La Douille, c’est la newsletter de Volkane qui raconte le droit au monde des affaires, un dimanche sur deux. Pour la recevoir, abonnez-vous ici.
Demande de suppression de CV d’un candidat : quand le recrutement finit en contrôle CNIL
Vous avez déjà reçu un email dont l’objet est « Demande de suppression de mon CV » ?
Gudule en a reçu une soixantaine l’an dernier.
Logiciel de recrutement : la suppression automatique des CV après 60 jours
Gudule est responsable du recrutement chez un éditeur SaaS qui vient de boucler une grosse levée de fonds. 150 salariés aujourd’hui, 40 développeurs à recruter cette année. Les offres tournent sur le site carrières et sur les jobboards. Résultat : une moyenne de 6 000 candidatures traitées par an.
Pour tenir le rythme, Clodomir, le fondateur, investit dans un logiciel de recrutement. Cela permet de tout centraliser et d’éviter les emails qui se baladent avec toutes les informations des candidats.
Gudule fait le tri directement depuis le logiciel et les candidats écartés avant tout entretien reçoivent un email de refus automatique. Cet email fait courir le point de départ d’une durée de 60 jours à l’issue de laquelle leurs CV sont supprimés automatiquement sans que personne n’ait à y penser.
La magie de l’automatisation.
Email de refus de candidature : une durée de conservation incohérente
Au moment de l’adoption du logiciel, Gudule demande à son stagiaire de rédiger la trame de cet email automatique :
« Objet : Votre candidature
Bonjour,
Nous vous remercions de l’intérêt que vous portez à notre société et du temps que vous avez consacré à votre candidature.
Après étude de votre profil, nous ne sommes malheureusement pas en mesure d’y donner une suite favorable.
Nous conservons toutefois votre candidature pendant 2 ans afin de pouvoir vous recontacter si un poste correspondant à votre profil venait à s’ouvrir.
Nous vous souhaitons une bonne continuation dans vos recherches.
L’équipe Recrutement »
Si vous avez suivi l’histoire, vous devriez penser : mais pourquoi le stagiaire a-t-il écrit 2 ans alors qu’on vient de me dire plus haut que les CV sont supprimés à 60 jours ?
Et vous aurez vu juste.
Mais ça Gudule ne l’a pas vu quand il a validé le projet d’email à 10 minutes de sa pause déjeuner et qu’il était déjà concentré sur le choix entre un steak haché frites ou le plat du jour.
Le process est donc mis en place.
Et plusieurs candidats pincés dans leur ego de ne même pas être reçus en entretien s’offusquent de voir leur CV conservé 2 ans. Alors ils écrivent pour demander la suppression de leurs données.
Le problème, c’est qu’à ce moment-là, la juriste est en congé maternité et que Gudule raisonne de façon très pragmatique en remettant la réponse à plus tard, puisque de toute façon les données sont supprimées sous 60 jours et qu’il croule suffisamment sous le travail pour ne pas perdre du temps à rédiger des emails inutiles.
Plaintes à la CNIL et contrôle sur les demandes d’effacement des candidats
Mais les candidats pincés dans leur ego n’aiment pas être ghostés.
Alors ils se plaignent à la CNIL. À plusieurs reprises.
Quand la juriste rentre de congé, Gudule ne pense à aucun moment à lui en parler : ne pas s’encombrer d’une charge inutile alors que les données sont supprimées automatiquement lui paraît tellement logique.
Jusqu’au jour où la délégation de contrôle de la CNIL sonne à l’accueil pour s’enquérir de la façon dont les demandes de suppression de données des candidats sont gérées.
Clodomir est serein. Il sait que tout fonctionne via le logiciel. Les CV n’existent plus, on ne peut pas lui reprocher de les avoir gardés.
Sauf que les contrôleurs s’intéressent peu au logiciel. Ils demandent autre chose :
- la liste de toutes les demandes de suppression reçues l’année précédente et, pour chacune, la réponse envoyée ;
- les procédures internes qui documentent la gestion des candidatures.
Gudule retrouve une soixantaine de demandes dans sa boîte mail, mais presque aucune réponse. Quant aux procédures, il n’y a rien de vraiment bien formalisé.
Quelques mois passent sans nouvelles. Clodomir finit par penser que l’affaire en restera là.
Sanction CNIL : amende, injonction sous astreinte et publication de la décision
C’est mal connaître les délais de traitement de la CNIL.
Près d’un an après le contrôle, Clodomir reçoit le rapport de la CNIL. Le rapporteur retient que la plupart des demandes de suppression n’ont jamais été traitées. Il propose une amende, une injonction sous astreinte et la publication de la décision avec le nom de la société.
Parce que les candidats n’ont jamais reçu de réponse. Que leur CV ait été supprimé ou non, personne ne le leur a dit.
Or pour la CNIL, répondre à une demande de suppression relève des principes fondamentaux de la protection des données : c’est ce qui permet aux personnes de garder la maîtrise de leurs données.
Droit à l’effacement RGPD : faut-il répondre si les données sont déjà supprimées ?
Un candidat vous demande de supprimer son CV alors que le logiciel l’a déjà effacé, ou va le faire. Faut-il quand même lui répondre ? Oui. Voici pourquoi :
Répondre à une demande d’effacement : une obligation à part entière
Effacer et répondre sont deux obligations distinctes. Pour la CNIL, l’obligation de répondre « constitue une obligation autonome, qui ne saurait être compensée par l’effacement automatique des données ».
Concrètement, l’article 12 du RGPD impose, dans le mois qui suit la demande :
- soit de confirmer à la personne ce qui a été fait ;
- soit, si vous n’y faites pas droit (même en partie), de lui donner les motifs et de lui rappeler ses voies de recours.
Le délai peut être prolongé de 2 mois si la demande est complexe, à condition de prévenir la personne dans le premier mois.
Durée de conservation des CV : le paramétrage du logiciel ne remplace pas une procédure écrite
Que les CV soient effectivement supprimés ne suffit pas. Il faut pouvoir le prouver, et un écran de paramétrage ne permet pas toujours de le prouver si les logs ne sont pas paramétrés ou pas conservés suffisamment longtemps.
Or, l’article 5.2 du RGPD met la preuve à votre charge : c’est au responsable de traitement de démontrer qu’il est conforme.
Si votre durée de conservation n’est écrite nulle part (ni dans la politique de confidentialité, ni dans le registre, ni dans une procédure interne), vous n’avez rien à montrer à un contrôleur de la CNIL pour démontrer votre conformité.
Ce que la CNIL attend c’est que vous puissiez montrer :
- quelle durée vous appliquez et pourquoi ;
- comment une demande d’effacement est reçue, traitée et tracée, par qui et sous combien de temps.
Demandes de suppression des candidats : que mettre en place ?
- Répondez à chaque demande, même quand la purge a déjà fait le travail.
- Tenez un registre des demandes et des réponses, et prévoyez un relais quand la personne qui le tient s’absente.
- Alignez vos durées de conservation et relisez régulièrement les documents pour les mettre à jour : politique de confidentialité, emails automatiques, registre et paramétrage doivent dire la même chose.
Pour approfondir le sujet :
- CNIL, délibération SAN-2026-010 du 21 juillet 2026 ;
- CNIL, délibération SAN-2022-022 du 30 novembre 2022, point 35.
- Volkane, guide : recruter en conformité avec le RGPD.
FAQ sur les demandes de suppression de données des candidats
Faut-il répondre à une demande de suppression RGPD si les données sont déjà effacées ?
Oui. Effacer et répondre sont deux obligations distinctes. Pour la CNIL, l’obligation de répondre constitue une obligation autonome, qui ne saurait être compensée par l’effacement automatique des données. Il faut donc répondre à chaque demande, même quand la purge a déjà fait le travail.
Quel est le délai pour répondre à une demande d’effacement de données RGPD ?
L’article 12 du RGPD impose de répondre dans le mois qui suit la demande. Ce délai peut être prolongé de 2 mois si la demande est complexe, à condition de prévenir la personne dans le premier mois.
Que doit contenir la réponse à une demande de suppression de données personnelles ?
Soit la confirmation à la personne de ce qui a été fait. Soit, si vous n’y faites pas droit (même en partie), les motifs de ce refus et un rappel de ses voies de recours.
Comment prouver à la CNIL que les CV des candidats sont bien supprimés ?
L’article 5.2 du RGPD met la preuve à la charge du responsable de traitement. Un écran de paramétrage du logiciel ne suffit pas toujours, notamment si les logs ne sont pas paramétrés ou pas conservés suffisamment longtemps. La CNIL attend que vous puissiez montrer quelle durée de conservation vous appliquez et pourquoi, et comment une demande d’effacement est reçue, traitée et tracée, par qui et sous combien de temps. Cette durée doit être écrite dans la politique de confidentialité, le registre ou une procédure interne.
Vous faites face à une situation similaire ?
Échangez avec nous sur votre problématique.
Toute ressemblance avec des faits et des personnages existants ou ayant existé serait purement fortuite et ne pourrait être que le fruit d’une pure coïncidence.
