Vous recrutez avec un ATS, un outil de tri de CV ou de l’IA ? Le recrutement est l’une des trois thématiques prioritaires de contrôle de la CNIL pour 2026. Un DPO expérimenté vous rappelle dans l’heure : 01 82 83 64 01.
L’essentiel en 30 secondes. Dans sa communication du 3 avril 2026, la CNIL a placé le recrutement parmi ses thématiques prioritaires de contrôle de l’année, trois ans après la publication de son guide dédié. Trois points seront vérifiés en priorité : la prise de décision automatisée (tri de CV, scoring, outils d’IA), l’information des candidats et les durées de conservation des candidatures. Les grandes entreprises et les cabinets de recrutement sont visés en premier, en raison des volumes qu’ils traitent. Et ce n’est pas un hasard de calendrier : la CNIL préfigure ainsi son futur rôle d’autorité de surveillance du marché « travail » au titre de l’AI Act, dont l’annexe III classe le recrutement parmi les usages à haut risque. Voici ce que la CNIL va regarder, règle par règle, et comment s’y préparer.
Pourquoi le recrutement, pourquoi maintenant
Le recrutement cumule tout ce qui attire un contrôle : des volumes importants de données, des personnes en position de faiblesse (le candidat ne négocie pas), des décisions à effet significatif (être retenu ou non), et une automatisation galopante — ATS, matching, tests en ligne, entretiens vidéo différés, assistants IA de présélection. La CNIL a publié son guide du recrutement en janvier 2023 ; 2026 est l’année où elle vérifie qu’il a été lu. La thématique s’inscrit dans l’action coordonnée européenne sur la transparence, et elle sert d’échauffement : le recrutement, la sélection et l’évaluation des candidats figurent à l’annexe III de l’AI Act comme systèmes à haut risque, applicables au 2 décembre 2027. Les contrôles RGPD de 2026 sont la répétition générale des contrôles AI Act de 2028.
Point de contrôle n° 1 : la décision automatisée
C’est le cœur du sujet. L’article 22 du RGPD interdit qu’un candidat soit écarté par une décision fondée exclusivement sur un traitement automatisé, sauf exceptions strictes et avec des garanties : information, droit d’obtenir une intervention humaine, de faire valoir son point de vue, de contester. Un ATS qui rejette automatiquement les CV sans le mot-clé attendu, un score qui ferme la porte sous un seuil, un test en ligne éliminatoire sans relecture humaine : autant de décisions automatisées au sens de l’article 22, que l’outil soit « intelligent » ou non. La CNIL va demander trois choses : la cartographie des étapes automatisées, la réalité de l’intervention humaine (une personne compétente, qui lit, qui peut inverser — pas un clic de validation en masse), et la logique de l’outil, que vous devez pouvoir expliquer au candidat qui la demande.
S’y ajoute une ligne rouge de l’AI Act, applicable depuis février 2025 : la reconnaissance des émotions au travail est une pratique interdite — ce qui vise directement les outils d’entretien vidéo qui prétendent analyser l’enthousiasme ou le stress d’un candidat. Et les outils de tri et d’évaluation des candidats, haut risque à partir de décembre 2027, imposeront au recruteur-déployeur d’informer les candidats et les représentants du personnel, d’assurer le contrôle humain et de conserver les journaux. Nous détaillons l’articulation RGPD/AI Act d’un outil autonome dans notre guide sur le déploiement d’un agent IA conforme.
Point de contrôle n° 2 : l’information des candidats
Le candidat doit recevoir, dès la collecte, l’information de l’article 13 : identité du recruteur, finalités, bases légales, destinataires (y compris les prestataires — ATS, cabinets, outils de test), durées de conservation, droits, et l’existence d’une décision automatisée avec sa logique et ses conséquences. En pratique, la CNIL regarde la mention sur le formulaire de candidature et le site carrière, le courriel de réception, et la cohérence avec ce qui est réellement fait. L’action coordonnée européenne 2026 porte précisément sur la transparence : une mention générique renvoyant à une politique de confidentialité « corporate » qui ne dit rien du recrutement ne tiendra pas. Trois pièges fréquents : les candidatures spontanées (information due aussi), les candidats sourcés sur LinkedIn ou via un cabinet (information de l’article 14, dans le mois), et la réutilisation d’une candidature pour un autre poste sans en avoir informé la personne.
Point de contrôle n° 3 : les durées de conservation
La règle du guide CNIL est simple et rarement respectée : les données d’un candidat non retenu sont conservées au maximum deux ans après le dernier contact, sauf si la personne demande leur suppression — et une conservation plus longue suppose un accord explicite. Pour le candidat recruté, les données utiles basculent dans le dossier du salarié ; le reste est supprimé. La CNIL vérifiera la politique écrite, le paramétrage effectif de l’ATS (purge automatique ou non), et l’existence de candidatures de 2019 qui dorment encore dans la base — le constat le plus courant de nos audits. Les comptes rendus d’entretien et les résultats de tests suivent la même durée ; les notes manuscrites des recruteurs, souvent oubliées, aussi.
Ce que la CNIL regardera aussi
Au-delà des trois priorités affichées, le guide de 2023 fixe des règles que tout contrôle réactive. La pertinence des données : pas de situation familiale, de numéro de sécurité sociale, de permis de conduire ou de données de santé sans nécessité démontrée pour le poste ; les questions « hors poste » sont illicites. Les tests de personnalité et mises en situation : admis s’ils sont pertinents, proportionnés, et si le candidat accède à ses résultats. Les réseaux sociaux : seules les informations professionnelles rendues publiques peuvent être consultées, de façon loyale, sans faux profils. La vidéo différée : information préalable, pas d’analyse automatisée des traits ou des émotions. Et l’encadrement des prestataires : chaque outil est un sous-traitant qui appelle un contrat de l’article 28 — l’ATS, le cabinet, la plateforme de tests, l’outil d’IA.
Se préparer : le plan en cinq points
| Action | Ce que la CNIL demandera de voir |
|---|---|
| 1. Cartographier la chaîne de recrutement | Chaque étape, chaque outil, chaque prestataire ; les étapes automatisées identifiées — au registre des traitements |
| 2. Qualifier les décisions automatisées | Preuve d’une intervention humaine réelle à chaque étape éliminatoire ; logique des outils documentée |
| 3. Réécrire l’information candidats | Mention dédiée au recrutement (formulaire, site carrière, accusé de réception, sourcing art. 14) |
| 4. Paramétrer la purge | Politique écrite + purge automatique à 2 ans dans l’ATS + traitement des notes et tests |
| 5. Encadrer les outils | Contrats art. 28, questions écrites aux éditeurs d’IA (logique, données, marquage art. 50, préparation haut risque 2027) |
Si le contrôle arrive avant que ce plan soit terminé, la conduite à tenir est celle de notre guide Contrôle CNIL : les 48 premières heures — et les corrections engagées avant les constats pèsent dans l’appréciation.
La checklist « Contrôle CNIL : les 48 premières heures » — gratuite
Inscrivez-vous à la newsletter DPO 101 et recevez par e-mail la checklist PDF à garder sous la main en cas de contrôle. En bonus chaque mois : nos analyses et décryptages RGPD et IA.
Notre newsletter est fondée sur votre consentement à la recevoir. Désinscrivez-vous à tout moment en un clic. En savoir plus
Pour les cabinets de recrutement et les DRH de grands groupes
Vous êtes la cible nommée. Un cabinet est à la fois responsable de traitement pour son vivier et sous-traitant pour ses clients : les deux casquettes doivent être documentées, les contrats alignés. Un grand groupe cumule ATS, filiales, prestataires et souvent plusieurs outils d’IA — c’est le dossier type où le DPO pilote conjointement RGPD et AI Act. Chez DPO 101, l’audit de la chaîne de recrutement est l’un de nos formats les plus demandés depuis l’annonce d’avril : cartographie, qualification des décisions automatisées, réécriture de l’information et paramétrage des durées, documentés dans Comply101 avec votre DPO externalisé.
FAQ — Contrôle CNIL et recrutement
Combien de temps peut-on conserver le CV d’un candidat non retenu ?
Deux ans maximum après le dernier contact, selon le guide recrutement de la CNIL, sauf demande de suppression du candidat — et une conservation plus longue suppose son accord explicite. L’ATS doit être paramétré pour purger automatiquement ; c’est l’un des trois points de contrôle prioritaires de la CNIL en 2026.
Un logiciel peut-il rejeter automatiquement des candidatures ?
Pas sans garanties. Rejeter un candidat par une décision fondée exclusivement sur un traitement automatisé relève de l’article 22 du RGPD : interdit par principe sauf exceptions, et toujours avec information, intervention humaine réelle et possibilité de contester. Un filtre par mots-clés éliminatoire ou un seuil de score sans relecture humaine est une décision automatisée.
Les outils d’IA de recrutement sont-ils à haut risque au sens de l’AI Act ?
Oui. L’annexe III de l’AI Act classe à haut risque les systèmes utilisés pour le recrutement, la sélection, le tri des candidatures et l’évaluation des candidats, avec des obligations applicables au 2 décembre 2027. La reconnaissance des émotions au travail — y compris en entretien vidéo — est, elle, interdite depuis février 2025.
Qui la CNIL va-t-elle contrôler en priorité sur le recrutement ?
Les grandes entreprises et les cabinets de recrutement, en raison du volume de candidatures reçues et des sélections opérées. Les contrôles porteront sur la prise de décision automatisée, l’information des candidats et les durées de conservation, conformément au guide recrutement publié par la CNIL en janvier 2023.
Article rédigé par Assaf Bensoussan, DPO externe et fondateur de DPO 101, cabinet de conseil en protection des données (500+ structures accompagnées). Mis à jour le 4 novembre 2026.
Sources : CNIL, « Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives », 3 avril 2026 ; CNIL, guide « Recrutement et protection des données », janvier 2023 ; RGPD, articles 13, 14, 22 et 28 ; règlement (UE) 2024/1689, article 5 et annexe III.
