Un SPST est aussi un employeur, et un employeur qui recrute beaucoup, souvent de façon éclatée. La sanction publiée le 9 septembre 2026 rappelle que la CNIL contrôle autant la réponse faite aux personnes que l'exécution de leur demande.
La sanction en quelques chiffres
Par délibération du 21 juillet 2026, publiée le 9 septembre, la CNIL a infligé 300 000 euros à une société de conseil en informatique pour manquements aux articles 12 et 17 du RGPD.
Sur 265 demandes d'effacement reçues en 2024, principalement de candidats, plus des trois quarts avaient été mal traitées. Douze n'avaient jamais été exécutées, 166 personnes n'avaient pas été informées des suites et 27 l'avaient été avec plusieurs mois de retard. Deux avertissements antérieurs ont pesé sur le montant.
Pourquoi le recrutement d'un SPST est un traitement à risque
Parce qu'il est éclaté. Les candidatures arrivent par le site, par une plateforme d'emploi, par courriel directement aux médecins et aux cadres de santé, par le réseau des praticiens. Chaque canal est un endroit où une donnée personnelle peut rester indéfiniment.
Une demande d'effacement adressée au service doit atteindre tous ces canaux. Et la personne doit recevoir une réponse écrite dans le mois, même si le CV avait déjà été supprimé : c'est précisément l'absence de réponse que la CNIL a sanctionnée.
Combien de temps garder un CV ?
Pour un vivier de candidats non retenus, la CNIL recommande une conservation n'excédant en principe pas deux ans après le dernier contact, avec une base légale et une information adaptées. Les données nécessaires à la défense de droits en justice peuvent relever d'un archivage intermédiaire distinct. L'effacement intervient dans les meilleurs délais lorsque les conditions de l'article 17 du RGPD sont réunies.
Les CV reçus par les médecins et cadres de santé qui recrutent doivent rejoindre ce circuit, et non rester dans une boîte de messagerie.
Le circuit candidats en quatre points
- une adresse unique de réception des candidatures, communiquée à tous ceux qui recrutent ;
- le recensement des canaux de réception existants ;
- une réponse écrite dans le mois à toute demande, avec une trace ;
- une purge programmée des candidatures à l'échéance de leur durée de conservation.
Les notes du DPO : ce qu'il faut faire, pourquoi, et pourquoi c'est simple sur DPO SUITE
Ce qu'il faut faire | Pourquoi | Sur DPO SUITE |
|---|---|---|
Ajouter un circuit propre aux candidats dans la procédure de gestion des droits | La CNIL sanctionne l'absence de réponse autant que l'absence d'effacement | La procédure est mise à jour et validée dans l'outil ; chaque demande de candidat est suivie avec son échéance d'un mois |
Définir les durées de conservation par finalité et programmer les purges | Conserver au-delà sans raison est un manquement à l'article 5.1.e | L'échéancier des durées de conservation rappelle la purge au bon moment |
Inscrire le traitement "recrutement" au registre avec tous ses canaux | Un traitement éclaté non décrit est un traitement qu'on ne maîtrise pas | La fiche est pré-structurée : finalité, catégories, durée, destinataires, canaux |
Informer médecins et cadres qui recrutent | Ce sont eux qui reçoivent les CV hors circuit | La session de sensibilisation est enregistrée comme réunion et reprise dans le bilan annuel |
Recevoir la veille RGPD SPST
Nous proposons une veille RGPD mensuelle dédiée aux services de prévention et de santé au travail. Elle suit la structure du guide pratique de la CNIL et, pour chaque sujet, donne l'évolution, l'explication en clair, ce que fait le DPO et la sensibilisation à diffuser en interne, avec des cas réels traités ces derniers mois, rendus anonymes. Inscription : S’inscrire à la veille RGPD SPST
Être accompagné
Laurent de Cavel est le DPO externe d'une trentaine de SPST, en métropole et outre-mer. DPO PARTAGE accompagne les services sur la mission de DPO externe, l'audit de conformité RGPD et la préparation du volet protection des données de la certification SPEC 2217. Les services qui ont un DPO ou un référent interne peuvent piloter leur conformité avec DPO SUITE, le logiciel de pilotage RGPD édité par DPO FRANCE. Échanger vingt minutes sur votre situation : Prendre rendez-vous
