CVthèque et RGPD : comment conserver les CV de vos candidats en toute conformité

Le recrutement fait partie des priorités de contrôle de la CNIL en 2026. Algorithmes de tri, durées de conservation, information des candidats : les services RH sont de plus en plus scrutés sur la façon dont ils traitent les CV et candidatures reçus. Pourtant, beaucoup d’entreprises continuent de constituer leur CVthèque sans règle claire de conservation ni traçabilité du consentement. il est donc essentiel d’avoir une CVthèque conforme à la RGPD.

Dans cet article, nous faisons le point sur ce que dit la réglementation, les obligations concrètes qui en découlent pour vos équipes RH, et comment automatiser cette conformité plutôt que de la gérer manuellement.

Qu’est-ce qu’une CVthèque et pourquoi est-elle encadrée par le RGPD ?

Une CVthèque est une base de données regroupant les CV et candidatures reçus par une entreprise, qu’ils aient donné lieu à un recrutement ou non. Un CV contient des données à caractère personnel (identité, coordonnées, parcours professionnel) : sa collecte et sa conservation relèvent donc pleinement du RGPD.

Le règlement impose un principe simple mais structurant : une donnée personnelle ne peut être conservée que pendant la durée strictement nécessaire à la finalité pour laquelle elle a été collectée. Pour un CV, cette finalité est le traitement d’une candidature — pas une conservation indéfinie « au cas où ».

Durée légale de conservation des CV : ce que recommande la CNIL

Candidat non retenu : 2 ans après le dernier contact

Pour un candidat qui n’est pas recruté, la CNIL considère qu’une conservation de deux ans après le dernier contact est une durée raisonnable. Ce dernier contact peut correspondre à un email de refus, un échange téléphonique, ou une mise à jour du CV par le candidat lui-même. Au-delà de ces deux ans, la conservation doit être justifiée autrement — sans quoi elle expose l’entreprise à un risque de non-conformité.

Dans la pratique, ce point de départ (date du dernier contact) doit être tracé précisément pour chaque candidature, faute de quoi il devient impossible de démontrer le respect du délai en cas de contrôle.

Constituer une CVthèque au-delà de 2 ans : le consentement devient obligatoire

Si vous souhaitez conserver un profil plus longtemps dans une réserve de candidatures pour de futures opportunités, cela suppose un consentement explicite du candidat. Ce consentement doit être une démarche active et documentée — pas une case pré-cochée ni une mention noyée dans les conditions générales. Il doit préciser la finalité (être recontacté pour d’autres postes), et rester révocable à tout moment, aussi simplement qu’il a été donné.

Candidat recruté : bascule vers le dossier salarié

Une fois le candidat embauché, son dossier change de nature : il quitte la logique CVthèque pour rejoindre le dossier salarié, avec ses propres règles de conservation liées au contrat de travail. C’est là qu’un coffre-fort électronique salarié prend le relais, avec un calendrier de conservation propre à chaque type de document RH.

Les obligations d’information envers le candidat

Le respect des durées de conservation ne suffit pas : le RGPD impose également une obligation d’information dès la collecte des données. Le candidat doit savoir, généralement via une mention intégrée à l’offre d’emploi ou au formulaire de candidature :

• la finalité du traitement de ses données,
• la durée de conservation envisagée,
• ses droits (accès, rectification, opposition, effacement) et la façon de les exercer.

Si un outil de tri automatisé ou un algorithme intervient dans la présélection des candidatures, cette information doit également être communiquée explicitement. Le RGPD encadre strictement les décisions entièrement automatisées produisant des effets significatifs sur une personne, et impose une vigilance particulière sur les risques de biais discriminatoires dans ces dispositifs.

Les risques en cas de non-conformité

Une CVthèque mal gérée expose l’entreprise à plusieurs risques :

• une conservation excessive de données sans base légale, sanctionnable par la CNIL,
• l’incapacité à répondre à une demande d’accès ou de suppression dans les délais légaux,
• l’absence de preuve du consentement pour les profils conservés au-delà de deux ans.

Avec le recrutement identifié comme axe de contrôle prioritaire pour 2026, ces manquements sont d’autant plus susceptibles d’être détectés lors d’un audit CNIL.

Comment automatiser la conformité RGPD de votre CVthèque

Gérer ces règles manuellement — suivre une à une les dates de dernier contact, tracer les consentements, purger les dossiers à échéance — devient vite ingérable dès que le volume de candidatures augmente. C’est précisément ce que permet d’automatiser une GED RH :

• un calendrier de conservation automatisé, appliqué par type de document et déclenché par la bonne date de référence (dernier contact, embauche, etc.),
• un module de droit à l’oubli intégré, qui purge automatiquement les dossiers arrivés à expiration,
• une traçabilité du consentement pour les profils conservés en réserve de candidatures,
• des droits d’accès personnalisables, pour que seules les personnes habilitées consultent les données sensibles.

En automatisant ces règles, vos équipes RH n’ont plus à arbitrer manuellement chaque dossier : la conformité devient un réflexe intégré au processus, plutôt qu’une vérification a posteriori.