RGPD et recrutement : information, conservation des CV et IA locale

Un CV est un concentré de données personnelles : identité, coordonnées, parcours, parfois une photo ou une date de naissance. Le traiter avec un outil d’analyse automatique ne change pas la nature des règles applicables, mais rend leur respect plus visible, et plus important. Voici les points essentiels à maîtriser, de l’information des candidats au choix du prestataire.

Cet article donne des repères généraux ; il ne remplace pas l’avis de votre délégué à la protection des données ou d’un juriste.

Qui est responsable de quoi

Le RGPD distingue deux rôles.

• Le responsable de traitement décide pourquoi et comment les données sont traitées. En recrutement, c’est l’entreprise qui recrute, ou le cabinet lorsqu’il agit pour son propre compte.
• Le sous-traitant traite les données pour le compte du responsable, sur ses instructions. Un outil d’analyse de CV comme CVlize occupe cette position pour les données des candidats.

Cette répartition a une conséquence pratique : c’est au recruteur de fixer la finalité, la base légale, la durée de conservation et l’information des candidats. Le prestataire, lui, doit offrir les garanties qui permettent au recruteur de respecter ses obligations, et ne rien faire d’autre avec les données.

Informer les candidats avant le traitement

Le RGPD impose d’informer les personnes dont on traite les données (articles 13 et 14). Le Code du travail ajoute deux règles propres au recrutement : le candidat doit être expressément informé, avant leur mise en œuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard (article L1221-8), et aucune information le concernant ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1221-9).

Le recours à un outil d’analyse de CV par IA doit donc être annoncé. La mention d’information, placée sur l’offre d’emploi, la page carrière ou l’accusé de réception de la candidature, devrait indiquer :

• l’identité du recruteur et le moyen de le contacter ;
• la finalité : la gestion de la candidature pour le poste concerné ;
• l’usage d’un outil d’aide à la présélection qui analyse les CV au regard de critères liés au poste, et le fait que la décision est prise par une personne ;
• la durée de conservation du CV ;
• les droits du candidat (accès, rectification, effacement, opposition, limitation) et la possibilité de saisir la CNIL ;
• le prestataire qui héberge et traite les CV, le cas échéant.

Si l’entreprise dispose d’un comité social et économique, celui-ci doit être informé, préalablement à leur utilisation, des méthodes ou techniques d’aide au recrutement des candidats (article L2312-38 du Code du travail).

Ne collecter que ce qui sert le poste

Les informations demandées à un candidat doivent avoir un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation de ses aptitudes professionnelles (article L1221-6 du Code du travail). C’est l’application au recrutement du principe de minimisation du RGPD.

Pour l’analyse de CV, cela se traduit par quelques règles de bon sens : des critères de notation strictement professionnels, aucune donnée sensible (santé, convictions, origine) dans la grille, et le masquage des informations d’identité qui n’apportent rien à la présélection. C’est pourquoi CVlize anonymise les CV par défaut avant de les noter.

Combien de temps garder un CV

Un CV ne se conserve pas indéfiniment. Une fois le recrutement terminé, les candidatures non retenues n’ont en principe plus de raison d’être gardées. La CNIL admet une conservation en vue de futures opportunités, à condition d’en informer le candidat, de lui permettre de s’y opposer et de ne pas dépasser deux ans après le dernier contact.

La difficulté est surtout pratique : les CV s’accumulent dans les boîtes mail, les dossiers partagés et les exports. Un outil qui supprime automatiquement les données à échéance évite ces oublis. Dans CVlize, la durée de conservation est fixe : 30 jours après la création de la campagne, les CV, la fiche de poste, les résultats et l’export sont supprimés automatiquement, même si la campagne a été clôturée avant. Seule reste une trace anonyme (nom de la campagne, dates, compteurs et grille de critères, qui ne contient aucune donnée de candidat). La date de suppression est affichée sur la campagne : exportez votre classement avant cette date, et vous pouvez tout effacer plus tôt.

Pensez aussi aux copies : un export Excel téléchargé sur un poste de travail échappe à toute suppression automatique. Il relève alors de votre propre durée de conservation, qu’il vous revient de fixer et d’appliquer.

L’IA locale hébergée en France : ce que cela change

De nombreux outils d’analyse de CV s’appuient sur l’API d’un grand fournisseur d’intelligence artificielle, souvent établi hors de l’Union européenne. Ce choix ajoute un sous-traitant ultérieur, peut entraîner un transfert de données hors UE qu’il faut encadrer, et pose la question de la réutilisation des données par ce fournisseur.

Une IA exécutée localement simplifie ces questions. Chez CVlize, le modèle d’IA tourne sur notre propre serveur, hébergé en France chez OVHcloud. Les CV ne sont transmis à aucun fournisseur d’IA tiers et ne servent pas à entraîner un modèle. Les comptes et les fichiers (CV, fiches de poste, résultats, exports) sont hébergés en France, chez Supabase (région Paris), et aucun CV n’est transféré hors de l’UE.

Une analyse faite en France par une IA locale, avec des fichiers hébergés en France, ne dispense pas des autres obligations, mais elle raccourcit la chaîne des intervenants à documenter et écarte les risques liés aux transferts hors UE.

Encadrer la sous-traitance

L’article 28 du RGPD exige un contrat entre le responsable de traitement et son sous-traitant. Ce contrat, souvent appelé DPA (accord de traitement des données), doit notamment prévoir :

• l’objet, la durée et la finalité du traitement, les types de données et les catégories de personnes concernées ;
• le traitement des données sur instruction documentée du responsable uniquement ;
• la confidentialité imposée aux personnes autorisées à y accéder ;
• les mesures de sécurité mises en œuvre ;
• les conditions de recours à des sous-traitants ultérieurs ;
• l’aide apportée au responsable pour répondre aux demandes des personnes et en cas de violation de données ;
• la suppression ou la restitution des données en fin de prestation ;
• la possibilité d’audits.

Avant de choisir un outil, demandez la liste de ses sous-traitants et leur localisation. C’est souvent là que se révèle un transfert hors UE qui n’avait pas été annoncé.

Décision automatisée et AI Act

Deux textes convergent sur un point : la décision de recrutement doit rester humaine. L’article 22 du RGPD protège contre les décisions fondées exclusivement sur un traitement automatisé qui affectent significativement une personne, comme le rejet d’une candidature. Le règlement européen sur l’intelligence artificielle classe les systèmes servant à analyser et filtrer des candidatures parmi les usages à haut risque, avec des exigences de transparence, d’information des personnes concernées et de contrôle humain.

Un outil d’aide au tri doit donc expliquer ses notes et laisser la décision au recruteur. Parce qu’il évalue des personnes à l’aide d’une technologie nouvelle, ce type de traitement appelle généralement une analyse d’impact relative à la protection des données (article 35 du RGPD) ; votre délégué à la protection des données pourra le confirmer.

La liste de contrôle

Avant d’analyser votre prochaine série de CV, vérifiez que :

1. la mention d’information des candidats cite l’outil d’aide au tri et la décision humaine ;
2. le CSE a été informé, s’il existe ;
3. la grille ne contient que des critères professionnels ;
4. la durée de conservation est fixée et appliquée, exports compris ;
5. un contrat de sous-traitance est conclu avec le prestataire, qui a communiqué la liste de ses sous-traitants ;
6. aucun CV ne quitte l’Union européenne sans garanties appropriées ;
7. une personne relit les résultats et prend la décision ;
8. le traitement figure dans votre registre des activités de traitement.

CVlize a été conçu pour faciliter chacun de ces points : anonymisation par défaut, suppression automatique des CV après 30 jours, hébergement et IA locale en France, détail des notes et décision laissée au recruteur. Le détail figure dans notre politique de confidentialité. Pour essayer sur une vraie campagne, lancez une analyse avec les 50 CV offerts. Et pour bâtir des critères solides, lisez notre guide sur la grille de critères pondérée.