Un ATS conforme RGPD est un logiciel de recrutement qui permet au recruteur de respecter ses obligations : informer les candidats, limiter la durée de conservation, répondre aux demandes d'accès et d'effacement, sécuriser les données et encadrer ses sous-traitants. Le logiciel ne rend pas conforme à votre place : c'est vous qui restez responsable du traitement.
Cet article liste ce qu'un ATS doit permettre, ce qui reste à la charge du recruteur, et les questions à poser à un éditeur avant de signer. Il s'appuie sur le guide « Recrutement » de la CNIL, publié le 30 janvier 2023.
Article vérifié le 11 novembre 2026. Il ne remplace pas l'avis de votre délégué à la protection des données.
Responsable de traitement et sous-traitant : qui fait quoi
Dans un recrutement, l'entreprise qui recrute, le cabinet ou l'agence d'intérim est responsable du traitement : il décide pourquoi et comment les données des candidats sont traitées. L'éditeur d'un ATS en ligne, qui héberge ces données pour son compte, est en général son sous-traitant. Le RGPD répartit les obligations entre les deux.
Ce qui reste au recruteur : choisir la base légale de chaque traitement, informer les candidats, fixer les durées de conservation, répondre aux demandes, tenir son registre des traitements et, pour un employeur, informer le comité social et économique des méthodes d'aide au recrutement avant de les utiliser (article L2312-38 du Code du travail).
Ce qui revient à l'éditeur : traiter les données uniquement sur instruction, garantir leur sécurité et leur confidentialité, déclarer ses propres sous-traitants, aider le recruteur à répondre aux demandes, et supprimer ou restituer les données à la fin du contrat. Ces engagements figurent dans le contrat de sous-traitance prévu par l'article 28 du RGPD.
La CNIL précise qu'un éditeur de logiciel sur étagère qui n'a aucun accès aux données n'est pas sous-traitant ; un ATS en ligne, qui les héberge, l'est presque toujours.
Ce qu'un ATS doit permettre pour respecter le RGPD
Un ATS adapté au RGPD rend possibles les gestes que la loi impose au recruteur : fixer une durée de conservation et l'appliquer, retrouver toutes les données d'un candidat pour les lui communiquer ou les effacer, informer les candidats à la collecte, limiter l'accès aux fiches selon les rôles, et tracer ce qui est fait.
- Une durée de conservation réglable, appliquée sur toute la base, avec une liste des fiches concernées avant suppression.
- La suppression complète d'un candidat, CV, notes et échanges compris, et l'export de ses données s'il en fait la demande.
- L'information des candidats : une mention et un lien vers votre politique de confidentialité sur le formulaire de candidature, et un message d'information pour les profils sourcés.
- Des droits par rôle : un consultant, un manager ou une filiale ne voit que ce qui le concerne.
- La traçabilité : qui a consulté, modifié ou envoyé quoi, et quand.
- L'export complet de la base à la fin du contrat, dans un format réutilisable, puis la suppression des données chez l'éditeur.
Durée de conservation des candidatures dans un ATS
La CNIL recommande de ne pas conserver le dossier d'un candidat non retenu plus de deux ans après le dernier contact, sauf s'il a donné son accord pour une durée plus longue. Le recruteur fixe la durée en amont, la justifie, et supprime ou anonymise les données à son terme.
Le guide de la CNIL distingue la base active, utilisée pendant le recrutement, et l'archivage intermédiaire, réservé à un besoin précis, comme la preuve en cas d'action en discrimination, consulté par des personnes habilitées. Ce qu'il faut attendre de l'ATS : que la règle s'applique seule, sur toute la base, et que les fiches liées à un recrutement en cours restent protégées.
Pour la CVthèque et le vivier, voir aussi notre guide CVthèque gratuite, qui reprend les règles d'information et de conservation.
Informer les candidats, y compris ceux trouvés sur LinkedIn
Tout candidat dont les données entrent dans l'ATS est informé : au moment de la collecte s'il postule, au plus tard dans le mois s'il a été trouvé ailleurs, ou au premier contact s'il a lieu avant. L'information dit qui traite ses données, pour quoi faire, combien de temps, et comment exercer ses droits.
Le Code du travail ajoute que le candidat est informé à l'avance des méthodes et techniques d'aide au recrutement utilisées à son égard, et qu'aucune information le concernant ne peut être collectée par un dispositif qu'il ne connaît pas (articles L1221-8 et L1221-9). Un enregistrement d'entretien ou un test se signalent donc avant d'être utilisés.
Droits des candidats : accès, effacement, opposition
Un candidat peut demander à accéder à ses données, à les faire rectifier ou effacer, et s'opposer à certains traitements. Le recruteur répond dans les meilleurs délais, au plus tard dans un mois, délai prolongeable dans certains cas. L'ATS doit permettre de retrouver toutes ses données en une recherche et de les supprimer toutes.
Le droit d'accès couvre aussi ce que le recruteur a produit sur le candidat, comme un compte rendu d'entretien ou une note. Garder une trace pour ne pas recontacter une personne qui a demandé l'effacement revient à tenir une liste d'exclusion : la CNIL l'encadre dans la fiche 15 de son guide (base légale, critères objectifs, information de la personne, données limitées au strict nécessaire et durée courte).
IA et tri automatique des candidatures
Une fonction d'IA dans un ATS peut résumer un CV, chercher des profils ou préparer un compte rendu. Elle ne doit pas refuser un candidat seule : le RGPD interdit en principe une décision fondée exclusivement sur un traitement automatisé qui produit des effets importants, comme un refus, sauf exceptions encadrées et garanties.
La CNIL consacre une fiche de son guide aux logiciels de tri, de classement et d'évaluation. Ce qu'il faut vérifier chez l'éditeur : quelles données partent vers un fournisseur d'IA, lequel, et où ; si ces données servent à entraîner un modèle ; et si chaque proposition de l'outil reste validée par un recruteur, qui peut expliquer sa décision au candidat.
Hébergement et transferts hors de l'Union européenne
Le RGPD n'impose pas d'héberger les données en France, mais il encadre leur transfert hors de l'Union européenne. Un ATS hébergé hors de l'Union, ou qui confie des données à un sous-traitant établi hors de l'Union, doit s'appuyer sur un mécanisme reconnu, comme une décision d'adéquation ou des clauses contractuelles types.
En pratique, demandez la liste des sous-traitants de l'éditeur, avec le pays où chacun traite les données, fournisseurs d'IA compris. C'est elle, plus que l'adresse du siège de l'éditeur, qui dit où vont les données de vos candidats.
Dix questions à poser à l'éditeur d'un ATS
Ces questions se posent par écrit, avant la signature. Les réponses doivent se retrouver dans le contrat de sous-traitance et ses annexes : un engagement oral ne protège ni le recruteur ni ses candidats. Un éditeur sérieux y répond sans difficulté, documents à l'appui.
- Avez-vous un contrat de sous-traitance conforme à l'article 28 du RGPD, et puis-je le lire avant de signer ?
- Où sont hébergées les données, y compris les sauvegardes ?
- Quels sont vos sous-traitants, dans quels pays, fournisseurs d'IA compris ?
- Peut-on fixer une durée de conservation et l'appliquer automatiquement à toute la base ?
- Comment supprime-t-on toutes les données d'un candidat qui le demande ?
- Comment exporte-t-on les données d'un candidat pour répondre à une demande d'accès ?
- Les droits se règlent-ils par rôle, par équipe, par filiale ?
- Les actions sur les fiches sont-elles tracées ?
- Quelles données partent vers l'IA, et servent-elles à entraîner un modèle ?
- À la fin du contrat, comment récupère-t-on la base, et quand est-elle supprimée chez vous ?
Dans Marvin
Marvin héberge vos données en France, chez Scaleway à Paris, avec des sauvegardes quotidiennes en France. Chaque client est isolé, les droits se règlent par rôle, et les secrets et jetons sont chiffrés en AES-256-GCM. Le DPA et la liste des sous-traitants, fournisseurs d'IA compris, sont publiés à une adresse qui ne change pas.
Pour la conservation et les droits des candidats :
- Une durée de conservation réglée par vos administrateurs : ils choisissent une durée sans activité (24 mois par défaut), voient la liste des fiches concernées, puis confirment. Les administrateurs sont prévenus 30 jours avant et peuvent prolonger un profil ; une fiche liée à une candidature en cours, un process actif, une mission ou une facture n'est jamais supprimée.
- Les candidatures refusées : vous choisissez de garder la candidature ou de la supprimer avec la fiche qu'elle avait créée, et vous pouvez bloquer l'adresse e-mail du candidat. Après une demande d'effacement, la liste de blocage écarte ses nouvelles candidatures.
- Le consentement à la candidature : le formulaire de votre site carrière accepte une case à cocher que vous rédigez, que vous pouvez rendre obligatoire, et affiche le lien vers votre politique de confidentialité.
Le détail est sur la page sécurité et RGPD, et ce que Marvin apporte à une équipe RH est sur la page Marvin pour les entreprises.
FAQ
Un ATS peut-il être « conforme RGPD » ?
Un logiciel ne rend pas un traitement conforme à lui seul. Le recruteur qui l'utilise reste responsable du traitement : c'est lui qui informe les candidats, fixe les durées de conservation et répond à leurs demandes. Un ATS conforme est un outil qui permet de faire tout cela, avec un éditeur qui s'engage comme sous-traitant.
Combien de temps un ATS peut-il garder le CV d'un candidat non retenu ?
La CNIL recommande de ne pas dépasser deux ans après le dernier contact avec le candidat, sauf s'il a donné son accord pour une conservation plus longue. Au-delà, le dossier est supprimé ou anonymisé. Un ATS doit permettre de fixer cette durée et de supprimer les fiches concernées sans les traiter une par une.
L'éditeur d'un ATS est-il sous-traitant au sens du RGPD ?
En général oui, dès lors qu'il héberge les données des candidats ou y accède pour le compte du recruteur. Le RGPD impose alors un contrat de sous-traitance, prévu par l'article 28, qui fixe ses obligations : instructions, confidentialité, sécurité, sous-traitants ultérieurs, sort des données à la fin du contrat.
Faut-il informer un candidat dont le profil est importé de LinkedIn ?
Oui. Pour des données collectées auprès d'un tiers, le RGPD impose d'informer la personne au plus tard dans le mois, ou au premier contact s'il a lieu avant. Le message doit dire qui traite ses données, pourquoi, combien de temps, et comment exercer ses droits.
Un ATS peut-il trier les candidats automatiquement ?
Il peut aider, pas décider seul. Le RGPD interdit en principe une décision fondée exclusivement sur un traitement automatisé qui produit des effets importants pour la personne, comme un refus de candidature, sauf exceptions encadrées. La CNIL rappelle qu'un recruteur doit garder la main sur la décision et pouvoir l'expliquer.
Sources
- CNIL, Guide Recrutement : les fondamentaux en matière de protection des données personnelles, publié le 30 janvier 2023 (fiches 3, 8, 9, 13 et 15).
- CNIL, Recrutement : un employeur peut-il conserver mon dossier ?, consulté le 11 novembre 2026.
- RGPD : articles 12 à 14, 15 à 22 et 28 du règlement (UE) 2016/679.
- Code du travail : articles L1221-8, L1221-9 et L2312-38.