RGPD et CVthèque : les règles à respecter

Constituer une CVthèque est précieux pour tout recruteur : elle permet de garder sous la main des profils intéressants et de gagner un temps considérable lors des recrutements suivants. Mais un CV est une donnée personnelle, et sa conservation est strictement encadrée par le RGPD (Règlement général sur la protection des données). Mal gérée, une CVthèque expose à des sanctions et à une perte de confiance. Voici les règles RGPD à respecter pour votre CVthèque, expliquées simplement, avec une méthode de mise en conformité et les erreurs à éviter.

Pourquoi le RGPD concerne directement votre CVthèque

Un CV contient un nom, des coordonnées, un parcours, parfois une photo : autant de données personnelles au sens du RGPD. Dès que vous les collectez, les stockez ou les consultez, vous devenez responsable de leur traitement. Cela vaut pour une multinationale comme pour une PME ou une collectivité. Le règlement ne vous interdit pas de constituer une CVthèque : il vous impose de le faire de façon transparente, proportionnée et sécurisée.

Le sujet dépasse d’ailleurs le seul fichier de CV. Lettres de motivation, notes d’entretien, échanges par e-mail, résultats de tests : tout ce qui se rattache à un candidat identifiable entre dans le périmètre. Une CVthèque conforme suppose donc une vision d’ensemble de votre processus de recrutement.

Les grands principes appliqués au recrutement

• Finalité : les CV ne doivent servir qu’au recrutement, pas à d’autres usages détournés.
• Minimisation : ne collectez que les données utiles à l’évaluation d’une candidature.
• Transparence : le candidat doit savoir que ses données sont conservées, pourquoi et combien de temps.
• Limitation de la durée : un CV ne se garde pas indéfiniment.
• Sécurité : les données doivent être protégées contre les accès non autorisés.

Concrètement, la minimisation se joue dès la conception de vos formulaires. Demandez-vous, champ par champ, si l’information est vraiment nécessaire pour évaluer une candidature. Les questions sans lien direct avec le poste ou les compétences n’ont pas leur place dans un formulaire de candidature. De même, les notes prises en entretien doivent rester factuelles et liées à l’évaluation professionnelle.

Information et consentement du candidat

Lorsqu’un candidat postule ou dépose son CV, vous devez l’informer clairement : qui collecte les données, dans quel but, pour combien de temps, et quels sont ses droits. Cette information passe généralement par une mention de confidentialité accessible au moment de la candidature. Pour conserver un profil dans une CVthèque au-delà du poste visé, mieux vaut recueillir son accord explicite : c’est à la fois une bonne pratique juridique et un gage de confiance.

En pratique, privilégiez une case à cocher distincte, non pré-cochée, qui permet au candidat d’accepter que son profil soit conservé pour d’autres opportunités. Conservez la trace de cet accord et de sa date : elle vous sera utile pour justifier votre démarche et pour calculer la durée de conservation.

Combien de temps conserver un CV ?

La CNIL recommande de ne pas conserver les données d’un candidat non retenu au-delà de deux ans après le dernier contact, sauf accord du candidat pour une durée plus longue. Au-delà, les données doivent être supprimées ou anonymisées. Pensez à dater chaque candidature et à mettre en place une purge automatique pour ne pas accumuler de profils périmés.

Une bonne pratique consiste à contacter le candidat avant l’échéance pour lui proposer de mettre à jour son profil et de prolonger sa présence dans la CVthèque. C’est aussi l’occasion de raviver un vivier : un candidat relancé au bon moment peut redevenir un profil actif.

Les droits des candidats

Tout candidat dispose de droits que vous devez être en mesure d’honorer rapidement :

• Droit d’accès : savoir quelles données vous détenez sur lui.
• Droit de rectification : corriger une information erronée.
• Droit à l’effacement : demander la suppression de son profil.
• Droit d’opposition : refuser que ses données soient conservées dans la CVthèque.

Prévoyez un point de contact (souvent le délégué à la protection des données, ou DPO) et une procédure pour traiter ces demandes dans le délai légal d’un mois.

L’idéal est de permettre au candidat d’exercer une partie de ces droits lui-même, depuis son espace personnel : modifier son profil, retirer son CV ou supprimer son compte. Vous réduisez ainsi la charge de traitement tout en renforçant la confiance.

Sécuriser les données : vos obligations

Vous devez protéger les CV contre la perte, le vol ou l’accès non autorisé. Concrètement : un accès restreint aux seules personnes habilitées, des mots de passe robustes, un hébergement sécurisé, idéalement situé dans l’Union européenne, et une traçabilité des consultations. Une plateforme de recrutement conçue dans le respect du RGPD intègre ces garanties par défaut.

Attention aux pratiques informelles : CV envoyés en pièce jointe à plusieurs managers, fichiers téléchargés sur des postes personnels, tableurs partagés sans contrôle d’accès. Ces usages multiplient les copies et rendent la purge presque impossible. Centraliser les candidatures dans un outil unique est la meilleure façon de garder la maîtrise.

Mettre votre CVthèque en conformité : la méthode pas à pas

1. Cartographier vos données. Recensez où se trouvent les CV aujourd’hui : boîtes e-mail, dossiers partagés, logiciel de recrutement, papier.
2. Centraliser. Regroupez les candidatures dans un outil unique et supprimez les copies dispersées.
3. Revoir vos formulaires. Retirez les champs inutiles et ajoutez une mention d’information claire.
4. Définir vos durées de conservation. Formalisez-les et paramétrez une purge automatique.
5. Organiser l’exercice des droits. Désignez un point de contact et rédigez une procédure simple.
6. Restreindre les accès. Attribuez des droits selon les rôles et vérifiez-les régulièrement.
7. Documenter. Inscrivez le traitement au registre et conservez la trace des consentements.

Les erreurs à éviter

• Conserver « au cas où » tous les CV reçus, sans limite de durée ni accord du candidat.
• Réutiliser la CVthèque à d’autres fins, par exemple pour de la prospection commerciale.
• Partager les CV par e-mail sans contrôle, au risque de perdre la trace des copies.
• Ignorer une demande d’effacement ou la traiter hors délai.
• Oublier les candidatures spontanées, qui obéissent aux mêmes règles.

Les sanctions en cas de manquement

Le RGPD prévoit des sanctions pouvant atteindre des montants très élevés, mais au-delà de l’amende, c’est souvent l’atteinte à la réputation qui coûte le plus cher. Un candidat dont les données sont mal gérées en parlera, et une marque employeur se construit aussi sur la confiance. À ce sujet, découvrez pourquoi un site carrière change tout pour votre marque employeur.

Check-list de conformité

• Une mention d’information claire au moment de la candidature.
• Une durée de conservation définie et appliquée (purge automatique).
• Un accord pour la conservation longue durée en CVthèque.
• Une procédure pour les demandes d’accès et d’effacement.
• Un accès sécurisé et restreint aux données.
• Un hébergement conforme et un registre des traitements à jour.

Questions fréquentes

Puis-je garder un CV sans l’accord du candidat ?

Pour le poste auquel il a postulé, oui, le temps du recrutement. Pour le conserver ensuite en CVthèque, il est fortement recommandé de recueillir son consentement.

Que faire d’une candidature spontanée ?

Les mêmes règles s’appliquent : information, durée limitée et possibilité d’effacement.

Le matching automatique entre profils et offres est-il compatible avec le RGPD ?

Oui, à condition que le candidat soit informé de l’utilisation de ses données, que celles-ci servent uniquement au recrutement et que les décisions finales restent prises par des recruteurs. En cas de doute, rapprochez-vous de votre DPO et des recommandations de la CNIL.

Une collectivité est-elle soumise aux mêmes règles ?

Oui. Le RGPD s’applique aussi aux employeurs publics. Pour une vue d’ensemble du projet, consultez notre guide pour créer un site emploi de collectivité.

Choisir un outil qui facilite la conformité

Un outil adapté simplifie grandement le respect de ces règles. Vérifiez qu’il propose des mentions d’information et des consentements paramétrables, des durées de conservation automatisées, un espace candidat pour l’exercice des droits, une gestion fine des accès et un hébergement maîtrisé. MyJobCommunity, par exemple, intègre la conformité RGPD nativement, est hébergée en France sur ses propres serveurs et propose une CVthèque avec matching. Pour en savoir plus, découvrez notre solution de création de site emploi.

En résumé

Une CVthèque conforme au RGPD repose sur la transparence, une durée de conservation maîtrisée, le respect des droits des candidats et la sécurité des données. Appliquer ces règles, c’est protéger votre organisation et renforcer la confiance des candidats. MyJobCommunity est conçu pour gérer vos candidatures dans le respect de ces règles. Échangeons sur votre conformité.