On voit encore des formulaires de candidature qui demandent plus que nécessaire, des CV stockés « au cas où » et des annonces sans information sur l’usage des données personnelles. Pour les PME, ces écarts ne relèvent pas d’une simple maladresse : la CNIL les qualifie de manquements au RGPD et peut sanctionner en procédure simplifiée. À l’heure où les recrutements s’accélèrent et où l’outillage RH se digitalise, ces erreurs se répètent vite et peuvent coûter cher.
À retenir
- La minimisation impose de collecter seulement pour la finalité du poste.
- Le NIR et le casier judiciaire ne sont pas demandés n’importe comment.
- La durée de conservation des CV : 2 ans max après le dernier contact.
- Le droit d’accès se répond sous 1 mois (sinon mise en demeure).
- La sécurité technique (droits, mots de passe) réduit le risque de sanction.
Pour les dirigeants de PME, le recrutement est un terrain où le RGPD se joue au quotidien : collecte trop large, transparence absente, conservation excessive. Ces erreurs exposent à des sanctions, y compris en procédure simplifiée plafonnée à 20 000 €. L’enjeu est immédiat : mettre en conformité les pratiques clés avant le prochain contrôle, sans transformer votre service RH en cellule juridique.
Recrutement : quand la collecte devient un risque CNIL
La CNIL ne reproche pas « l’envie d’en savoir plus » : elle sanctionne le fait de collecter des données sans lien direct avec le poste visé. En recrutement, ce dérapage apparaît souvent dès le formulaire de candidature et dans la façon de stocker et réutiliser les CV.
Le piège du NIR dans les candidatures
Le NIR (numéro de sécurité sociale) reste un exemple classique de collecte disproportionnée. Le principe de minimisation appliqué par la CNIL est clair : les données collectées doivent avoir un lien direct avec le recrutement et une base légale solide. Demander le NIR « pour gagner du temps » ou « pour vérifier l’identité » alimente une base RH qui dépasse ce cadre et expose l’entreprise.
Casier judiciaire : seulement pour des postes encadrés
Le casier judiciaire ne peut être demandé que pour des fonctions précises, prévues par la loi, par exemple lorsqu’il y a manipulation d’argent ou exigence spécifique de sécurité. Dans la pratique, certaines PME l’ont intégré à tort au parcours standard de candidature. Résultat : un dossier RH qui collecte au-delà de la contrainte légale et un traitement de données sensibles sans base adaptée ni proportion.
Vie privée, origine, enfants : les champs qui n’apportent pas de compétences
Autre zone rouge : les informations sur la vie privée et familiale. Sur le papier, ces champs semblent répondre à un besoin pratique. En réalité, ils n’éclairent pas la finalité du recrutement et créent des biais, parfois discriminatoires. Les erreurs fréquentes incluent l’état matrimonial, le nombre d’enfants ou l’origine ethnique dès la phase de candidature. La bonne pratique consiste à appliquer le Privacy by design : purger les formulaires et supprimer les champs sans lien direct avec l’évaluation des compétences.
Transparence oubliée : l’erreur qui déclenche vite la sanction
Même lorsque la PME fait globalement attention, l’absence de transparence suffit souvent à déclencher un contrôle. Le RGPD impose d’expliquer au candidat ce que vous faites de ses données personnelles, pour quelle raison, pendant combien de temps, et avec quels destinataires.
Des annonces sans mentions d’information
La transparence est un pilier du RGPD, y compris dès l’offre d’emploi. Or beaucoup d’annonces oublient les mentions minimales : finalité, durée de conservation, droits du candidat et modalités de traitement. Sans cette brique d’information, le candidat ignore comment ses données personnelles sont utilisées dans le cadre du recrutement. Le manquement est alors juridique, pas seulement formel.
Destinataires flous et échanges avec des tiers
Autre point récurrent : le manque de clarté sur les destinataires des données, notamment lorsqu’un cabinet de recrutement ou un outil externe intervient. Le RGPD impose d’informer le candidat si ses données sont transmises à des tiers et à quelles fins. Ce détail peut coûter cher, car la CNIL attend une information complète, traçable et cohérente avec les pratiques réelles.
IA de tri : information préalable obligatoire
En 2025, la CNIL insiste sur les outils d’IA utilisés pour trier les CV sans information préalable : la collecte est alors jugée déloyale. Si vous utilisez un outil algorithmique, vous devez l’intégrer à votre dispositif d’information et décrire clairement ce que l’outil fait, à quel stade et pourquoi. Une approche efficace consiste à publier une charte de protection des données candidats, accessible en un clic, pour que le candidat trouve l’information immédiatement.
Conservation, sécurité et droits : là où la conformité se mesure
Si la transparence rassure, la conformité se démontre ensuite avec des procédures concrètes : durée de conservation, sécurité technique et respect du droit d’accès. C’est aussi sur ces points que la CNIL sanctionne le plus souvent les PME.
CV conservés trop longtemps : « juste au cas où »
Le stockage indéfini des candidatures reste une erreur récurrente. La durée de conservation recommandée est de 2 ans maximum après le dernier contact avec le candidat, sauf demande de suppression plus rapide. Sans consentement explicite pour un vivier, conserver des CV « quelques années » n’est pas justifié. Les contrôles 2025 ont mis en évidence des bases contenant des CV de plus de 5 ans, ce qui augmente le risque de sanction, y compris en procédure simplifiée.
Mettre en place un effacement automatisé via ATS
La réponse n’a pas besoin d’être manuelle. Les guides de la CNIL recommandent un ATS (Applicant Tracking System, outil de suivi des candidatures) avec une option de suppression automatique. L’objectif est simple : ne plus dépendre d’un rappel humain pour purger les données à la bonne date. Sans automatisation, le risque d’oubli se répète d’année en année et pèse dans l’analyse de la CNIL.
Sécurité des fichiers : mots de passe et accès contrôlés
Le manque de sécurité est le motif numéro 1 des sanctions en procédure simplifiée pour les PME. Les données de recrutement sont souvent sensibles : RIB, copies de diplômes, adresses. Pourtant, elles sont parfois stockées dans des dossiers partagés sans chiffrement ni contrôle d’accès strict. La CNIL exige des mots de passe robustes (selon sa délibération de 2022) et une traçabilité des accès. En cas de mauvaise configuration cloud, des fuites peuvent coûter entre 10 000 € et 500 000 € selon la gravité et le nombre de personnes touchées.
Répondre au droit d’accès et à la suppression
Un autre test de conformité est immédiat : le respect du droit d’accès et des demandes de suppression. Tout candidat peut demander l’accès, la rectification ou l’effacement de ses données. Les bilans 2025 de la CNIL indiquent qu’elle a intensifié les contrôles sur ce point : une PME qui ne répond pas sous 30 jours s’expose à une mise en demeure puis à des sanctions. Pour absorber ces requêtes, il est pertinent de désigner un référent RGPD ou un DPO, même mutualisé, afin de centraliser et traiter rapidement.
Contrepoint : « On est petit, la CNIL ne nous regardera pas »
C’est la phrase que beaucoup de dirigeants se répètent lorsqu’ils gèrent tout avec peu de ressources. Pourtant, la procédure simplifiée réduit le risque d’éparpillement et vise directement les manquements documentés, y compris chez les petites structures.
La procédure simplifiée vise les manquements concrets
En 2025, la CNIL a prononcé 83 sanctions pour un total de 486 millions d’euros, dont 67 via la procédure simplifiée, plafonnée à 20 000 € par manquement. Pour une PME, le coût ne s’arrête pas à l’amende : les frais d’avocat, la perte de réputation et le temps de direction peuvent, au final, tripler le coût global.
Un plan d’action court pour réduire le risque dès maintenant
Si vous devez prioriser, partez du plus simple à vérifier. Les guides officiels de la CNIL recommandent de tenir un registre des traitements (ROPA), de réaliser des audits flash, de sensibiliser les managers RH et d’utiliser des outils RGPD ready. Les retours d’expérience d’entreprises sanctionnées montrent que l’investissement initial en conformité est souvent 5 à 10 fois moins coûteux que la gestion de crise après contrôle.
L’absence d’information préalable, ou la conservation « au cas où », déclenche vite une procédure.
Position de la CNIL sur les manquements RGPD en recrutement (d’après les éléments fournis).
