Le contrôle remonte à avril 2025, dans le cadre d’une action coordonnée européenne sur le droit à l’effacement de l’article 17 du RGPD. La CNIL a demandé à l’entreprise, environ 2 000 collaborateurs en France, de produire les demandes d’effacement reçues en 2024, les réponses envoyées et les tableaux de suivi internes, commet se passe la gestion des CV.
Ce qui en est ressorti : des demandes restées sans réponse, des réponses parties avec plusieurs mois de retard (une avec près d’un an de retard), une information annonçant deux ans de conservation alors que les CV étaient purgés à 60 jours, des chiffres impossibles à stabiliser d’un tableau à l’autre, et des effacements dont personne ne pouvait vraiment apporter la preuve.
Les chiffres ont été âprement discutés à l’audience. Le rapporteur retenait environ 145 demandes d’effacement et 166 défauts d’information. La défense soutenait que seules 12 personnes avaient réellement subi une conservation excessive. Cette bataille de chiffres pèsera sur le montant final. Elle ne change rien à la leçon : quand un candidat exerce un droit, l’entreprise doit retrouver sa demande, expliquer ce qui a été fait et produire une réponse datée.
Précision importante : à ce stade, rien n’est définitif. L’entreprise conteste une partie des faits, la proportionnalité du montant et la publicité demandée. La formation restreinte doit encore délibérer.
Supprimer automatiquement un CV suffit-il à traiter une demande d’effacement ?
Non, et c’est le cœur de l’affaire.
L’entreprise purgeait automatiquement les CV des candidats non présélectionnés après 60 jours. Sa position : les demandes d’effacement étaient sans objet puisque les données avaient déjà disparu. Le raisonnement paraît logique. Il confond deux choses qui n’ont rien à voir : le cycle de vie technique d’une donnée et le traitement d’une demande d’exercice de droit.
Quand un candidat demande l’effacement de son CV, il attend une réponse, pas un silence. L’entreprise doit enregistrer la demande, vérifier tous les systèmes où les données peuvent traîner, décider si le droit s’applique, exécuter l’effacement ou justifier ce qu’elle conserve, puis informer la personne et garder une trace proportionnée de tout cela.
Même quand les données ont déjà été purgées, la réponse reste due. Elle peut tenir en trois lignes : « après vérification, nous ne détenons plus de données actives vous concernant, elles ont été supprimées conformément à notre politique de conservation ». Le silence, lui, n’est jamais une réponse conforme. Une purge paramétrée dans un logiciel de recrutement ne remplace ni l’analyse ni l’information de la personne.
Pourquoi annoncer deux ans et supprimer à 60 jours pose-t-il problème ?
C’est le point qui déroute le plus. Supprimer plus tôt que prévu semble favorable aux candidats. En réalité, l’écart entre ce qu’on annonce et ce que fait le système révèle une perte de maîtrise du traitement. Et la CNIL lit cet écart exactement comme cela.
Dans ce dossier, une réponse automatisée annonçait une conservation de deux ans, pendant que le logiciel purgeait à 60 jours. Deux vérités parallèles, aucune pilotée.
La règle est simple à énoncer, exigeante à tenir : on n’applique pas une durée courte, on applique la durée qu’on a définie, documentée et communiquée. Cette durée doit être identique partout où elle apparaît : mention d’information du formulaire, politique de confidentialité, registre des traitements, contrats avec les prestataires, paramétrage du logiciel et purges réellement exécutées. Le jour où un contrôleur compare ces documents, la moindre divergence devient une pièce à charge.
Deux ans à compter du dernier contact reste la durée maximale généralement admise pour un vivier de candidats non retenus, à condition d’en informer le candidat. Une entreprise peut choisir plus court. Elle doit alors l’écrire et vérifier que ses outils respectent ce choix.
Le délai d’un mois, qui le surveille vraiment ?
Le responsable de traitement doit répondre dans les meilleurs délais et au plus tard un mois après réception de la demande. Prolongation possible de deux mois si la demande est complexe ou si le volume explose, mais il faut prévenir la personne, avec les motifs, pendant le premier mois. La surcharge d’un service ou une réorganisation interne ne suspend rien.
C’est là que l’affaire devient instructive. L’entreprise a connu une vague de demandes d’effacement, le service chargé de les traiter a saturé, et certaines réponses sont parties des mois plus tard. Un processus qui tient avec dix demandes par an s’effondre à cent. Personne ne l’avait anticipé.
Le délai ne peut pas reposer sur la mémoire d’un collaborateur ni sur une boîte mail consultée quand on y pense. Il faut, pour chaque demande, une date de réception, une date limite calculée, une alerte avant expiration, un responsable désigné et une preuve de l’envoi de la réponse. La plupart des référents que nous accompagnons découvrent, lors du premier exercice réel, que des demandes dorment dans des boîtes individuelles depuis des semaines. Un suivi centralisé des demandes de droits évite précisément ce scénario.
Où se cachent les copies d’un CV ?
Supprimer un CV dans le logiciel de recrutement ne supprime pas le candidat de l’entreprise. Un dossier de candidature vit en copies : la messagerie du recruteur, la boîte d’un manager, un fichier Excel de suivi, un espace partagé, l’outil de visioconférence, la plateforme de tests, le cabinet de recrutement externe, l’outil d’intelligence artificielle qui a classé les candidatures, et bien sûr les sauvegardes.
Quand une demande d’effacement arrive, appuyer sur « supprimer » dans l’outil principal ne traite qu’une fraction du sujet. Il faut interroger chaque emplacement pertinent et, si nécessaire, les sous-traitants. Cette cartographie se construit à froid, avant la première demande. La reconstituer dans l’urgence garantit les oublis.
Un piège moins connu : la nouvelle candidature. Certains candidats demandent l’effacement puis repostulent quelques mois plus tard. La nouvelle candidature est un nouveau traitement, avec sa propre information et sa propre durée. Elle ne régularise pas l’ancienne demande. Un logiciel qui fusionne automatiquement les deux dossiers peut donner l’impression que les anciennes données ont été conservées. Vérifiez le comportement réel de votre outil sur ce cas précis.
Que peut-on conserver après une demande d’effacement ?
Le droit à l’effacement n’est pas absolu. Certains éléments peuvent être conservés pour respecter une obligation légale ou se défendre en cas de contentieux, par exemple une contestation pour discrimination à l’embauche. Mais cette conservation obéit à des limites strictes : données strictement nécessaires, durée déterminée, accès restreint à des personnes habilitées, espace séparé de la base active, finalité documentée.
Conserver l’intégralité du dossier « au cas où » ne passe pas. Il faut trier. Même logique pour la preuve du traitement de la demande : un journal indiquant la date de la demande, les systèmes vérifiés, les opérations réalisées et la date de réponse suffit. Recréer une copie complète des données supprimées pour prouver qu’on les a supprimées serait absurde, et pourtant on le voit.
Qui fait quoi : RH, informatique, droit, DPO ?
L’audience a laissé entrevoir une gouvernance fragmentée : les RH pilotaient la collecte, une équipe en charge du droit rédigeait les courriers automatisés, l’informatique gérait les purges. Le DPO n’a pas été mentionné dans les débats, ce qui interroge sur son association réelle au processus.
La répartition qui fonctionne tient dans un tableau :
| Acteur | Sa responsabilité sur une demande d’effacement |
|---|---|
| Ressources humaines | Identifier les dossiers, connaître les outils et le parcours de la donnée, piloter les opérations côté RH |
| Informatique | Confirmer l’exécution technique : purges, journaux, sauvegardes, interfaces |
| Équipe en charge du droit | Analyser les exceptions, les risques contentieux, valider les réponses complexes et les refus |
| DPO | Contrôler la cohérence de la procédure, vérifier les modèles d’information, suivre les indicateurs |
| Direction | Allouer les moyens, être informée des retards et des recommandations non suivies |
Le point décisif : une personne, nommée, suit chaque demande jusqu’à sa clôture. Quand la responsabilité est partagée entre quatre services, elle n’appartient à personne.
Comment prouver un effacement à la CNIL ?
Pendant un contrôle, la CNIL demande les tableaux de suivi. Un tableau incomplet ou contradictoire aggrave le dossier : il montre que l’entreprise ne sait pas combien de demandes elle a reçues ni ce qu’elle en a fait. Dans l’affaire du 2 juillet, les chiffres divergents entre les documents ont occupé une bonne partie des débats.
Le registre des demandes doit permettre de reconstituer chaque dossier : numéro, date de réception, canal, droit exercé, applications vérifiées, date limite, responsable, actions réalisées, données éventuellement maintenues avec leur justification, date d’effacement, date et mode d’envoi de la réponse. Et surtout : une source unique. Les chiffres présentés à la direction, au DPO et à la CNIL doivent sortir du même fichier. Deux tableaux tenus par deux services produisent mécaniquement des écarts, et chaque écart devient suspect.
Côté preuve technique, une règle de purge paramétrée ne démontre pas que la purge a tourné pour chaque dossier. Ce qui tient face à un contrôleur : un journal d’exécution, un ticket clôturé, la date et l’heure de l’opération, la liste des applications contrôlées, la réponse des sous-traitants, un contrôle par échantillonnage. La preuve doit rester lisible des années plus tard par un non-informaticien. Reste la question des sauvegardes : leur suppression immédiate n’est pas toujours réalisable, mais les données restaurées ne doivent jamais revenir dans les systèmes actifs sans que la demande d’effacement soit reprise en compte.
C’est exactement ce que fait le module Demandes de droits de DPO SUITE : chaque demande est enregistrée dès sa réception avec son échéance à 30 jours et une alerte avant expiration, et le journal de traitement (systèmes vérifiés, actions réalisées, date de réponse) se constitue au fil de l’eau, prêt à être présenté lors d’un contrôle. Découvrir le module.
Pour ne plus jamais découvrir une échéance dépassée après coup, le rappel automatique fait ce travail de surveillance à votre place : essayez-le sur votre prochaine demande.
Peut-on être sanctionné sans fuite de données ?
Oui. La défense a insisté sur l’absence de piratage, de fuite et de préjudice matériel démontré. Ces éléments comptent pour la proportionnalité de l’amende. Ils n’excluent pas la sanction, parce que le RGPD ne protège pas seulement contre les violations de sécurité : il protège les droits des personnes. Information inexacte, absence de réponse, retard excessif, incapacité à démontrer l’effacement : chacun de ces manquements se sanctionne seul.
Autre enseignement : l’entreprise a renforcé ses équipes et corrigé son processus à partir de janvier 2025, après le contrôle. Ces corrections seront prises en compte, mais elles n’effacent pas les manquements passés. Une mise en conformité qui n’arrive qu’après le rapport de sanction raconte sa propre histoire.
Quant à la publication demandée par le rapporteur, elle inquiète l’entreprise à raison : de nombreux questionnaires fournisseurs demandent désormais si l’organisation a fait l’objet d’une sanction d’une autorité de protection des données. Une décision publique se paie dans les appels d’offres bien après avoir été payée au Trésor public.
Les 12 vérifications à lancer cette semaine
- Cartographier tous les outils qui touchent une candidature, sauvegardes et IA de tri comprises.
- Comparer les durées de conservation annoncées (mentions, registre, contrats) au paramétrage réel des outils.
- Tester une purge automatique sur plusieurs dossiers et vérifier ce qu’elle supprime vraiment.
- Centraliser toutes les demandes dans un point d’entrée unique, y compris celles reçues par un recruteur.
- Mettre une alerte avant l’expiration du délai d’un mois.
- Écrire noir sur blanc qui fait quoi entre RH, informatique, équipe en charge du droit et DPO.
- Préparer des modèles de réponse pour les cas courants, y compris « données déjà supprimées ».
- Encadrer les viviers : information du candidat, durée, droit d’effacement.
- Vérifier dans les contrats comment les prestataires exécutent les demandes transmises.
- Conserver une preuve proportionnée, sans recréer un dossier sur la personne.
- Former les recruteurs : une demande reçue en direct se transmet au circuit, elle ne se traite pas à l’improvisation.
- Envoyer une fausse demande une fois par an et chronométrer la réponse.
Le point 12 est celui qui apprend le plus. Une organisation découvre rarement ses failles dans ses procédures écrites. Elle les découvre quand une vraie demande arrive un 24 décembre dans la boîte d’un recruteur en congés.
FAQ
Combien de temps peut-on conserver le CV d’un candidat non retenu ? Deux ans à compter du dernier contact est la durée maximale généralement admise pour un vivier, à condition d’en informer le candidat et de pouvoir justifier cette conservation. Une durée plus courte est possible, mais elle doit alors être annoncée et effectivement appliquée par les outils.
Faut-il répondre à une demande d’effacement si les données sont déjà supprimées ? Oui, toujours. La réponse indique qu’après vérification, aucune donnée active n’est détenue et que la suppression est intervenue conformément à la politique de conservation. L’absence de réponse constitue un manquement en soi, même sans aucune donnée conservée.
Quel est le délai pour répondre à une demande d’exercice de droits ? Un mois à compter de la réception, prolongeable de deux mois pour les demandes complexes ou en cas d’afflux, à condition d’informer la personne des motifs pendant le premier mois. La surcharge interne ne suspend jamais ce délai.
Une entreprise peut-elle être sanctionnée par la CNIL sans violation de données ? Oui. Les manquements aux droits des personnes (information inexacte, absence de réponse, retard, défaut de preuve d’effacement) se sanctionnent indépendamment de toute fuite ou de tout piratage. Le montant proposé dans l’affaire évoquée ici atteint 450 000 euros sans le moindre incident de sécurité.
Ce qu’il faut retenir
Cette affaire ne raconte pas une erreur de courrier. Elle raconte ce qui arrive quand une entreprise ne sait plus où circulent les données de ses candidats ni qui répond quand l’un d’eux exerce un droit. On peut traiter 100 000 candidatures par an sans incident visible. Il suffit ensuite de 145 demandes mal suivies, ou de 12 selon la défense, pour exposer l’absence de procédure au grand jour.
La protection ne tient pas dans un modèle de courrier ni dans un bouton de suppression. Elle tient dans une organisation capable de dire, à tout moment, quelles données elle détient, où, pour combien de temps, et qui agit quand une personne exerce ses droits. Si vous ne pouvez pas répondre à ces quatre questions aujourd’hui, commencez par la fausse demande du point 12 : vous saurez en un mois où vous en êtes vraiment.
PS : tout ce que décrit cet article se fait en quelques clics dans DPO SUITE. Essai gratuit, sans carte bancaire.
