RGPD et tri de CV : quelles données sont autorisées

Quelle base légale pour trier des CV avec le RGPD ?

Le tri de CV — qu'il soit manuel ou assisté par un outil d'IA — est un traitement de données personnelles au sens du RGPD, dès lors qu'il consiste à collecter, classer ou évaluer des candidatures. Cela impose de choisir une base légale avant toute collecte, comme le rappelle l'article 5 du règlement sur la limitation des finalités.

En pratique, la base légale retenue par la quasi-totalité des recruteurs et des ESN est l'intérêt légitime de l'employeur à identifier le bon candidat pour un poste ouvert (article 6.1.f du RGPD). Cette base ne dispense pas de tout encadrement : elle doit être mise en balance avec les droits et libertés du candidat, et documentée dans votre registre des traitements.

Le guide du recrutement de la CNIL, publié en 19 fiches pratiques, précise que cette base légale doit être choisie en amont du traitement et rappelée au candidat dès la collecte de ses données — un point que la majorité des recruteurs découvrent trop tard, au moment d'un contrôle.

Cela vaut aussi bien pour une candidature envoyée en réponse à une offre que pour une candidature spontanée conservée dans une CVthèque. Dans les deux cas, la finalité doit être précise (pourvoir un poste identifié ou constituer un vivier de profils), documentée dans votre registre des activités de traitement, et cohérente avec l'usage réellement fait des données. Un CV collecté pour un poste ne peut pas être réutilisé pour un objectif totalement différent sans nouvelle information du candidat.

Quelles données un recruteur peut légalement traiter pour trier un CV

Le principe de minimisation des données est la règle centrale du tri de CV conforme. La fiche n° 5 du guide CNIL est explicite : seules les informations "adéquates, pertinentes et strictement nécessaires à la sélection du candidat" peuvent être collectées et traitées.

Concrètement, un recruteur ou un outil de tri peut légitimement analyser :

• -- l'identité et les coordonnées professionnelles du candidat ;
• -- les formations, diplômes et certifications en lien avec le poste ;
• -- les expériences professionnelles, missions et compétences techniques ;
• -- la disponibilité, la mobilité géographique et les prétentions salariales déclarées.

Cette exigence de pertinence est renforcée par le droit du travail français : l'article L1221-6 du Code du travail impose que les informations demandées à un candidat présentent "un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles". Un outil de tri qui exploite des critères hors de ce périmètre (âge, situation de famille, réseaux sociaux personnels) sort du cadre légal, même si la donnée est publique.

Le profil LinkedIn professionnel d'un candidat, lorsqu'il est rendu public par ce dernier, peut être consulté dans le cadre d'une candidature en cours, à condition de rester centré sur le parcours professionnel. En revanche, un test de personnalité, un test psychométrique ou une analyse vidéo du candidat n'échappent pas à la règle : ils ne sont admissibles que s'ils évaluent une aptitude professionnelle définie au préalable, avec une méthode reconnue et proportionnée au poste.

Données interdites et données sensibles : ce qu'un outil de tri ne doit jamais traiter

L'article 9 du RGPD interdit par principe le traitement des données sensibles : origine raciale ou ethnique, opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, données de santé, données génétiques ou biométriques, vie sexuelle ou orientation sexuelle. Cette interdiction s'applique intégralement au recrutement, sauf exceptions expressément prévues par le règlement (fiche n° 19 du guide CNIL).

La CNIL rappelle aux TPE/PME que d'autres données, sans être qualifiées de "sensibles" au sens strict, sont tout aussi prohibées faute de lien avec le poste : numéro de sécurité sociale, situation familiale, projets de grossesse ou caractéristiques physiques (hors métiers pour lesquels l'apparence est un critère professionnel objectif, comme le mannequinat).

Pour un outil d'IA, cette règle a une implication technique directe : le modèle de scoring ne doit ni recevoir ni inférer ces catégories de données, même indirectement à partir de signaux corrélés (nom à consonance étrangère, adresse, établissement scolaire). C'est l'un des points de contrôle attendus dans l'audit de biais d'un outil de matching, et c'est aussi ce que vise la CNIL lorsqu'elle exige une revue régulière des critères effectivement utilisés par l'algorithme, et pas seulement de ceux déclarés à sa conception.

Informer les candidats : l'obligation de transparence avant le tri automatisé

Le RGPD impose une information claire et complète du candidat dès la collecte de ses données, et pas seulement en cas de refus. Selon la fiche n° 8 du guide CNIL, le candidat doit "conserver la maîtrise de ses données" tout au long du processus.

La mention d'information (souvent intégrée au formulaire de candidature ou à l'offre d'emploi) doit préciser :

• -- l'identité du responsable de traitement et la finalité de la collecte ;
• -- la base légale retenue (intérêt légitime, dans la majorité des cas) ;
• -- la durée de conservation des données ;
• -- l'existence d'un traitement automatisé (ATS, scoring, IA), ses principaux critères et le droit d'obtenir une intervention humaine ;
• -- les droits du candidat (accès, rectification, opposition, réclamation auprès de la CNIL).

La fiche n° 13 du guide CNIL vise spécifiquement les "logiciels de tri, de classement et d'évaluation" : dès qu'un outil de scoring ou de classement automatique est utilisé, cette information doit apparaître explicitement dans la mention RGPD, pas seulement dans les conditions générales de l'éditeur du logiciel.

IA de tri de CV et article 22 du RGPD : le droit à l'intervention humaine

C'est le point le plus mal compris des recruteurs qui déploient un outil de tri par IA : l'article 22 du RGPD interdit toute décision entièrement automatisée produisant des effets juridiques ou affectant significativement une personne. Le rejet automatique d'une candidature, sans validation humaine, entre dans ce périmètre.

Comme le rappelle la CNIL sur le droit à l'intervention humaine, un candidat écarté par un algorithme doit pouvoir demander à connaître la logique du traitement, contester la décision et obtenir un réexamen par un être humain. Concrètement, un outil de tri de CV ne doit jamais éliminer seul un dossier : il doit produire un classement ou un score que le recruteur valide, ajuste ou infirme.

Autre conséquence pratique : la CNIL classe généralement ce type de traitement parmi les traitements à risque élevé, ce qui rend l'analyse d'impact relative à la protection des données (AIPD/DPIA) quasi systématique avant la mise en production d'un outil de scoring ou de matching. Pour les obligations qui recoupent l'IA Act sur ces mêmes outils, consultez notre article sur les obligations de l'IA Act pour le recrutement.

Sous-traitance : qui est responsable quand un outil IA trie vos CV ?

Quand un cabinet de recrutement, une ESN ou une DRH utilise un logiciel tiers pour trier des candidatures, deux rôles RGPD coexistent. L'entreprise qui recrute reste responsable de traitement : elle définit la finalité (recruter) et les moyens. L'éditeur du logiciel agit en principe comme sous-traitant au sens de l'article 28 du RGPD : il traite les CV uniquement sur instruction du recruteur, sans en décider l'usage.

Cette qualification implique un contrat de sous-traitance qui encadre, à minima : les instructions écrites données à l'éditeur, les mesures de sécurité, la localisation et la durée de conservation des CV traités, les conditions de sous-traitance ultérieure éventuelle, et les modalités de restitution ou de suppression des données à la fin du contrat. Ce contrat peut s'appuyer, en tout ou partie, sur les clauses contractuelles types publiées par la Commission européenne, et doit vous garantir un droit d'audit sur l'éditeur.

« La majorité des cabinets de recrutement et des ESN découvrent qu'ils sont responsables de traitement — pas seulement utilisateurs d'un logiciel — le jour d'un contrôle CNIL, pas avant », observe Anas Rabhi, fondateur de Profilya. Avant de déployer un outil de tri de CV par IA, vérifiez systématiquement l'existence de ce contrat, la localisation des serveurs et la politique de conservation des données de l'éditeur.

Le 3 avril 2026, la CNIL a officiellement classé le recrutement parmi ses thématiques prioritaires de contrôle, avec trois points systématiques : l'information des candidats, la durée de conservation des CV (deux ans maximum pour les non-retenus) et l'usage d'outils de décision automatisée. Pour sécuriser chaque étape avant un déploiement, notre checklist de conformité IA RH reprend point par point ces exigences.