Le guide recrutement de la CNIL distingue trois situations, et la réponse change de l'une à l'autre.
- Le candidat demande lui-même à rejoindre un vivier (inscription auprès d'un cabinet, dépôt de CV sur un jobboard). L'intégration se faisant à son initiative, il peut être considéré comme ayant consenti à la conservation de ses données.
- Le candidat envoie une candidature spontanée alors qu'aucun poste n'est ouvert. La CNIL estime qu'il paraît également possible de considérer qu'en envoyant son CV, il consent à ce que l'entreprise le conserve pour le recontacter.
- Le candidat n'est pas retenu à l'issue d'un recrutement. C'est le cas le plus fréquent et le plus délicat. Le recruteur devrait recueillir son consentement pour le verser au vivier. S'il préfère s'appuyer sur son intérêt légitime, par exemple pour les candidats qui ont passé un entretien, il doit les en informer et leur permettre de s'opposer facilement, sans qu'ils aient à invoquer d'autre motif que leur souhait de ne plus être contactés.
La CNIL présente ce recours au consentement comme une évolution par rapport à son ancien référentiel, qui recommandait l'intérêt légitime, et indique tenir compte du temps d'adaptation nécessaire pour les viviers déjà constitués sur cette base. Les agences d'intérim ont un régime à part, puisqu'elles peuvent fonder leur vivier sur l'exécution de mesures précontractuelles prises à la demande du candidat.
Un consentement valable suppose une action positive, par exemple une case dédiée et non pré-cochée. Il ne se déduit ni d'un accord tacite, ni de l'absence d'opposition, ni de l'acceptation de conditions générales. S'il est retiré, le traitement s'arrête et les données collectées à ce titre sont supprimées, sauf nécessité de les conserver en vue d'un contentieux.
Quand les données viennent du candidat, l'information se donne au moment de la collecte (article 13 du RGPD). Elle porte notamment sur la finalité, la base légale, la durée de conservation, les destinataires et les droits de la personne. Si vous invoquez l'intérêt légitime, le droit d'opposition doit être présenté clairement et séparément de toute autre information, au plus tard lors de la première communication avec la personne (article 21, paragraphe 4).
Quand le profil vient d'ailleurs (recommandation, réseau professionnel, base transmise par un partenaire), l'article 14 impose d'informer la personne dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors du premier message si ses données servent à la contacter. L'information indique alors aussi la source des données.
Le Code du travail ajoute une règle propre au recrutement. Aucune information concernant personnellement un candidat ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance (article L1221-9).
Voici un exemple de formulation dans un mail de refus, fondé sur le consentement, à compléter par les autres mentions obligatoires.
« Votre profil nous a intéressés. Nous aimerions conserver votre CV et nos notes d'entretien pendant deux ans à compter de ce message pour vous proposer d'autres postes. Répondez oui à ce mail si vous êtes d'accord. Vous pourrez retirer votre accord à tout moment en écrivant à [adresse]. »
Variante fondée sur l'intérêt légitime : « Sauf opposition de votre part, nous conserverons votre dossier deux ans pour vous proposer d'autres postes. Il vous suffit de répondre à ce mail pour que nous le supprimions. »
Le référentiel CNIL des durées de conservation en gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026, prévoit pour une CV-thèque de type vivier une conservation en base active jusqu'à 2 ans à compter du dernier contact avec le candidat non retenu. Cette durée est une recommandation de la CNIL, pas une obligation légale. Le guide recrutement précise qu'elle doit rester raisonnable selon le type de poste, qu'une conservation de cinq ans pour alimenter un vivier est en principe excessive, et que ces durées sont un point de repère dont le recruteur peut s'écarter s'il documente et justifie son choix. À l'expiration du délai, l'opération peut être renouvelée auprès du candidat.
La durée de 5 ans qui figure dans le même tableau répond à un autre objectif. Elle s'appuie sur l'article L1134-5 du Code du travail, qui fixe à cinq ans la prescription de l'action en réparation d'une discrimination, et le référentiel la fait courir à compter de la date où le poste a été pourvu, pour les employeurs comme pour les intermédiaires. Seules les informations strictement nécessaires à cette preuve passent alors en archivage intermédiaire, séparées de la base active, soit physiquement dans une base dédiée, soit par une limitation des habilitations. Un dossier archivé à ce titre ne sert plus à recontacter le candidat.
La notion de « dernier contact » n'est pas définie dans ces documents. Fixez votre propre règle (dernier échange à l'initiative de l'une ou l'autre partie, par exemple), inscrivez-la dans votre registre des traitements et appliquez-la de la même façon à tout le vivier.
Proposer un nouveau poste à un candidat versé dans le vivier correspond à la finalité annoncée, puisque la CNIL définit la CV-thèque comme une base où le recruteur enregistre des candidatures dans la perspective de contacter les personnes pour leur présenter des offres d'emploi. Le recontact fait donc partie du traitement lui-même.
Le guide cite en revanche des usages qui sortent de ce cadre. Réutiliser un fichier de candidats pour une campagne de prospection commerciale n'est pas compatible avec la finalité d'origine. Constituer un vivier à partir d'une annonce correspondant à une fausse offre d'emploi n'est pas une finalité légitime. Pour une réutilisation compatible mais différente (des statistiques sur le processus de placement, par exemple), le candidat doit être informé avant sa mise en œuvre et pouvoir s'y opposer le cas échéant.
L'article L1221-6 du Code du travail, rappelé par la CNIL, prévoit que les informations demandées à un candidat ne peuvent avoir pour finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles. Le guide ajoute que le recruteur ne doit pas extraire ni utiliser les données sensibles qu'un candidat aurait communiquées spontanément, sauf lien direct et nécessaire avec l'emploi. Une note d'entretien qui consigne l'état de santé, la situation familiale ou un projet de parentalité n'a donc pas sa place dans le vivier.
Selon la CNIL, un cabinet qui constitue un vivier générique pour son activité habituelle de placement est responsable de ce traitement. Il lui revient d'informer les candidats, de fixer la durée de conservation et de répondre aux demandes d'accès ou d'effacement.
Quand le cabinet transmet une sélection de CV à un client, ce client devient responsable du traitement qu'il constitue avec ces données. Les candidats doivent être informés des destinataires ou catégories de destinataires de leurs données, et la CNIL range les clients des cabinets parmi ces destinataires. Si le client veut garder ces profils dans son propre vivier, il lui faut sa propre base légale et sa propre information.
L'entreprise qui recrute en direct est responsable du traitement pour ses recrutements. Dans l'hypothèse, jugée très exceptionnelle par la CNIL, où un cabinet bâtit une base spécialement pour un client avec des paramètres fixés par celui-ci, il peut être sous-traitant, voire responsable conjoint si l'outil et la méthode sont élaborés ensemble. La répartition des rôles se formalise alors par contrat.
- Compter les deux ans depuis la candidature au lieu du dernier contact, ou ne jamais les compter faute de date fiable dans l'outil.
- Garder le vivier exploité et l'archive probatoire dans la même base, accessibles aux mêmes personnes.
- Déduire un accord du silence après un refus envoyé sans question claire.
- Oublier l'opposition dans les outils, si bien qu'un candidat qui a demandé à ne plus être contacté ressort dans une recherche six mois plus tard.
- Laisser dans le vivier des notes sans lien avec l'emploi (vie privée, santé) issues d'entretiens retranscrits.
- Écarter des candidats par un tri entièrement automatisé. L'article 22 du RGPD donne à la personne le droit, sauf exceptions prévues par ce texte, de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui l'affecte de manière significative.
Un vivier conforme est aussi un vivier plus utile. Des dates de dernier contact à jour, des oppositions respectées et des notes centrées sur les compétences donnent des recherches plus fiables.
Cette page présente les recommandations générales de la CNIL et les textes applicables. Pour un cas précis, faites valider vos choix par votre DPO ou par un avocat.
Si vous avez choisi le consentement comme base légale, la CNIL rappelle qu'il ne peut pas résulter d'un accord tacite ni d'une absence d'opposition. Sans réponse positive, le CV ne rejoint pas le vivier. Seules les informations strictement nécessaires comme preuve en cas d'action pour discrimination peuvent être conservées en archivage intermédiaire, sans servir à recontacter la personne.
Le référentiel CNIL fait courir la durée à compter du dernier contact avec le candidat, et le guide recrutement prévoit que l'opération peut être renouvelée. Un nouvel échange peut donc servir de nouveau point de départ, à condition de le dater dans votre outil et d'avoir défini dans votre registre ce qui compte comme contact.
L'article 12 du RGPD impose de répondre dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne, avec les motifs du report, dans le premier mois.
Les données n'ont alors pas été collectées auprès de la personne. L'article 14 du RGPD impose de l'informer dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors du premier message si vous la contactez, en précisant la source de ses données. Il vous faut aussi une base légale pour ce traitement.
Elles font partie du dossier conservé et suivent en principe la même durée. Elles doivent se limiter à ce qui permet d'apprécier la capacité à occuper un emploi ou les aptitudes professionnelles (article L1221-6 du Code du travail). Ce qui touche à la vie privée ou à la santé est à retirer.