un premier échange, appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.