Un poste de maintenance se rouvre. Vous retrouvez un profil intéressant, mais son CV date, ses disponibilités sont inconnues et personne ne sait pourquoi son dossier figure encore dans votre outil. Les données des candidats restent accessibles, sans être forcément utiles.
La difficulté n’est pas seulement de choisir une durée. Vous devez distinguer les informations nécessaires au recrutement en cours, celles destinées à un vivier et les éléments conservés pour défendre un droit. Chacun de ces usages appelle ses propres règles.
En bref
- Conservez les informations utiles à une finalité précise, pas un dossier complet par défaut.
- Le repère de deux ans concerne le vivier, pas toutes les pièces de candidature.
- Distinguez les dossiers actifs, les archives à accès restreint et les éléments à supprimer.
- Prévoyez les demandes des personnes et les suppressions dès la collecte.
Quelles informations garder pour recruter ?
Pour le poste de maintenance, vous avez besoin de connaître l’expérience technique, les compétences et les contraintes de disponibilité. La situation familiale ou des détails sans rapport avec le travail n’aident pas à évaluer l’aptitude professionnelle. Une information accessible n’est pas nécessairement une information à conserver.
L’article 5, paragraphe 1, point c, du règlement (UE) 2016/679, le RGPD, pose le principe de minimisation des données. En France, l’article L1221-6 du Code du travail précise que les informations demandées doivent présenter un lien direct et nécessaire avec l’emploi proposé ou l’évaluation des aptitudes professionnelles.
Appliquez cette logique au CV, mais aussi aux notes d’entretien, aux messages et aux évaluations. Une observation comme « sait diagnostiquer une panne sur cet équipement » apporte un élément exploitable. Un jugement sur la personnalité, sans fait professionnel observable, ajoute surtout du bruit.
Évitez également les copies successives du même dossier de candidature dans les boîtes mail et les répertoires partagés. Chaque exemplaire devient un endroit supplémentaire à mettre à jour ou à supprimer.
Le bon périmètre se définit avant la collecte, en partant des critères du poste et des décisions que ces informations doivent éclairer.
Quel délai pour chaque usage ?
Une candidature en cours, un vivier et une archive ne répondent pas au même objectif. L’article 5, paragraphe 1, point e, du RGPD impose une conservation limitée à la durée nécessaire aux finalités poursuivies. Il ne fixe pas un délai unique pour tous les recrutements.
| Usage | Informations concernées | Repère de conservation |
|---|---|---|
| Recrutement en cours | CV, échanges et évaluations utiles | Pendant le processus, avec une règle de clôture définie. |
| Vivier de candidatures | Profil et coordonnées pertinents | En principe, deux ans au maximum après le dernier contact selon le repère de la CNIL. |
| Défense d’un droit | Pièces strictement nécessaires | Délai justifié selon le risque et la prescription applicables. |
| Gestion du personnel | Éléments nécessaires après embauche | Règles propres à chaque document et à son nouvel usage. |
La réponse de la CNIL sur les dossiers des candidats donne un repère pour les candidatures non retenues conservées en vue d’autres opportunités. Les deux ans ne constituent ni une obligation générale ni une autorisation de tout garder.
Pour votre poste technique, la clôture doit donc déclencher un choix : suppression, entrée encadrée dans le vivier ou conservation restreinte de certaines pièces. Une fiche de durée de conservation doit préciser le point de départ, l’échéance et l’action attendue.
Quand garder un profil en vivier ?
Un profil peut rester intéressant après un refus, notamment si le poste demandait une compétence qu’il pourrait acquérir. Mais un vivier utile n’est pas une réserve de dossiers oubliés. Il rassemble des personnes susceptibles de correspondre à des besoins identifiés.
Le traitement doit reposer sur une base juridique adaptée, conformément à l’article 6 du RGPD. Si vous choisissez le consentement, les conditions des articles 4, point 11, et 7 s’appliquent : le choix doit notamment être libre, spécifique, éclairé et univoque, avec un retrait aussi simple que l’accord.
Présentez séparément la candidature au poste et la possibilité de recevoir d’autres propositions. N’interprétez pas l’absence de réponse comme une acceptation. Si vous envisagez une autre base, comme l’intérêt légitime, documentez son adéquation et les droits associés.
Dans notre exemple, conservez les compétences recherchées et les préférences professionnelles utiles, plutôt que toutes les anciennes notes. Un échange réel peut permettre de vérifier l’actualité du profil ; l’envoi automatique d’un message ne devrait pas servir à prolonger artificiellement le délai.
La valeur du vivier vient de sa pertinence et de son actualité, pas du nombre de candidatures accumulées dans l’outil.
Que dire aux personnes concernées ?
Une notice compréhensible évite qu’un candidat découvre votre politique au moment de demander une suppression. Pour une collecte directe, l’article 13 du RGPD prévoit notamment l’information sur les finalités, la base juridique, les destinataires, les durées ou leurs critères, et les droits applicables.
Placez cette information là où la personne transmet ses éléments. Une mention noyée dans une page générale explique mal ce qui arrivera après un refus. Le devenir du dossier doit être compréhensible sans enquête.
Pour un profil repéré par sourcing, l’article 14 du RGPD encadre l’information lorsque les données ne sont pas recueillies directement auprès de la personne. Il prévoit notamment une information dans un délai raisonnable, au plus tard dans un mois, et au plus tard lors de la première communication si elle intervient avant, sous réserve des exceptions prévues par ce même article.
Sur votre poste de maintenance, expliquez ainsi pourquoi vous contactez ce professionnel et comment ses renseignements seront utilisés. Le fait qu’un parcours soit visible publiquement ne dispense pas d’examiner les règles applicables.
Une information claire relie chaque collecte à un usage concret, plutôt qu’à une formule générale sur la protection des données.
Quelles pièces archiver après un refus ?
Après une décision négative, conserver certaines pièces peut répondre à un besoin de défense en cas de contestation. Cela ne justifie pas de laisser l’intégralité du profil disponible pour de nouvelles recherches. L’archivage probatoire et le vivier doivent rester distincts.
L’article 17, paragraphe 3, point e, du RGPD prévoit une exception à l’effacement lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. Cette disposition ne crée pas une autorisation générale de tout conserver indéfiniment.
Déterminez avec votre équipe juridique les pièces nécessaires, la base juridique du traitement et les délais applicables au risque considéré. Les obligations légales doivent être rattachées à un texte précis, et non à une habitude interne appelée « règle de conformité ».
Dans l’exemple du poste technique, une grille d’évaluation factuelle peut éclairer les raisons d’une décision. Les échanges d’organisation devenus inutiles n’ont pas automatiquement la même valeur. Réservez l’accès aux personnes chargées de traiter une contestation.
Le guide de la CNIL sur les durées de conservation aide à distinguer les différentes étapes. Chaque archive doit avoir une raison, un responsable et une échéance.
Comment traiter une demande d’effacement ?
Un candidat demande la suppression de ses informations après un refus. Le premier travail consiste à retrouver les éléments concernés : outil de recrutement, messagerie, exports et éventuels prestataires. Effacer uniquement la fiche principale peut laisser subsister des copies utilisables.
Le droit à l’effacement est encadré par l’article 17 du RGPD. Il s’applique dans les situations prévues par cet article, avec des exceptions, notamment pour la défense de droits en justice. Une demande nécessite donc une réponse adaptée, pas un refus automatique fondé sur une durée interne.
L’article 12, paragraphe 3, prévoit une information sur les suites données dans un délai d’un mois, avec une prolongation possible de deux mois selon la complexité et le nombre de demandes. La personne doit être informée de cette prolongation et de ses motifs dans le premier mois.
Si des éléments sont conservés pour une raison valable, expliquez lesquels et pourquoi. Pour vérifier l’identité, l’article 12, paragraphe 6, permet de demander des informations supplémentaires en cas de doutes raisonnables, sans imposer systématiquement une pièce d’identité.
Une procédure fiable suit la demande jusqu’aux copies et distingue ce qui est supprimé de ce qui reste temporairement conservé.
Comment faire appliquer les échéances ?
Une politique écrite ne suffit pas si personne ne sait quand agir. Associez chaque catégorie à une règle : finalité, point de départ, durée, responsable et action finale. Prévoyez aussi ce qui se passe lorsqu’un recrutement est abandonné sans décision formelle.
L’article 32 du RGPD demande des mesures techniques et organisationnelles adaptées au risque. Dans votre organisation, cela peut se traduire par des accès limités, une séparation des archives et une vérification des suppressions. Les exports méritent une attention particulière, car ils échappent facilement au suivi central.
Lorsqu’une personne est embauchée, ne transférez pas automatiquement toutes les notes dans son dossier salarié. Sélectionnez les éléments nécessaires à la gestion du personnel et appliquez les règles correspondant à cette nouvelle finalité.
Dans un système comme Twenty One Nexus, cette approche consiste à rendre les statuts et les échéances exploitables par l’équipe, tout en vérifiant les fonctions réellement disponibles. La décision d’embauche appartient au recruteur ; le logiciel l’assiste.
Testez enfin le parcours d’un dossier fictif, de sa création à sa suppression. Une échéance n’est opérationnelle que si vous pouvez constater l’action réalisée, y compris hors de l’outil principal.
Quelle règle appliquer au prochain dossier ?
Commencez par un recrutement réel, plutôt que par un grand nettoyage sans critères. Pour chaque pièce, posez trois questions : à quoi sert-elle encore, qui doit y accéder et quel événement déclenche sa suppression ? Faites valider les réponses par les responsables concernés.
Pour le poste de maintenance, cette méthode sépare immédiatement l’évaluation en cours, les profils à recontacter et les éléments éventuellement archivés. Elle permet aussi de repérer les champs inutiles avant qu’ils ne se remplissent de nouveau.
Dans une approche comme celle de Twenty One Nexus, le système soutient cette organisation sans remplacer le jugement professionnel. Le recruteur reste responsable de la décision d’embauche.
Faut-il toujours conserver les CV pendant deux ans ?
Non. Le repère de la CNIL concerne en principe la conservation en vivier après le dernier contact. Il ne dispense pas de justifier l’usage, d’informer la personne et de supprimer les informations devenues inutiles.
Le consentement est-il obligatoire pour chaque candidature ?
Le consentement n’est pas la seule base juridique prévue par l’article 6 du RGPD. La base appropriée dépend de la finalité et du contexte ; elle doit être déterminée et expliquée à la personne.
Peut-on conserver des notes après une demande de suppression ?
Certaines pièces peuvent être conservées si une exception de l’article 17 du RGPD s’applique, notamment pour défendre un droit en justice. Leur nécessité, leur accès et leur durée doivent alors être justifiés.
Que faire des copies envoyées au manager ?
Intégrez-les au dispositif de conservation et de suppression. Privilégiez un accès contrôlé au dossier plutôt que la multiplication de pièces jointes difficiles à retrouver.