Vous avez postulé, passé des entretiens, puis reçu un refus poli. Quelques mois plus tard, vous découvrez que votre curriculum vitae, votre lettre de motivation et parfois vos bulletins de salaire circulent encore dans les fichiers du recruteur : relances commerciales, transmission à une autre société du groupe, ou réutilisation pour un poste que vous n’avez jamais visé. Vous demandez la suppression de votre dossier. Le recruteur répond qu’il garde les bons profils, qu’il ne peut pas effacer pour des raisons juridiques , ou ne répond pas du tout. Cette situation relève d’un contentieux précis, documenté par la Commission nationale de l’informatique et des libertés, et encadré par le règlement général sur la protection des données, le code du travail et la jurisprudence. Le présent article décrit la règle des deux ans qui borne la conservation des candidatures non retenues, le consentement explicite exigé pour tout vivier de candidats, la demande qui fait courir le délai de réponse d’un mois, puis les recours devant la CNIL et le juge, avec la réparation du préjudice et les sanctions encourues. Chaque étape repose sur des textes et des décisions vérifiés, cités avec leur source officielle.
I. Le recruteur ne peut pas conserver votre dossier indéfiniment
A. Deux ans après le dernier contact : la borne qui s’impose au vivier de candidats
Le principe est posé sans détour par la CNIL, dans sa réponse à la question de savoir si un employeur peut conserver le dossier d’un candidat écarté : A la condition de vous en informer et d’avoir obtenu votre accord, un recruteur peut conserver vos données personnelles même si vous n’obtenez pas le poste. La conservation après un refus est donc possible, mais à double condition : une information préalable et un accord du candidat. Sans l’une ou l’autre, le maintien du dossier en base active devient illicite.
La durée de cette conservation est elle aussi bornée. La même page officielle énonce que Le dossier pourra être conservé 2 ans après votre dernier contact avec le recruteur, ou plus longtemps si vous avez donné votre accord formel. Deux ans à compter du dernier contact : un entretien, un échange de courriels, une relance du recruteur. Passé ce délai, sans accord formel de votre part, le dossier doit sortir de la base active. Le guide de la CNIL consacré au recrutement, document de référence de cent une pages publié par l’autorité, précise la logique : pour alimenter un vivier de candidats, en tout état de cause, n’excède en principe pas deux ans à compter du dernier contact avec la personne . Une conservation de cinq ans pour recontacter d’anciens candidats y est jugée en principe excessive. Le concurrent qui affiche 2 ans maximum dans son tableau de durées reprend cette recommandation, sans en être la source : la source, c’est la CNIL.
Ce cadre se comprend à partir du cycle de vie des données décrit dans le guide. Pendant le processus de recrutement, vos informations vivent en base active : le recruteur les consulte librement pour départager les candidatures. Une fois la décision d’embauche prise, l’objectif de la collecte est atteint. Le guide l’exprime ainsi : les informations collectées pour apprécier la capacité d’un candidat à occuper un emploi, une fois le processus achevé, ne sont plus utilisées à cette fin. Elles doivent alors quitter l’environnement de travail immédiat. Trois destins sont possibles. Premier cas : le recruteur garde les candidatures non retenues quelques mois, trois mois par exemple, pour expliquer aux candidats les motifs du rejet. Deuxième cas : il souhaite recontacter le candidat pour d’autres opportunités et l’intègre à un vivier. Ce second cas constitue un nouveau traitement, qui exige le consentement du candidat et une durée raisonnable selon le poste, renouvelable à expiration, sans dépasser en principe deux ans après le dernier contact. Troisième cas : la conservation à des fins probatoires, pour répondre à une éventuelle action en discrimination. Ce troisième cas n’est ni systématique ni automatique : L’archivage intermédiaire n’est ni systématique ni automatique. Sa nécessité doit être évaluée par le recruteur au cas par cas. Et lorsque la durée d’archivage expire, les informations doivent être supprimées ou anonymisées .
Le fondement européen de ces limites figure à l’article 5 du règlement, qui impose notamment la minimisation et la limitation de la conservation : les données doivent être conservées sous une forme permettant l’identification des personnes pendant une durée n’excédant pas celle nécessaire aux finalités du traitement (chapitre II du règlement sur le site de la CNIL). Le code du travail ajoute une borne propre au recrutement : «Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles.» (article L1221-6). Dès lors que le poste est pourvu et que vous n’êtes pas retenu, réutiliser votre dossier pour une autre finalité, prospection ou alimentation d’une CVthèque, sans base légale propre, méconnaît cette finalité initiale. La page officielle Service-Public consacrée aux méthodes de recrutement, vérifiée le 20 février 2026, rappelle la même règle : les informations demandées doivent servir uniquement à évaluer la capacité à occuper l’emploi proposé ou les aptitudes professionnelles (Service-Public, candidat à une offre d’emploi).
En pratique, la première vérification consiste à dater votre dernier contact avec le recruteur et à retrouver l’information qui vous a été donnée sur la conservation. Si plus de deux ans se sont écoulés sans nouvel échange et sans votre accord formel, la conservation en base active ne repose plus sur la recommandation de la CNIL. Si le recruteur invoque un contentieux à venir pour tout garder, exigez l’identification précise de ce contentieux : l’archivage intermédiaire suppose un objectif probatoire déterminé en amont, un tri des seules informations nécessaires, et un accès restreint aux personnes habilitées. Un dossier entier maintenu en accès libre au service commercial ne correspond pas à ce régime.
B. Ce que le recruteur aurait dû vous dire : information, base légale et consentement explicite
Avant même la question des durées, le recruteur supporte une obligation d’information. Le code du travail dispose que «Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard.» (article L1221-8). Tests, logiciels de tri, enregistrement vidéo, exploitation d’une CVthèque : ces méthodes doivent être portées à votre connaissance avant leur mise en œuvre, et leurs résultats restent confidentiels. Le code du travail verrouille la collecte occulte : «Aucune information concernant personnellement un candidat à un emploi ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance.» (article L1221-9). Un vivier alimenté à votre insu, par exemple par la récupération de votre CV sur un réseau social sans information, heurte de front cette interdiction. Le guide de la CNIL détaille le contenu de l’information due au candidat : finalité du traitement, base juridique et le cas échéant intérêts légitimes poursuivis, caractère obligatoire ou facultatif des réponses, destinataires, transferts éventuels hors de l’Union, durée de conservation, existence des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, possibilité de réclamation auprès de la CNIL, et existence d’une décision automatisée y compris le profilage.
La base légale mérite une attention particulière, car elle détermine vos droits. Le règlement énumère à son article 6 les fondements possibles, parmi lesquels le consentement, l’exécution de mesures précontractuelles prises à la demande de la personne, et les intérêts légitimes du responsable du traitement (chapitre II du règlement sur le site de la CNIL). Pendant le processus de recrutement lui-même, le consentement ne peut pas servir de fondement : le guide l’explique par le déséquilibre de la relation, car les traitements effectués dans le cadre des opérations mêmes de recrutement ne peuvent pas être fondés sur le consentement des candidats dès lors qu’un refus de leur part pourrait affecter leurs chances d’obtenir un emploi . En revanche, pour la constitution d’une CVthèque ou d’un vivier après le refus, le consentement redevient le fondement recommandé : Celui-ci devra donner un consentement libre, spécifique, explicite et univoque à l’intégration de son dossier de candidature dans une CVthèque ou dans une base de données de type « vivier de candidats ». Concrètement, à l’issue du processus, le recruteur doit recueillir le consentement explicite des candidats non retenus dont il souhaite garder le dossier. Ce changement constitue une évolution assumée de la doctrine de la CNIL, qui recommandait auparavant l’intérêt légitime pour les CVthèques.
Trois situations doivent être distinguées, car le régime du consentement varie. Lorsque vous demandez vous-même à rejoindre un vivier, par exemple en vous inscrivant auprès d’un cabinet de recrutement ou sur une plateforme d’offres, votre démarche vaut consentement à la conservation. Lorsque vous adressez une candidature spontanée sans poste à pourvoir et que l’entreprise garde votre profil pour vous recontacter, elle doit vous informer et recueillir votre accord. Lorsque vous avez postulé à une offre précise puis été écarté, l’intégration à un vivier exige un consentement explicite recueilli après le refus. Dans tous les cas, le consentement doit être libre, spécifique, éclairé et univoque, et vous pouvez le retirer à tout moment. Le retrait vaut pour l’avenir et déclenche l’obligation d’effacer les données qui reposaient sur ce seul fondement, sauf autre base légale applicable.
Cette mécanique commande la lecture de vos droits. Le guide de la CNIL rappelle que le candidat dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, et que ces droits s’exercent sur simple demande, le candidat pouvant justifier de son identité par tout moyen. L’organisme ne peut pas exiger systématiquement une pièce d’identité : c’est seulement en cas de doute raisonnable sur l’identité qu’un justificatif proportionné peut être demandé, et le guide donne l’exemple du candidat qui écrit depuis l’adresse électronique utilisée pendant tout le recrutement, situation dans laquelle aucun doute raisonnable ne justifie une pièce d’identité. Le droit d’accès porte sur les seules données vous concernant, avec protection des données des tiers qui figureraient dans les mêmes documents. Le droit à la portabilité suppose un traitement automatisé fondé sur le consentement ou le contrat. Le droit à la limitation permet de geler l’utilisation des données pendant l’examen d’une contestation, par exemple lorsque vous soupçonnez une discrimination et souhaitez que les courriels et rapports vous concernant soient préservés pour la justice. Ces distinctions expliquent pourquoi la demande doit être rédigée avec précision : viser le bon droit, sur le bon fondement, accélère le traitement et prive le recruteur d’échappatoires.
II. Contraindre le recruteur à effacer et obtenir réparation
A. La demande qui fait courir le délai d’un mois : écrire, exiger, saisir la CNIL
Le droit à l’effacement est défini à l’article 17 du règlement : La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant , lorsque l’un des motifs prévus s’applique. Le premier motif correspond exactement à la situation du candidat écarté : les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière . Le poste est pourvu, vous n’êtes pas retenu, aucun vivier consenti ne justifie la garde : l’effacement s’impose dans les meilleurs délais. D’autres motifs peuvent s’ajouter selon les cas : retrait du consentement donné pour le vivier, opposition au traitement sans motif légitime impérieux du recruteur, ou traitement illicite dès l’origine, par exemple une conservation sans information ni accord. Le guide de la CNIL résume ces hypothèses pour le recrutement : données devenues inutiles au regard de l’objectif, traitement illicite, obligation légale d’effacement, retrait du consentement lorsqu’il fonde le traitement, ou opposition sans motif légitime impérieux contraire.
Le droit d’opposition complète l’arsenal lorsque le recruteur invoque ses intérêts légitimes, par exemple la constitution d’un vivier ou la défense contre un contentieux hypothétique. L’article 21 dispose que La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant fondé sur l’article 6, paragraphe 1, point e) ou f) . Le recruteur doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, ou la nécessité de constater, exercer ou défendre des droits en justice. Une opposition motivée par votre situation, embauche ailleurs, refus de toute prospection, crainte d’une diffusion de vos données, fait peser sur le recruteur la charge de justifier concrètement ses motifs impérieux. Une formule générale sur les bons profils ne satisfait pas cette exigence.
La demande doit être écrite, datée et conservée. Adressez au recruteur, par courriel avec accusé de réception ou lettre recommandée, une demande visant expressément l’effacement fondé sur l’article 17 et, à titre subsidiaire, l’opposition fondée sur l’article 21. Identifiez précisément le périmètre : curriculum vitae, lettre de motivation, pièces annexes, notes d’entretien, résultats de tests, échanges de courriels, et toute copie transmise à des destinataires tels qu’un cabinet intermédiaire, une filiale ou un sous-traitant d’hébergement. Rappelez la date de votre dernier contact et l’absence d’accord formel à une conservation au-delà de deux ans. Demandez la confirmation écrite de la suppression, y compris chez les destinataires auxquels vos données auraient été communiquées, ainsi que la liste de ces destinataires au titre du droit d’accès. Si vous redoutez une destruction de preuves utiles à un contentieux en discrimination, exercez parallèlement le droit à la limitation : le gel des données pendant l’examen de votre contestation préserve les pièces sans autoriser leur exploitation.
Cette demande fait courir un délai strict. L’article 12 du règlement prévoit que le responsable du traitement fournit des informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande , délai prolongeable de deux mois pour les demandes complexes, à condition de vous avertir dans le premier mois avec les motifs du report. Et Si le responsable du traitement ne donne pas suite à la demande formulée par la personne concernée, il informe celle-ci sans tarder et au plus tard dans un délai d’un mois à compter de la réception de la demande des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel . Un silence d’un mois, un refus non motivé, ou une réponse dilatoire ouvrent donc la phase suivante. La démarche contentieuse commence par la réclamation auprès de la CNIL : l’article 77 ouvre à toute personne concernée le droit de saisir l’autorité de contrôle si elle estime que le traitement de ses données méconnaît le règlement, et l’autorité informe l’auteur de l’état d’avancement et de l’issue de sa réclamation. Joignez à la plainte la copie de votre demande d’effacement, la preuve de sa réception, la réponse du recruteur ou la preuve de son silence, et tout élément établissant la conservation au-delà du délai, captures de relances, transmissions à des tiers, ou offres reçues pour des postes non sollicités.
Les lecteurs confrontés à un organisme qui ne répond pas à une demande d’exercice de droits trouveront dans l’article du cabinet sur la conduite à tenir quand un organisme ne répond pas à une demande d’accès, entre plainte CNIL, juge et réparation le prolongement naturel de cette démarche : les délais, la preuve du silence et l’articulation entre la voie administrative et la voie judiciaire y sont décrits pour le droit d’accès, et la logique vaut pour l’effacement. La réclamation CNIL et le recours au juge ne s’excluent pas : le règlement ouvre expressément un recours juridictionnel effectif contre le responsable du traitement, sans préjudice de la réclamation administrative.
B. Le juge, la réparation et les sanctions : ce que risque le recruteur qui s’obstine
Le recours juridictionnel est ouvert par l’article 79 : chaque personne concernée dispose d’un recours effectif si elle estime que ses droits ont été violés par un traitement contraire au règlement, devant les juridictions de l’État membre d’établissement du responsable du traitement ou de sa propre résidence habituelle (chapitre VIII du règlement sur le site de la CNIL). Le juge peut ordonner l’effacement sous astreinte, c’est-à-dire enjoindre au recruteur de supprimer les données dans un délai fixé, avec une somme due par jour de retard. Cette injonction s’étend utilement aux destinataires : le responsable qui a communiqué les données doit prendre des mesures raisonnables, y compris techniques, pour informer les autres responsables qui les traitent de la demande d’effacement des liens, copies ou reproductions.
La réparation du préjudice relève de l’article 82 : Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le code civil pose que Chacun a droit au respect de sa vie privée (article 9), fondement que la Cour de cassation met en balance avec la liberté d’information dans son arrêt du 3 juin 2026. Le préjudice moral, anxiété liée à la circulation du dossier, démarches répétées, sentiment d’impuissance face à un organisme silencieux, perte de chance professionnelle si des informations dévalorisantes ont circulé, entre dans ce champ. Lorsque plusieurs acteurs participent au traitement, employeur, cabinet de recrutement, plateforme d’intermédiation, chacun répond du dommage dans sa totalité envers la victime, à charge pour celui qui a payé de se retourner contre les autres selon leurs parts de responsabilité. Le droit français complète ce régime par l’article 1240 du code civil : «Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer.» La faute s’établit par la violation caractérisée des obligations décrites plus haut : conservation sans information ni accord au-delà de deux ans, refus d’effacement malgré un motif de l’article 17, silence gardé au-delà du mois de l’article 12.
Le montant de la réparation dépend des pièces. Conservez chaque preuve : l’offre d’emploi, votre candidature, les convocations et comptes rendus d’entretien, le message de refus, votre demande d’effacement et sa preuve d’envoi, la réponse ou le silence du recruteur, les relances commerciales postérieures, les transmissions à des tiers, et la plainte CNIL avec son récépissé. Chiffrez le préjudice : temps consacré aux démarches, frais d’envoi, 보안 impacts professionnels documentés, et trouble moral décrit avec précision. Lorsque la conservation illicite s’accompagne d’une discrimination à l’embauche, le délai de prescription de l’action en réparation est de cinq ans : «L’action en réparation du préjudice résultant d’une discrimination se prescrit par cinq ans à compter de la révélation de la discrimination.» (article L1134-5 du code du travail). Cette articulation explique l’intérêt du droit à la limitation : geler les données contestées préserve la preuve de la discrimination pendant que l’effacement du surplus reste exigé.
Le recruteur s’expose en outre aux sanctions administratives de la CNIL. L’article 83 prévoit pour les violations des principes de base et des droits des personnes, articles 5 à 7 et 12 à 22, des amendes jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu . La CNIL tient compte de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées, du caractère délibéré, des mesures d’atténuation, de la coopération et des manquements antérieurs. Une CVthèque de plusieurs milliers de dossiers conservés sans consentement, après information défaillante et malgré des demandes d’effacement ignorées, cumule les facteurs aggravants. À l’inverse, un recruteur qui documente ses durées, trie ses bases, répond dans le mois et supprime effectivement dispose d’arguments sérieux pour atténuer la sanction.
Deux limites doivent être connues pour ne pas surestimer la demande. D’abord, l’effacement cède dans les cas énumérés à l’article 17, paragraphe 3, notamment pour la constatation, l’exercice ou la défense de droits en justice : un recruteur assigné en discrimination peut conserver les pièces strictement nécessaires à sa défense, en accès restreint, pendant la procédure. Cette exception ne couvre ni la prospection commerciale ni le vivier, et elle suppose un contentieux réel ou raisonnablement anticipé, documenté. Ensuite, la liberté d’expression et d’information borne l’effacement des contenus journalistiques, comme l’a jugé la Cour de cassation le 3 juin 2026 dans l’affaire d’un article de presse archivé relatant une condamnation pénale : «Ayant fait ressortir que le droit à l’information devait en l’espèce prévaloir sur le droit à la protection de la vie privée de M. [G] et ainsi procédé à la mise en balance des intérêts en présence, elle a légalement justifié sa décision de rejeter la demande d’anonymisation» , puis «REJETTE le pourvoi» (Cass. civ. 1re, 3 juin 2026, n° 25-14.228). Cette solution concerne la presse archivée et la balance avec l’intérêt du public ; elle ne profite pas au recruteur qui conserve un dossier de candidature à des fins commerciales. Elle rappelle toutefois la méthode : chaque demande d’effacement appelle une mise en balance concrète, et le candidat a intérêt à formuler une demande précise, datée et motivée par sa situation particulière.
En pratique parisienne et francilienne, le contentieux se noue vite : mise en demeure, plainte CNIL en ligne avec pièces, puis assignation devant le tribunal judiciaire de Paris pour injonction d’effacement et dommages-intérêts. Les juridictions franciliennes traitent un volume élevé de litiges de données personnelles et connaissent ces mécanismes. L’astreinte donne son efficacité à l’injonction, et la décision de la CNIL, lorsqu’elle constate un manquement, pèse dans le débat judiciaire sur la faute. Celui qui agit vite, avec un dossier complet et des demandes visant les bons fondements, place le recruteur face à ses obligations plutôt que face à ses habitudes.
En résumé, un recruteur peut garder votre dossier après un refus seulement s’il vous en a informé et a obtenu votre accord, et en principe pas plus de deux ans après votre dernier contact sans votre accord formel. Au-delà, ou dès que la finalité du recrutement est épuisée, l’article 17 vous ouvre l’effacement dans les meilleurs délais, et l’article 21 l’opposition pour des raisons tenant à votre situation. Votre demande écrite fait courir le délai de réponse d’un mois de l’article 12 ; le silence ou le refus non motivé autorise la plainte CNIL sur le fondement de l’article 77, puis le recours au juge des articles 79 et 82 pour ordonner la suppression sous astreinte et réparer le préjudice matériel et moral, avec des sanctions administratives pouvant atteindre 20 000 000 euros ou 4 % du chiffre d’affaires mondial. Le droit pénal renforce la dissuasion : le traitement de données sans respect des formalités préalables est punissable de cinq ans d’emprisonnement et de 300 000 euros d’amende (article 226-16 du code pénal), et le fait de détourner des données de leur finalité telle que définie par la disposition législative ou la décision de la Commission nationale de l’informatique et des libertés expose à la répression du détournement de finalité (article 226-21 du code pénal). Réutiliser un dossier de candidature pour de la prospection relève typiquement de ce second grief. Seules des exceptions étroites, défense en justice d’un contentieux identifié ou liberté d’information pour la presse archivée, font échec à l’effacement, et le recruteur doit les démontrer concrètement. Dater le dernier contact, viser les bons articles, conserver chaque preuve : c’est ce dossier précis qui transforme une fin de non-recevoir en suppression effective.
Besoin d’un avis rapide sur votre dossier
Vous contestez la conservation de votre dossier de candidature en matière de numérique et données personnelles et vous souhaitez un avis sur votre dossier. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre situation et vos recours possibles. Consultation téléphonique : 80 EUR TTC. Première analyse : 80 EUR TTC. Téléphone : 06 46 60 58 22. Page contact : https://kohenavocats.fr/formulaire-de-contact/.