Blog

CV et candidatures : combien de temps les conserver selon le RGPD ?

Publie le 03/10/2026 · Temps de lecture : 9 min

Chaque candidature recue par une entreprise, qu'elle soit retenue, refusee ou spontanee, est un traitement de donnees personnelles a part entiere : nom, coordonnees, parcours professionnel, parfois pretentions salariales ou resultats de tests de personnalite. Le RGPD s'applique donc au recrutement exactement comme a la relation avec un client, avec une question qui revient systematiquement en TPE et PME : combien de temps peut-on garder le CV d'un candidat non retenu, et a partir de quand devient-il illegal de le conserver ?

La CNIL a publie des recommandations precises sur ce sujet, qui fixent une duree de reference et des obligations d'information souvent ignorees des petites structures qui recrutent sans service RH dedie.

Sommaire

• 1. Le recrutement est un traitement de donnees comme un autre
• 2. Quelles informations peut-on demander a un candidat ?
• 3. Duree de conservation : la regle des 2 ans de la CNIL
• 4. Candidature spontanee et CVtheque
• 5. Tri automatique de CV et decision algorithmique
• 6. Jobboards et logiciels de recrutement (ATS) : des sous-traitants
• 7. Les droits du candidat pendant et apres le processus
• Questions frequentes

1. Le recrutement est un traitement de donnees comme un autre

Des la reception d'une candidature, qu'elle arrive par email, via un formulaire sur le site de l'entreprise ou par un jobboard, l'entreprise devient responsable de traitement au sens de l'article 4 du RGPD. La base legale habituelle n'est pas le consentement mais l'article 6.1.b : le traitement est necessaire a l'execution de mesures precontractuelles prises a la demande de la personne concernee, c'est-a-dire a l'examen de sa candidature avant une eventuelle embauche.

Cette distinction compte : parce que la base legale n'est pas le consentement, l'entreprise n'a pas besoin de faire cocher une case au candidat pour traiter son dossier pendant le recrutement. Elle doit en revanche respecter les autres obligations du RGPD : information claire, duree de conservation limitee, securisation des donnees et droits garantis au candidat a tout moment.

2. Quelles informations peut-on demander a un candidat ?

Le Code du travail encadre cette question independamment du RGPD, avec deux articles cles. L'article L1221-6 pose le principe de pertinence : les informations demandees a un candidat ne peuvent avoir pour finalite que d'apprecier sa capacite a occuper l'emploi propose ou ses aptitudes professionnelles, et doivent presenter un lien direct et necessaire avec l'emploi. L'article L1221-9 interdit toute question relative a la vie privee hors de ce cadre.

En pratique, cela exclut les questions sur la situation familiale, les projets de grossesse, les convictions religieuses, l'appartenance syndicale ou l'etat de sante, qui constituent par ailleurs des categories particulieres de donnees au sens de l'article 9 du RGPD. Une visite medicale d'embauche reste possible, mais elle est realisee par un medecin du travail, qui ne transmet a l'employeur qu'un avis d'aptitude, jamais le detail medical.

L'article L1221-8 ajoute une obligation d'information prealable : le candidat doit etre informe, avant leur mise en oeuvre, des methodes et techniques d'aide au recrutement utilisees a son egard (tests de personnalite, mise en situation, logiciel de tri automatise de CV).

3. Duree de conservation : la regle des 2 ans de la CNIL

C'est le point le plus concretement utile pour une TPE ou une PME. La CNIL recommande, pour une candidature non retenue, une duree de conservation maximale de 2 ans a compter du dernier contact avec le candidat (reponse de refus, derniere relance, ou fin du processus). Passe ce delai, le dossier doit etre supprime ou anonymise, sauf si le candidat a explicitement accepte que son profil soit conserve plus longtemps pour d'eventuelles opportunites futures.

Cette duree s'applique a l'ensemble du dossier : CV, lettre de motivation, notes d'entretien, resultats de tests, echanges d'emails. Elle n'a pas besoin d'etre identique pour chaque candidat : elle court individuellement, a partir du dernier contact propre a chaque dossier, ce qui implique de dater precisement chaque refus pour pouvoir purger correctement les candidatures au bon moment.

4. Candidature spontanee et CVtheque

Une candidature spontanee suit la meme logique qu'une reponse a une offre : la base legale reste l'interet legitime ou les mesures precontractuelles, et la duree par defaut reste de 2 ans a compter de la reception, en l'absence de tout contact ulterieur.

Si l'entreprise souhaite constituer une reserve de profils (CVtheque) pour contacter un candidat plus tard sur un poste different, elle doit recueillir son accord explicite pour cette conservation prolongee, l'informer de la duree retenue et lui permettre de s'y opposer ou de demander sa suppression a tout moment. Un simple silence du candidat ne vaut pas accord.

5. Tri automatique de CV et decision algorithmique

De plus en plus d'outils RH proposent un tri ou un score automatique des candidatures a partir de mots-cles ou de criteres predefinis. L'article 22 du RGPD interdit qu'une decision produisant des effets juridiques ou significatifs sur une personne soit prise uniquement sur la base d'un traitement automatise, sauf exceptions encadrees.

Concretement pour un recrutement : l'algorithme peut classer, filtrer ou presurligner des candidatures, mais la decision finale d'ecarter un candidat doit rester arbitree par une personne. Le candidat doit pouvoir obtenir une intervention humaine, exprimer son point de vue et contester le resultat du traitement automatise s'il estime avoir ete ecarte a tort.

6. Jobboards et logiciels de recrutement (ATS) : des sous-traitants

Lorsqu'une entreprise passe par un jobboard pour diffuser ses offres ou par un logiciel de gestion des candidatures (ATS) pour centraliser les dossiers, ce prestataire traite des donnees personnelles pour le compte de l'entreprise. Il devient un sous-traitant au sens de l'article 28 du RGPD, ce qui impose un contrat precisant la nature des traitements, leur duree, les garanties de securite et les obligations de restitution ou de suppression des donnees en fin de contrat. Le detail des clauses obligatoires est explique dans notre article sur le contrat avec un sous-traitant RGPD.

Avant de choisir un outil RH, il est donc utile de verifier qu'il propose un contrat de sous-traitance conforme et des parametres permettant de respecter la duree de conservation de 2 ans, idealement par une purge automatique plutot qu'une suppression manuelle facile a oublier.

7. Les droits du candidat pendant et apres le processus

Un candidat conserve l'ensemble des droits garantis par le RGPD pendant toute la duree ou son dossier est conserve : droit d'acces a ses donnees, droit de rectification, droit d'effacement et droit d'opposition. Il peut par exemple demander a tout moment la suppression de son CV, y compris pendant un processus de recrutement en cours, et l'entreprise doit y repondre dans le delai habituel d'un mois prevu par le RGPD.

En cas de controle, la CNIL verifie generalement trois choses : l'existence d'une mention d'information sur l'annonce ou le formulaire de candidature, la capacite de l'entreprise a dater precisement chaque dossier pour appliquer la duree de conservation, et l'absence de donnees sensibles collectees sans base legale.

Questions frequentes

A lire aussi

Mineurs & consentement numerique

RGPD et mineurs : a partir de quel age un enfant peut-il consentir au traitement de ses donnees ?

Lire

Securite & CNIL

Securite des donnees (article 32 du RGPD) : les mesures concretes a mettre en place en TPE/PME

Lire

Videosurveillance & salaries

Videosurveillance en entreprise : ce que le RGPD et le Code du travail imposent avant d'installer des cameras

Lire