Conformité · July 18, 2026 · 9 min de lecture

RGPD et recrutement : données candidates, consentement et effacement

Ce que le RGPD impose en matière de base légale, de consentement et de minimisation — et comment honorer une demande d'effacement sans sacrifier votre piste d'audit.

← Fait partie de IA de recrutement conforme : LL144 et le règlement européen sur l'IA

Chaque candidature que vous recevez est un ensemble de données personnelles dont vous êtes désormais légalement responsable — et selon les règles du RGPD relatives aux données des candidats, cette responsabilité s'accompagne de droits que la plupart des équipes de recrutement sous-estiment, ainsi que de sanctions pouvant atteindre plusieurs millions en cas de manquement. Cela importe d'autant plus que le recrutement collecte certaines des informations les plus sensibles qu'une organisation traite jamais — identité, parcours professionnel, parfois données biométriques ou de surveillance des épreuves — auprès de personnes qui ne peuvent pas facilement se retirer. Ce guide s'adresse aux responsables talent souhaitant une plateforme d'évaluation des compétences native en IA qui respecte ces droits dès la conception ; il constitue un approfondissement de notre guide général sur l'IA de recrutement axée sur la conformité.

Les obligations qui pèsent dans le recrutement

Le RGPD repose sur un ensemble de principes — licéité, loyauté et transparence, limitation des finalités, minimisation, exactitude, limitation de la conservation, intégrité et responsabilité. En recrutement, quatre de ces principes se traduisent par des décisions concrètes et récurrentes qu'un recruteur ou une plateforme doit prendre correctement à chaque candidature.

• Une base légale pour le traitement, choisie délibérément, assortie d'une information claire au candidat sur ce que vous collectez et pourquoi
• La minimisation des données — collecter ce dont la décision a besoin, et non tout ce que vous pourriez demander
• Un consentement distinct et explicite pour les étapes plus intrusives comme la surveillance des épreuves, dissocié de la candidature de base
• Les droits des candidats : accès, rectification et effacement, traités sur demande dans le délai requis

Chacun de ces principes est plus facile à respecter lorsque l'évaluation est conçue autour de la décision qu'elle sous-tend. Si vous ne collectez que les signaux qu'un poste requiert véritablement — l'approche d'un processus de recrutement fondé sur les compétences — la minimisation devient presque automatique, car il y a tout simplement moins de données à gérer, sécuriser et supprimer.

Choisir une base légale défendable

Le réflexe est de recourir au consentement, car il semble sûr. En recrutement, c'est souvent l'option la plus fragile. Le consentement au sens du RGPD doit être libre, spécifique, éclairé et univoque, et il doit être aussi facile à retirer qu'à donner. Un candidat qui espère décrocher un emploi se sent rarement libre de dire non à un employeur — ce qui compromet l'exigence de liberté et fragilise la base.

La plupart des activités de recrutement de base reposent plus solidement sur les intérêts légitimes ou sur les mesures nécessaires avant la conclusion d'un contrat, assorties d'un test de balance documenté lorsque les intérêts légitimes sont invoqués. Le consentement est alors réservé aux mesures véritablement optionnelles et plus intrusives — la surveillance des épreuves étant l'exemple évident — pour lesquelles un candidat peut réellement refuser sans perdre la possibilité d'être évalué. Choisir la base pour chaque étape de traitement, plutôt que de se rabattre sur un consentement global, est ce qui rend l'ensemble du dispositif résistant à l'examen.

Information et limitation des finalités

Quelle que soit la base choisie, les candidats doivent être informés, en termes clairs, de ce que vous collectez, pourquoi, combien de temps vous le conservez et qui y a accès. La limitation des finalités vous tient ensuite à la finalité déclarée : des données collectées pour évaluer un candidat à un poste ne peuvent pas silencieusement devenir une liste marketing ou un enregistrement permanent dans un vivier de talents sans nouvelle base légale et nouvelle information. C'est là que les équipes dérivent en recrutement — un CV soumis pour un emploi reste des années dans un système de suivi des candidats, sa finalité initiale depuis longtemps expirée. Un calendrier de conservation qui supprime réellement dans les délais est la colonne vertébrale, peu glamour mais essentielle, de l'ensemble du dispositif.

Données de catégorie particulière et données biométriques

Certaines données bénéficient d'une protection renforcée : celles révélant l'origine raciale ou ethnique, l'état de santé, ou les données biométriques utilisées pour identifier une personne, parmi d'autres catégories. Les équipes de recrutement y tombent plus souvent qu'elles ne le prévoient. Un système de surveillance des épreuves qui analyse le visage d'un candidat, ou un aménagement pour raison d'accessibilité qui révèle un handicap, peut vous faire entrer dans le champ des données de catégorie particulière, où le traitement est interdit sauf si une condition spécifique s'applique et que des garanties correspondantes sont en place.

Le réflexe prudent est d'éviter de collecter des données de catégorie particulière sauf si vous disposez d'une raison claire et documentée et d'une condition valable pour le faire. Lorsque la surveillance des épreuves est véritablement nécessaire, traitez-la comme la mesure intrusive qu'elle est : consentement distinct, analyse d'impact réalisée, conservation limitée et finalité clairement expliquée. L'alternative — aspirer des données sensibles parce qu'un outil les capture au passage — est exactement le schéma que les régulateurs pointent du doigt. Concevoir des évaluations qui mesurent les compétences à travers le travail plutôt que par la surveillance, comme le fait une mise en situation AI Sandbox, élimine l'essentiel de ce risque d'emblée.

Deux dispositions qui pèsent le plus lourd

Au-delà des principes quotidiens, deux dispositions déterminent la manière dont une évaluation native en IA peut être construite. La première est l'article 22. Il confère aux candidats le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé lorsqu'elle produit des effets juridiques ou des effets significatifs similaires — et un refus d'embauche franchit généralement ce seuil. C'est précisément pourquoi une intervention humaine réelle dans la boucle n'est pas facultative pour les décisions de recrutement à fort enjeu. Les candidats acquièrent également le droit d'obtenir une intervention humaine, d'exprimer leur point de vue et de contester le résultat.

La seconde est l'exigence d'une analyse d'impact relative à la protection des données. Lorsque vous déployez des mesures intrusives comme la surveillance des épreuves, ou évaluez des personnes à grande échelle, l'AIPD est l'étape attendue, et non un simple plus. Elle vous oblige à justifier l'intrusion et à documenter les garanties avant de collecter la moindre image. Réalisée correctement, elle constitue également votre meilleure preuve, le moment venu, que vous avez pris le risque au sérieux — le même réflexe qui rend une analyse des impacts défavorables utile à réaliser avant de vous appuyer sur une méthode de sélection plutôt qu'après une plainte.

L'article 22 dans la pratique

Le piège avec l'article 22 est de considérer une étape humaine comme suffisante lorsqu'elle n'est que présente. Un examinateur qui valide mécaniquement le classement d'une machine n'a pas réellement été dans la boucle ; la décision était toujours, en substance, automatisée. Une révision réelle signifie que la personne peut comprendre le fondement du résultat, dispose de l'autorité et des informations nécessaires pour le modifier, et exerce effectivement son jugement. Construire le processus de sorte que contredire la machine soit normal — la même discipline qui rend les évaluations générées par IA fiables — est ce qui transforme une exigence légale en véritable garantie.

Effacer sans amnésie

L'article 17 confère aux candidats un droit à l'effacement — souvent appelé droit à l'oubli. En recrutement, il entre en collision avec une autre obligation : conserver suffisamment de traces pour démontrer qu'une décision a été prise équitablement, sans discrimination, et conformément à votre propre processus. Tout supprimer honore une obligation tout en détruisant les preuves nécessaires à l'autre ; tout conserver revient à ignorer la demande d'effacement. Les équipes traitent souvent cela comme une tension inévitable.

Ce n'est pas le cas, si les données sont stockées en pensant à l'effacement. La solution est de séparer les contenus personnels permettant d'identifier le candidat de l'enregistrement anonymisé attestant qu'une décision a été prise et qu'un processus a été suivi. Supprimer les premiers sur demande ; conserver les seconds. La suppression est réelle, car l'individu ne peut plus être identifié à partir de ce qui reste. La piste d'audit survit, car l'existence d'un processus équitable et cohérent ne dépend pas de savoir à qui appartenait la candidature. Les deux obligations n'entrent en conflit que lorsque données personnelles et données d'audit sont stockées dans un même bloc indissociable.

Demandes d'accès et de portabilité

L'effacement n'est pas le seul droit qui se manifeste dans une boîte de réception. Les candidats peuvent demander à accéder aux données que vous détenez sur eux, exiger la correction d'inexactitudes et, dans certains cas, demander leurs données dans un format portable. Une demande d'accès portant sur une décision de recrutement est un point de friction courant : le candidat veut savoir ce qui a été enregistré et comment le résultat a été obtenu. Si vos dossiers sont dispersés dans des fils d'e-mails, des tableurs et un outil de surveillance des épreuves, répondre dans le délai légal devient une course contre la montre.

Les équipes qui gèrent ces demandes sereinement sont celles dont les données résident en un seul endroit avec une structure claire, de sorte qu'une demande d'accès est une requête plutôt qu'un projet d'archéologie. Cette même structure est ce qui rend possible un argumentaire de processus équitable lorsqu'un candidat rejeté — ou un régulateur — demande comment l'évaluation des candidats a été menée. Pouvoir répondre rapidement n'est pas seulement de l'hygiène de conformité ; c'est le signe que le processus était suffisamment cohérent pour résister à la question.

Prestataires, sous-traitants et responsabilité partagée

La plupart des équipes de recrutement ne construisent pas leur propre infrastructure d'évaluation ; elles utilisent des outils. Cela ne transfère pas l'obligation. En tant qu'employeur décidant pourquoi et comment les données des candidats sont traitées, vous êtes généralement le responsable du traitement, et le prestataire qui exploite l'outil pour votre compte est généralement un sous-traitant agissant selon vos instructions. Le responsable du traitement porte la responsabilité, ce qui signifie que le choix du prestataire est lui-même une décision de conformité. Un accord de traitement des données écrit, la clarté sur l'emplacement des données et la certitude que le sous-traitant peut prendre en charge les demandes d'accès et d'effacement ne sont pas des options supplémentaires.

Les questions inconfortables à poser à un prestataire sont les plus utiles. Où les données des candidats sont-elles stockées, et pour combien de temps ? Peut-il supprimer un individu sur demande tout en conservant des enregistrements anonymisés ? Consigne-t-il les actions des examinateurs dans un format que vous pourriez transmettre à un régulateur ? Si un prestataire ne peut pas répondre clairement à ces questions, la charge vous revient au pire moment — lors d'une violation, d'un audit ou d'une demande d'accès. Choisir un outil axé sur la conformité, c'est choisir un outil pour lequel ces réponses sont intégrées au produit plutôt que promises lors d'un appel commercial.

Concevoir pour les droits, pas autour d'eux

Le fil conducteur à travers la base légale, le consentement, l'article 22 et l'effacement est que le RGPD récompense les systèmes conçus dès le départ pour les droits des candidats et pénalise ceux qui traitent la confidentialité comme un ajout a posteriori. Minimisez ce que vous collectez, choisissez une base que vous pouvez défendre, maintenez un humain véritablement responsable des décisions à fort enjeu, et stockez les données de sorte que l'identité et la preuve puissent être dissociées sur demande. Chacun de ces choix est plus facile à faire à la conception qu'à adapter sous la pression d'une demande ou d'une plainte.

Il y a ici un avantage discret qui mérite d'être mentionné. Les mêmes pratiques qui satisfont le RGPD — minimisation, base légale claire, intervention humaine, piste d'audit propre — rendent également votre recrutement plus équitable et plus défendable par eux-mêmes. Collecter moins de bruit affine le signal sur lequel vous évaluez ; une décision enregistrée et révisable est plus facile à défendre face à une plainte pour discrimination ; et un candidat informé de la vérité sur la façon dont il sera évalué arrive plus disposé à s'engager. La discipline en matière de confidentialité et un bon recrutement s'avèrent pointer dans la même direction — c'est aussi pourquoi cela s'articule avec le travail de réduction des biais en recrutement.

C'est la même posture qu'exige l'Acte IA européen pour les systèmes de recrutement à haut risque, et les deux régimes se renforcent mutuellement : maintenir un humain dans la boucle, conserver un dossier défendable, collecter uniquement ce dont vous avez besoin. Une conception axée sur la conformité traite cela comme une architecture, non comme des réflexions après coup — voyez comment le consentement, la révision et la journalisation d'audit s'articulent dans une démonstration en direct.