La fiche 5 du guide pratique de la CNIL pour les SPST demande une durée de conservation définie pour chaque catégorie de données. Le guide se concentre sur le dossier médical, mais le service est aussi un employeur, et ses traitements de recrutement obéissent aux mêmes principes.
La sanction EXTIA, prononcée par la CNIL par délibération SAN-2026-010 du 21 juillet 2026 et publiée le 9 septembre, porte sur les droits des candidats (fiche 7). Elle rappelle aussi deux repères de conservation que les services recruteurs appliquent inégalement.
Ce qui change
La sanction de 300 000 euros vise principalement le traitement des demandes d’effacement de candidats. Elle remet en lumière les règles du référentiel CNIL relatif aux traitements de gestion du personnel :
- les données des candidats non retenus se conservent deux ans au plus après le dernier contact ;
- la demande d’effacement d’un candidat s’exécute sans délai.
L’article 5.1.e du RGPD (limitation de la conservation) fonde la première règle, l’article 17 la seconde. La délibération montre que la CNIL contrôle concrètement l’application de ces règles, demande par demande.
Ce que cela implique pour un SPST
Un service recrute tout au long de l’année des médecins, des infirmiers, des préventeurs, des assistants. Les candidatures arrivent par le site, par une plateforme, par courriel aux médecins et aux cadres de santé, par le réseau des praticiens. Le circuit officiel des ressources humaines applique en général la durée de deux ans. Les candidatures reçues directement dans une boîte de messagerie y restent souvent sans limite.
La durée de deux ans ne vaut que si elle s’applique à toutes les copies. Pour y parvenir :
- recenser les canaux de réception des candidatures, y compris les boîtes individuelles des recruteurs ;
- demander que les CV reçus par les médecins et cadres de santé rejoignent le circuit des ressources humaines, puis soient supprimés de la messagerie ;
- fixer le point de départ de la durée (dernier contact avec le candidat) et l’inscrire dans la procédure ;
- organiser une purge périodique des candidatures de plus de deux ans ;
- prévoir l’effacement immédiat à la demande, sur tous les canaux.
Le candidat retenu change de régime : ses données rejoignent le dossier du personnel, avec ses propres durées.
Comment le traiter dans DPO SUITE
Dans le registre des délais de conservation, qualifiez la candidature non retenue : nom du document, point de départ (dernier contact), base légale, durée de deux ans, localisation. Ajoutez une ligne par lieu de stockage réel (logiciel de recrutement, plateforme, messagerie) pour que la localisation reflète la réalité. Interrogez le responsable de la donnée, en général le responsable des ressources humaines, pour valider la durée.
Dans le registre des traitements, ouvrez la fiche « recrutement » et complétez les catégories de personnes, les destinataires (recruteurs, plateforme), la durée et les mesures de sécurité. Si une plateforme de recrutement est utilisée, rattachez-la au registre des sous-traitants et au registre des logiciels.
Dans le module procédures, complétez la procédure de recrutement avec une tâche de purge semestrielle et une tâche de transfert des CV reçus par courriel, puis faites approuver la procédure. Créez une tâche dans la liste des to-do pour la première purge des candidatures de plus de deux ans, et rattachez la preuve de suppression depuis le drive du client.
Si des candidatures anciennes sont retrouvées dans des messageries, créez une non-conformité et l’action corrective associée. ALIX peut proposer un message de rappel aux recruteurs, à valider avant envoi.
Pour fixer vos durées de conservation, testez la création de votre registre.
Repères
- Délibération CNIL SAN-2026-010 du 21 juillet 2026 (EXTIA), publiée le 9 septembre 2026
- Référentiel CNIL relatif aux traitements de gestion du personnel
- RGPD, articles 5.1.e et 17
- Guide CNIL SPST, fiche 5
