par Pepito Le recrutement figure parmi les priorités de contrôle de la CNIL. Entre tri automatisé, sourcing sur les réseaux sociaux et conservation des CV, chaque étape du processus engage la responsabilité de l’entreprise. Conservation limitée à deux ans en base active puis cinq ans en archive, supervision humaine obligatoire sur les décisions de l’IA, information des candidats : voici les règles concrètes pour sécuriser ses recrutements sans freiner son sourcing.
Pourquoi le recrutement est dans le viseur de la CNIL
Le respect du RGPD en ressources humaines n’est plus un sujet secondaire. Si la CNIL s’intéresse de près au recrutement, qu’il soit géré en entreprise ou confié à des cabinets externes, c’est en grande partie lié à l’automatisation systématique des processus et à l’usage de plateformes de recrutement interconnectées. La rationalisation actuelle des effectifs pourrait inciter les recruteurs à s’en remettre de plus en plus aux algorithmes pour trier et évaluer les profils — c’est précisément cette bascule technologique invisible, et les risques de discrimination associés, qui expliquent l’attention de l’autorité de contrôle.
Sourcing sur les réseaux sociaux : où s’arrête le légitime ?
Consulter le profil LinkedIn d’un candidat est légitime si cela apporte un éclairage professionnel sur le poste. En revanche, aller fouiller le compte personnel Facebook ou Instagram d’un candidat franchit la frontière de sa vie privée. Attention également à la capture de données : la simple consultation en ligne est autorisée, mais extraire ou « aspirer » ces informations dans un ATS via un outil de sourcing constitue une collecte indirecte. La parade opérationnelle consiste à configurer l’outil pour envoyer une notification automatique d’information au candidat, mentionnant ses droits et les durées de conservation, dès que son profil est importé.
L’entretien : préserver l’humain sans déraper sur la vie privée
Un entretien d’embauche est avant tout une rencontre entre deux individus. La vigilance réglementaire ne doit pas formater l’échange : elle invite simplement à s’assurer que les questions touchant à la sphère purement privée du candidat restent hors du champ de l’évaluation. Un cas emblématique rappelle la règle d’or : le background check informel ou disproportionné constitue un délit, et la recherche d’informations doit se limiter strictement aux compétences professionnelles déclarées.
Durée de conservation des CV : de la base active à l’archivage
Pour un candidat non retenu, la conservation du dossier dans l’outil quotidien ne peut pas excéder deux ans après le dernier contact — un échange de mails, un entretien, ou une mise à jour de son profil par le candidat lui-même. Passé ce délai, les données doivent être effacées ou archivées de façon intermédiaire pendant une durée correspondant au délai de prescription de l’action civile.
IA et tri automatisé de candidatures : l’humain doit rester maître
L’intégration de l’intelligence artificielle ne se limite plus au simple filtrage de mots-clés : elle intervient désormais en amont (agents vocaux de pré-qualification), pendant (outils d’analyse sémantique des entretiens) et après (scoring prédictif des compétences). Le tri automatisé de candidatures rencontre toutefois une limite légale et éthique majeure : un candidat ne peut pas être écarté du processus par une machine sans qu’un recruteur ou un consultant n’ait validé la décision. La supervision ne peut pas se réduire à une simple validation automatique d’un rapport généré par une IA.
Le cas le plus souvent cité pour illustrer ce risque est celui d’un grand groupe américain qui, à la fin des années 2010, a dû abandonner un algorithme de recrutement entraîné sur un historique de candidatures majoritairement masculines : le système avait appris à pénaliser les profils contenant certains termes associés aux candidatures féminines.
Transparence et explicabilité des outils d’IA
La transparence est essentielle : le candidat doit être informé de l’usage d’un outil d’IA, et l’employeur — ou son cabinet conseil — doit être capable de lui expliquer les critères logiques qui ont guidé le logiciel. Recruteurs et DPO doivent travailler de concert pour auditer les outils tiers et piloter leur conformité au quotidien.
Par Anne-Angélique de Tourtier, Head of Customer Success & Privacy Operations chez Adequacy.
