--- title: "RGPD en recrutement : combien de temps garder un CV, et que dire au candidat" description: "Durée de conservation d'un CV selon la CNIL, information du candidat (articles 13 et 14 du RGPD), droits d'accès et d'effacement, tri automatique (article 22) : ce que le RGPD demande à un cabinet de recrutement ou à une équipe RH." url: https://marvins.ai/blog/rgpd-recrutement-duree-conservation-cv language: fr published: 2026-11-11 author: "Christophe Hébert" --- # RGPD en recrutement : combien de temps garder un CV, et que dire au candidat Durée de conservation d'un CV selon la CNIL, information du candidat (articles 13 et 14 du RGPD), droits d'accès et d'effacement, tri automatique (article 22) : ce que le RGPD demande à un cabinet de recrutement ou à une équipe RH. Un CV de candidat non retenu se garde au plus **2 ans après le dernier contact**, selon la CNIL, avec l'accord du candidat ou en l'informant et en le laissant s'opposer simplement. Le RGPD impose aussi de **l'informer**, de **répondre à ses demandes sous un mois** et de garder une **décision humaine** dans le tri. Cet article reprend chacun de ces points pour un cabinet de recrutement ou une équipe RH, avec les textes : le RGPD, qui s'applique dans toute l'Union européenne, et les recommandations de la CNIL, l'autorité française. _Article vérifié le 11 novembre 2026, sur le référentiel de la CNIL des durées de conservation en gestion des ressources humaines (mis à jour le 20 mai 2026) et son guide du recrutement._ ## Ce qu'il faut retenir - **Vivier : 2 ans après le dernier contact.** C'est la durée maximale recommandée par la CNIL pour garder un candidat non retenu afin de le recontacter. Au-delà, il faut lui redemander son accord. - **Preuve : 5 ans, à part.** Le dossier d'un candidat non retenu peut être archivé 5 ans à compter de la date où le poste a été pourvu, pour répondre à une éventuelle action pour discrimination. Il ne sert plus à recruter. - **Candidat sourcé : informé sous un mois.** Un profil enregistré depuis LinkedIn ou une CVthèque déclenche l'article 14 du RGPD : l'information part au plus tard un mois après, ou au premier message. - **Demandes : réponse sous un mois.** Accès, effacement, opposition : le délai court à partir de la demande. - **Tri : un humain décide.** Un logiciel qui écarte seul un candidat prend une décision automatisée, interdite en principe par l'article 22. ## Combien de temps garder un CV : les durées de la CNIL La CNIL distingue trois usages d'un dossier de candidature, chacun avec sa durée : le recrutement en cours, le vivier pour recontacter le candidat plus tard, et l'archive de preuve en cas de contentieux. Ce sont des recommandations, sauf l'archive de preuve qui découle du code du travail. Une durée plus longue se justifie et se documente. | Situation | Durée | Nature | | ------------------------------------------------ | --------------------------------------------------------------- | ---------------------------------- | | Candidature en cours | Le temps de la procédure, jusqu'à la réponse | Recommandation CNIL | | Candidat retenu | Le dossier rejoint celui du salarié | Recommandation CNIL | | Candidat non retenu, pour lui expliquer le refus | Jusqu'à 3 mois après la fin du recrutement | Guide du recrutement CNIL | | Candidat non retenu, gardé dans un vivier | Jusqu'à 2 ans après le dernier contact | Recommandation CNIL | | Preuve en cas d'action pour discrimination | 5 ans à compter de la date où le poste a été pourvu, en archive | Article L1134-5 du code du travail | Sources : le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines, qui vise expressément les CVthèques des cabinets de recrutement, et le guide de la CNIL sur le recrutement. ### Accord du candidat ou intérêt légitime Pour garder un candidat non retenu dans un vivier, la CNIL recommande de lui demander son accord. Elle admet aussi l'intérêt légitime du recruteur, à une condition : le candidat est expressément informé de cette conservation et peut s'y opposer simplement, sans avoir à se justifier. Dans les deux cas, la durée reste bornée à 2 ans après le dernier contact. À l'échéance, l'opération peut être renouvelée : vous redemandez au candidat s'il accepte que vous gardiez son profil, pour 2 ans au plus. Sans réponse, le dossier sort du vivier. En pratique, comptez à partir du dernier échange avec le candidat (un appel, un entretien, une réponse à un message), pas de la dernière fois que quelqu'un a ouvert sa fiche. ### L'archive de preuve n'est pas un vivier Les 5 ans de l'article L1134-5 du code du travail servent à vous défendre si un candidat conteste un refus. Ces dossiers sortent de la base active : personne ne les recherche, personne ne les recontacte. Les garder dans le vivier au motif de la preuve revient à conserver 5 ans ce que la CNIL borne à 2. ## Que dire au candidat, et à quel moment Le RGPD impose d'informer chaque candidat de ce que vous faites de ses données, à un moment qui dépend de leur origine. Une candidature envoyée par la personne relève de l'article 13 : l'information se donne avant ou au moment de la collecte. Un profil trouvé ailleurs relève de l'article 14 : vous l'informez au plus tard un mois après. Les deux articles sont consultables sur le texte du RGPD publié par la CNIL (chapitre III, droits de la personne concernée). ### La candidature directe (article 13) Le candidat qui postule sur votre site carrière ou répond à une annonce doit trouver l'information avant d'envoyer son dossier. La CNIL admet une information en deux niveaux : l'essentiel près du formulaire ou de l'annonce, avec un lien vers la politique complète, puis le détail dans l'accusé de réception de la candidature. ### Le candidat sourcé (article 14) Un chasseur de têtes qui enregistre un profil LinkedIn dans son vivier doit informer la personne : c'est l'exemple que donne la CNIL dans son guide. L'information part dans un délai raisonnable, au plus tard un mois après l'enregistrement, ou dans le premier message si vous la contactez avant. La CNIL fait une exception pour la simple consultation : parcourir des centaines de profils sans les enregistrer ne demande pas d'informer chacun, à condition de publier vos mentions d'information, par exemple sur votre page du réseau social. Dès que le profil entre dans votre base, l'exception tombe. ### Ce que contient l'information La liste vient des articles 13 et 14 du RGPD. Pour un cabinet, elle se rédige une fois et se réutilise dans chaque message : 1. **Qui traite les données** : le nom du cabinet et le moyen de joindre son référent données ou son DPO. 2. **Pourquoi, et sur quelle base légale** : recruter pour un poste, ou garder le profil pour de futures offres. 3. **Qui les reçoit** : pour un cabinet, les clients à qui le profil est présenté. 4. **Combien de temps** elles sont gardées. 5. **Ses droits** (accès, rectification, effacement, opposition) et la possibilité de saisir la CNIL. 6. **Pour un profil sourcé**, la source des données (le réseau social, la CVthèque) et leurs catégories. 7. **Un éventuel tri automatisé** qui peut décider à sa place. ## Les droits du candidat : accès, effacement, opposition Le candidat peut demander une copie de ses données (article 15), leur correction (article 16), leur effacement (article 17) ou s'opposer à leur conservation dans un vivier fondé sur l'intérêt légitime (article 21). Vous répondez dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, en le prévenant (article 12). **L'accès porte sur tout le dossier**, pas seulement le CV : notes d'entretien, comptes rendus, échanges avec vos clients à son sujet. Une note qu'on n'oserait pas montrer au candidat ne devrait pas être écrite. **L'effacement a une limite** : l'article 17 permet de garder ce qui sert à la constatation, l'exercice ou la défense de droits en justice. C'est le fondement de l'archive de preuve de 5 ans. Le reste part : la fiche, les notes et les documents. **L'opposition doit être simple.** Pour un vivier fondé sur l'intérêt légitime, le candidat n'a pas à expliquer pourquoi il ne veut plus recevoir d'offres. ## Tri automatique et article 22 : la décision reste humaine L'article 22 du RGPD interdit en principe une décision fondée exclusivement sur un traitement automatisé quand elle affecte la personne de manière importante. Écarter un candidat d'un recrutement en fait partie, selon la CNIL. Les exceptions (contrat, loi, consentement explicite) sont étroites ; celles du contrat et du consentement donnent au candidat le droit d'obtenir une intervention humaine. Le guide de la CNIL distingue deux cas. Un outil qui classe des centaines de candidatures pendant que le recruteur ne lit que les premières peut équivaloir à une décision automatisée : les autres sont écartés par le seul logiciel. Un outil qui aide le recruteur à noter et commenter un profil, quand c'est lui qui décide, n'en est pas une. En pratique : un humain lit les profils qu'un outil place en bas de liste, et chaque refus s'explique par des critères du poste. Pour les outils d'IA, le règlement européen sur l'IA ajoute ses propres obligations, détaillées dans notre article [IA Act et recrutement](https://marvins.ai/blog/ia-act-recrutement). ## Dans Marvin Marvin vous aide à tenir ces règles au quotidien, de la durée de conservation à l'information des candidats. Il ne fixe pas votre politique à votre place et ne remplace pas le conseil de votre DPO : les réglages ci-dessous appliquent les choix que vous avez faits. - **Une durée de conservation que vous fixez.** Un administrateur choisit la durée sans activité au-delà de laquelle un candidat arrive à échéance (24 mois par défaut, réglable de 6 à 120 mois) et voit la liste des fiches concernées avant d'activer. - **Le candidat est sollicité avant de quitter votre vivier.** À l'échéance, il reçoit un mail qui lui demande s'il accepte que vous gardiez son profil. Il répond depuis un lien, sans compte : son accord est tracé sur la fiche, un refus est appliqué. Une fiche liée à un process actif, une mission ou une facture n'est jamais retirée par ce réglage. - **Les profils sourcés sont informés.** Une fois la conservation activée, les profils enregistrés ensuite sans candidature reçoivent un mail d'information avec un bouton pour s'opposer. - **Une case d'accord sur le formulaire de candidature.** Vous rédigez la case de votre site carrière et pouvez la rendre obligatoire ; le pied de page affiche le lien vers votre politique de confidentialité. - **L'historique de chaque fiche** garde les actions de l'équipe, avec leur auteur et leur heure : utile pour répondre à une demande d'accès. Les données sont hébergées en France, chez Scaleway à Paris. L'accord de traitement des données (DPA, article 28 du RGPD) et la liste des sous-traitants, fournisseurs d'IA compris, font partie du Trust Pack. Le détail est sur notre page [sécurité et Trust Pack](https://marvins.ai/securite), et les engagements sur l'IA sur la page [IA responsable](https://marvins.ai/ia-responsable). ## Cinq gestes pour un vivier en règle À faire une fois, puis à tenir dans le temps. Chacun correspond à une règle citée plus haut, et se vérifie sur pièces si un candidat ou la CNIL vous interroge. Pour choisir l'outil qui les porte, voir notre [checklist du logiciel de recrutement conforme](https://marvins.ai/blog/logiciel-recrutement-conforme-rgpd-ia-act). 1. **Écrire la mention d'information** une fois, en deux niveaux, et la placer sur le site carrière, dans l'accusé de réception et dans le premier message aux profils sourcés. 2. **Fixer la durée du vivier** (2 ans après le dernier contact, sauf raison documentée) et la régler dans votre outil. 3. **Séparer l'archive de preuve** du vivier : les dossiers de 5 ans ne remontent dans aucune recherche. 4. **Nommer qui répond aux demandes** des candidats, avec un délai d'un mois en tête. 5. **Garder un humain dans le tri** : relire les profils écartés par un outil, et pouvoir motiver chaque refus. ## FAQ **Combien de temps peut-on garder le CV d’un candidat non retenu ?** En France, la CNIL recommande de ne pas dépasser 2 ans après le dernier contact avec le candidat, pour le recontacter ou l'ajouter à un vivier. Il faut son accord, ou au moins l'informer et lui permettre de s'opposer simplement. Une copie peut être archivée 5 ans, à part, comme preuve en cas d'action pour discrimination. **Faut-il prévenir un candidat trouvé sur LinkedIn ?** Oui, dès que vous enregistrez son profil dans votre base. L'article 14 du RGPD impose de l'informer dans un délai raisonnable, au plus tard un mois après la collecte, ou lors du premier message si vous le contactez avant. Consulter un profil sans l'enregistrer ne déclenche pas cette obligation, selon la CNIL. **Que doit contenir l’information donnée au candidat ?** Qui traite ses données, pourquoi, sur quelle base légale, qui les reçoit (vos clients, par exemple), combien de temps elles sont gardées, ses droits et la possibilité de saisir la CNIL. Pour un profil sourcé, ajoutez la source des données et leurs catégories. Si un tri automatisé peut décider à sa place, il faut le dire. **En combien de temps répondre à une demande d’accès ou d’effacement ?** Dans un délai d'un mois à compter de la demande, selon l'article 12 du RGPD. Ce délai peut être prolongé de deux mois pour une demande complexe, à condition de prévenir le candidat dans le premier mois. Un refus doit être motivé et indiquer qu'il peut saisir la CNIL. **Un logiciel peut-il écarter un candidat automatiquement ?** En principe non, si la décision est prise sans intervention humaine et l'écarte du recrutement : l'article 22 du RGPD l'interdit, sauf exceptions étroites. La CNIL considère qu'un classement automatique peut équivaloir à une telle décision quand le recruteur ne regarde que les premiers profils. Un humain doit pouvoir expliquer chaque refus. ## FAQ ### Combien de temps peut-on garder le CV d’un candidat non retenu ? En France, la CNIL recommande de ne pas dépasser 2 ans après le dernier contact avec le candidat, pour le recontacter ou l'ajouter à un vivier. Il faut son accord, ou au moins l'informer et lui permettre de s'opposer simplement. Une copie peut être archivée 5 ans, à part, comme preuve en cas d'action pour discrimination. ### Faut-il prévenir un candidat trouvé sur LinkedIn ? Oui, dès que vous enregistrez son profil dans votre base. L'article 14 du RGPD impose de l'informer dans un délai raisonnable, au plus tard un mois après la collecte, ou lors du premier message si vous le contactez avant. Consulter un profil sans l'enregistrer ne déclenche pas cette obligation, selon la CNIL. ### Que doit contenir l’information donnée au candidat ? Qui traite ses données, pourquoi, sur quelle base légale, qui les reçoit (vos clients, par exemple), combien de temps elles sont gardées, ses droits et la possibilité de saisir la CNIL. Pour un profil sourcé, ajoutez la source des données et leurs catégories. Si un tri automatisé peut décider à sa place, il faut le dire. ### En combien de temps répondre à une demande d’accès ou d’effacement ? Dans un délai d'un mois à compter de la demande, selon l'article 12 du RGPD. Ce délai peut être prolongé de deux mois pour une demande complexe, à condition de prévenir le candidat dans le premier mois. Un refus doit être motivé et indiquer qu'il peut saisir la CNIL. ### Un logiciel peut-il écarter un candidat automatiquement ? En principe non, si la décision est prise sans intervention humaine et l'écarte du recrutement : l'article 22 du RGPD l'interdit, sauf exceptions étroites. La CNIL considère qu'un classement automatique peut équivaloir à une telle décision quand le recruteur ne regarde que les premiers profils. Un humain doit pouvoir expliquer chaque refus.