RGPD et ATS : checklist recrutement 2026
Collecte, accès, conservation et suppression : les contrôles essentiels pour gérer les données candidats dans un ATS en 2026.
RGPD et ATS : la checklist 2026 pour les données candidats
Un CV, une note d'entretien, un email et un statut de candidature sont des données personnelles. Les centraliser dans un ATS améliore le suivi, mais ne dispense pas le cabinet de définir pourquoi elles sont collectées, qui peut les consulter et quand elles doivent être supprimées.
Ce guide fournit des repères opérationnels. Il ne remplace pas un conseil juridique adapté à votre organisation.
1. Cartographier le traitement
Documentez au minimum :
- la finalité de chaque traitement ;
- la base légale retenue ;
- les catégories de données et de personnes concernées ;
- les destinataires et sous-traitants ;
- les transferts éventuels hors Espace économique européen ;
- les durées de conservation ;
- les mesures de sécurité ;
- la procédure d'exercice des droits.
La CNIL consacre un guide complet au recrutement et rappelle que chaque opération sur les données candidats constitue un traitement au sens du RGPD.
2. Limiter les données collectées
Collectez uniquement les informations directement utiles à l'évaluation professionnelle et au suivi de la candidature. Évitez les champs libres utilisés comme mémos personnels : ils favorisent les commentaires excessifs, subjectifs ou sans rapport avec le poste.
Les notes doivent rester factuelles, compréhensibles par le candidat s'il exerce son droit d'accès, et reliées aux exigences de la mission.
3. Informer les candidats
L'information doit être accessible au moment de la collecte. Elle précise notamment l'identité du responsable de traitement, les finalités, la base légale, les destinataires, la durée de conservation et les modalités d'exercice des droits.
Un import CSV ou la récupération d'un profil public ne supprime pas cette obligation. La CNIL indique également que l'utilisation d'informations publiées sur Internet reste soumise aux règles de protection des données.
4. Gérer les accès par rôle
Tous les membres du cabinet n'ont pas besoin d'accéder à tous les dossiers. Appliquez le principe du moindre privilège :
- administrateur pour la configuration et les utilisateurs ;
- manager pour les missions de son périmètre ;
- consultant pour les dossiers qui lui sont attribués ;
- accès temporaire et révocable pour un intervenant externe.
Prévoyez une revue périodique et retirez rapidement les accès inutiles.
5. Définir les durées de conservation
Les données ne peuvent pas être conservées indéfiniment. La CNIL indique en 2026 qu'un service RH peut conserver les données d'un candidat non retenu pendant deux ans maximum, sauf demande d'effacement. Pour un vivier, la CNIL précise que ce délai court en principe à partir du dernier contact et que le candidat doit être informé.
Cette durée est un repère, pas une permission de tout conserver deux ans. Définissez des règles par finalité et documentez les exceptions.
6. Préparer l'exercice des droits
Votre procédure doit permettre de retrouver toutes les données d'une personne, y compris les notes et historiques, puis de répondre dans le délai applicable. Testez les opérations suivantes avant d'en avoir besoin :
- export lisible ;
- rectification ;
- opposition lorsque ce droit s'applique ;
- effacement ;
- limitation du traitement.
7. Encadrer les fournisseurs
Vérifiez le contrat de sous-traitance, la liste des sous-traitants ultérieurs, la localisation des données, les mesures de sécurité et les conditions de restitution. Un outil connecté à un service d'enrichissement ou d'IA ajoute un nouveau flux de données à documenter.
8. Garder une supervision humaine sur l'IA
Les systèmes utilisés pour le recrutement peuvent relever du cadre européen des systèmes d'IA à haut risque selon leur finalité. La Commission européenne met notamment en avant la qualité des données, la journalisation, la documentation et la supervision humaine.
En pratique, n'utilisez pas un score opaque comme décision finale. Conservez la possibilité de comprendre, contester et corriger le résultat.
Contrôle rapide avant mise en service
- Finalités et bases légales documentées
- Mention d'information disponible
- Accès limités par rôle
- Durées et suppressions configurées
- Procédure de réponse aux droits testée
- Contrats et sous-traitants vérifiés
- Export et réversibilité testés
- Incidents et sauvegardes encadrés
- Usage de l'IA documenté et supervisé
Pour choisir un outil en tenant compte de ces exigences, consultez le guide ATS pour cabinet. Pour la reprise initiale des données, utilisez la checklist d'import CSV.