Combien de temps pouvez-vous conserver le CV d’un candidat ? La règle de conservation cachée dans votre boîte mail

Ce que dit vraiment la loi sur la conservation des CV

Commençons par le principe. Selon le RGPD, une donnée personnelle ne peut être conservée que le temps nécessaire à la finalité pour laquelle vous l’avez collectée, une règle appelée limitation de la conservation. Aucun chiffre unique n’est écrit dans le règlement. Vous devez fixer une durée, savoir la justifier, et l’indiquer clairement aux personnes dont vous détenez les données. Garder quelque chose indéfiniment parce que le supprimer semble risqué n’est pas une justification que la loi reconnaît.

La France met un chiffre concret dessus. La CNIL, l’autorité nationale de protection des données, a publié un référentiel relatif au recrutement qui pose clairement l’attente : les données d’un candidat que vous n’avez pas recruté peuvent être conservées pendant deux ans au maximum à compter de votre dernier contact avec lui, selon les recommandations de la CNIL pour les petites entreprises. Deux ans couvrent les raisons légitimes de garder le dossier : un poste similaire qui se libère, ou pouvoir répondre à une réclamation si elle est déposée. Passé ce délai, la raison s’épuise, et votre droit de conserver le dossier aussi.

Le piège du « on garde au cas où »

Presque tout le monde se constitue un vivier mental. Le bon deuxième, le profil qui était le bon mais un an trop tôt, la personne que vous rappelleriez dès qu’un poste s’ouvre : le supprimer semble du gâchis. Vous pouvez le garder, mais à deux conditions que des fichiers éparpillés rendent difficiles à tenir. Au-delà de la fenêtre de deux ans, conserver un CV dans un vivier n’est licite que si le candidat y a consenti, et il faut qu’il ait été informé, dès le départ, que vous conserviez ses données.

C’est là que le piège se referme. Le consentement et l’information ne sont pas difficiles à obtenir : ils sont difficiles à prouver après coup quand la donnée vit dans six endroits à la fois. Si un candidat vous demande de supprimer tout ce que vous détenez, vous êtes légalement tenu de le faire, et vous ne pouvez pas supprimer ce que vous ne retrouvez pas. Le problème n’est presque jamais qu’une équipe a décidé d’enfreindre la règle. C’est qu’aucun endroit unique ne détient la réponse à une question aussi basique que « que gardons-nous encore sur cette personne, et pourquoi ? ».

Les régulateurs ont cessé de traiter cela comme un détail administratif. La CNIL a inscrit la conservation excessive parmi ses priorités de contrôle, et elle a prononcé des amendes à six chiffres contre des entreprises qui gardaient des données personnelles pendant des années sans durée de conservation définie et sans information des personnes concernées. Ces affaires ne portaient pas sur le recrutement, mais le principe s’applique de la même façon : une donnée sans date d’expiration et sans responsable est un risque, qu’il s’agisse d’une fiche client ou d’un CV écarté.

Où le risque se loge réellement

La règle de conservation n’est pas le plus dur. Presque tout le monde sait réciter « deux ans, puis on supprime ». Le plus dur, c’est que les données candidats ne tiennent pas dans un seul endroit où une règle pareille peut s’appliquer. Elles se dispersent comme conséquence normale de la façon dont une petite équipe mène une recherche, et chaque copie est une nouvelle horloge que personne ne surveille.

C’est la même fragmentation qui rend difficile de dire où en est chaque candidat dans votre pipeline, vue cette fois sous l’angle de la conformité plutôt que de la productivité. Si vous gérez le recrutement sur un tableur et une boîte mail, la donnée n’a pas de foyer unique ni de date d’expiration partagée. Les équipes qui ont un outil ne sont pas automatiquement à l’abri non plus : quand un ATS n’est adopté qu’à moitié, les tableurs parallèles et les chaînes de mails qui poussent autour de lui détiennent des copies que le système ne voit jamais, et ne supprime jamais.

Conserver sans administratif en plus

L’instinct est de corriger cela par la discipline : un rappel trimestriel pour purger les vieux fichiers, un document de politique que personne ne lit. Cela échoue pour la raison même qui a créé le problème, parce que cela repose sur une personne qui doit penser à faire un travail ingrat en plus du vrai travail. La conservation tient quand elle est une propriété du système, pas une tâche sur la liste de quelqu’un. Quelques éléments la rendent réelle :

• Un seul foyer pour les données candidats. Un endroit unique où vit un fichier, c’est une horloge unique, et une réponse unique quand on vous demande ce que vous détenez sur une personne.
• Une durée définie, annoncée d’emblée. Les candidats sont informés de la durée de conservation de leurs données dès qu’ils postulent : l’ information que la loi exige est traitée une fois, pas rattrapée plus tard.
• Une suppression qui se fait toute seule. Les fichiers arrivés au bout de la durée sont effacés sans que personne ait à lancer une purge, et toute personne gardée pour le vivier repose sur un consentement enregistré.

C’est en grande partie pourquoi nous avons construit Kynto autour d’un système unique plutôt que d’une pile d’ outils déconnectés qui gardent chacun leur copie. Les données candidats vivent à un seul endroit, hébergées en Europe, supprimées selon un calendrier fixe, et jamais utilisées pour entraîner des modèles pour d’autres. Vous pouvez lire précisément comment cela fonctionne sur notre page dédiée à la protection des données. Rien de tout cela ne remplace un échange avec votre propre DPO ou votre conseil, mais cela signifie que la conservation est quelque chose que l’outil fait discrètement, plutôt qu’une chose de plus à retenir un vendredi après-midi.

À retenir

• En France, les données d’un candidat que vous n’avez pas recruté peuvent être conservées pendant deux ans au maximum à compter du dernier contact. Le RGPD ne fixe aucun chiffre mais impose une durée définie, justifiée et annoncée.
• Garder un bon deuxième dans un vivier au-delà de deux ans est possible, mais seulement avec le consentement du candidat, et seulement s’il a été informé que ses données étaient conservées. Les deux sont faciles à obtenir et difficiles à prouver quand la donnée est éparpillée.
• Le risque n’est pas votre jugement, c’est la fragmentation. Boîtes mail, drives, tableurs et vieux exports détiennent chacun une copie avec sa propre horloge. La conservation tient quand un seul système possède la donnée et la supprime à échéance.

FAQ

Combien de temps puis-je conserver le CV d’un candidat écarté en France ?

La CNIL fixe l’attente à deux ans au maximum à compter de votre dernier contact avec le candidat, ce qui couvre le fait de le recontacter pour un poste similaire ou de répondre à une réclamation. Passé deux ans, la justification s’épuise, et le dossier doit être supprimé ou anonymisé à moins que le candidat n’ait consenti à être gardé dans un vivier.

Puis-je constituer un vivier d’anciens candidats ?

Oui, dans les deux ans au titre de l’intérêt légitime d’un recrutement futur, et au-delà de deux ans uniquement si le candidat y a consenti. Dans les deux cas, il doit avoir été informé que vous conservez ses données. L’exigence pratique est de pouvoir démontrer que ce consentement et cette information existent, ce qui implique que la donnée ne peut pas être dispersée dans des endroits que vous auriez du mal à auditer.

Que se passe-t-il si un candidat me demande de supprimer ses données ?

Vous êtes tenu d’honorer la demande, ce qui signifie retrouver et effacer chaque copie que vous détenez. C’est simple quand les données candidats vivent dans un seul système et quasi impossible quand elles sont réparties entre boîtes mail, drives et vieux tableurs. Un foyer unique pour la donnée est ce qui transforme une demande de suppression, d’une course éperdue, en un clic.