Le CV d'un candidat non retenu n'est pas un simple encombrement administratif inoffensif. Il peut contenir l'historique professionnel, les coordonnées, des informations démographiques, des preuves d'entretien, des résultats d'évaluation et des notes de plusieurs décideurs. Lorsque ces données restent dans plusieurs systèmes sans objectif défini ni date de fin, l'organisation s'expose à des risques de non-conformité en matière de gouvernance des données.
Ce guide de rétention des données de recrutement est conçu pour les équipes d'entreprise qui doivent agir rapidement sans perdre le contrôle des informations des candidats. L'objectif n'est pas de tout supprimer dès la clôture d'un poste. Il s'agit de conserver les bonnes données pour une finalité commerciale, légale et opérationnelle documentée, puis de les supprimer ou de les anonymiser de manière cohérente lorsque cette finalité n'est plus pertinente.
En France, la gestion des données de recrutement est encadrée par des exigences strictes, notamment celles du RGPD. Les entreprises doivent également tenir compte des spécificités liées au dialogue social et, le cas échéant, aux consultations du Comité Social et Économique (CSE) concernant les traitements de données personnelles des salariés et candidats.
Pourquoi la rétention des données de recrutement nécessite une politique formelle
Les équipes de recrutement héritent souvent de pratiques de gestion des données fragmentées. Les CV sont stockés dans un système de suivi des candidatures (ATS), les enregistrements d'entretiens sont conservés sur une plateforme d'évaluation, les managers gardent des notes dans leurs e-mails, et les soumissions d'agences restent dans des dossiers partagés. Chaque source peut avoir des contrôles d'accès, des paramètres de rétention et des responsabilités différents.
Cette fragmentation engendre trois risques concrets. Premièrement, les équipes peuvent être incapables de répondre avec assurance aux demandes d'accès, de suppression ou de rectification des candidats. Deuxièmement, elles peuvent conserver des données sensibles plus longtemps que nécessaire, augmentant ainsi les risques en cas d'incident de sécurité. Troisièmement, elles peuvent supprimer des preuves trop tôt et perdre la capacité d'expliquer comment une décision d'embauche a été prise.
Une politique défendable résout cette tension en liant chaque catégorie de données de recrutement à une finalité, une durée de conservation, un responsable et une action de suppression. Elle offre également aux managers recruteurs des directives claires : les retours d'information doivent figurer dans le flux de travail autorisé, et non dans des boîtes de réception personnelles ou des discussions informelles.
Le guide de rétention des données de recrutement : commencez par la finalité, pas par un chiffre
Il n'existe pas de durée de conservation universelle applicable à toutes les entreprises. Les exigences varient selon la juridiction, le type de poste, le secteur d'activité, la convention collective, le risque de litige et la nature des données collectées. Les organisations américaines peuvent avoir besoin de conserver certains dossiers pour soutenir les obligations d'égalité des chances en matière d'emploi, tandis que les employeurs multinationaux doivent également tenir compte des lois locales sur la protection de la vie privée et des restrictions de traitement transfrontalier.
La bonne question n'est pas : « Combien de temps pouvons-nous conserver les données des candidats ? » mais plutôt : « Quelle finalité spécifique justifie la conservation de ces données, et pour quelle durée ? » Les finalités courantes incluent la gestion d'une candidature active, la défense d'une décision d'embauche, le respect des obligations de tenue de registres, la prise en considération d'un candidat pour de futurs postes avec un préavis approprié, et l'enquête sur une plainte.
Pour chaque finalité, définissez une durée que les parties prenantes juridiques, de la protection des données et des RH peuvent soutenir. Un candidat ayant postulé à un seul poste peut justifier une durée plus courte qu'un candidat ayant intégré une communauté de talents. Un poste réglementé peut exiger une documentation plus longue qu'un poste d'entreprise standard. La politique doit stipuler que les obligations légales de conservation priment sur les calendriers de suppression habituels.
Établissez un inventaire des données de recrutement qui reflète le flux de travail réel
Une politique ne peut pas régir des données que l'organisation n'a pas identifiées. Les opérations de recrutement doivent cartographier les données des candidats, du premier contact à la disposition finale, y compris les systèmes exploités par les équipes internes, les agences externes et les fournisseurs de technologie.
L'inventaire doit distinguer les dossiers de candidature ordinaires des informations à risque plus élevé. Un CV et un formulaire de candidature ne sont pas équivalents à un entretien vidéo enregistré, des documents d'identité, des informations sur les aménagements, des données démographiques volontaires ou un rapport de compétences généré par l'IA. Ces données peuvent présenter des sensibilités et des exigences d'accès différentes.
Pour chaque catégorie de données, documentez la source, la finalité du traitement, le système d'enregistrement, les utilisateurs autorisés, le lieu de stockage géographique, le déclencheur de conservation et la méthode de suppression. Le déclencheur de conservation est important. « Deux ans après la collecte » est souvent moins fiable opérationnellement que « deux ans après la clôture du poste » ou « deux ans après la dernière interaction significative du candidat. »
Un inventaire pratique couvre généralement au moins les catégories suivantes :
- Candidatures, CV, lettres de motivation et communications du recruteur
- Notes d'entretien, grilles d'évaluation structurées, enregistrements et transcriptions
- Résultats d'évaluation, y compris les preuves de compétences et les rapports de traits de personnalité
- Informations démographiques volontaires, aménagements, droit au travail et vérifications d'antécédents
- Profils de viviers de talents, parrainages, soumissions d'agences et candidatures retirées
- Journaux d'audit montrant les accès, les modifications de score, les décisions et les approbations
Définissez des règles de conservation par statut de candidat et sensibilité des données
Une règle de conservation unique et générale est facile à communiquer mais souvent difficile à défendre. De meilleures politiques utilisent un nombre gérable de calendriers de conservation basés sur le statut et la sensibilité.
Pour les candidats actifs, conservez les informations nécessaires pour mener un processus équitable et efficace et communiquer avec le candidat. Une fois qu'un candidat est rejeté, qu'il se retire ou que le poste est annulé, le décompte doit commencer selon le calendrier de conservation documenté. Si l'entreprise souhaite conserver cette personne pour de futures opportunités, séparez cette finalité de la candidature clôturée et obtenez toute autorisation requise ou fournissez le préavis nécessaire.
Les candidats embauchés nécessitent un transfert distinct. Seules les données nécessaires à l'intégration (onboarding) et à l'administration du personnel doivent être transférées dans le dossier du personnel ou le système d'information RH. Les notes d'entretien, les éléments de classement et les CV en double ne devraient pas suivre automatiquement l'employé indéfiniment simplement parce que la personne a été embauchée.
La gestion des données sensibles doit être encadrée avec la plus grande rigueur. Les informations relatives aux aménagements, les identifiants gouvernementaux, les résultats d'enquêtes de moralité (background checks) et les données démographiques volontaires requièrent généralement un accès restreint et peuvent nécessiter des durées de conservation plus courtes ou spécifiquement définies. Ces dossiers doivent être tenus à l'écart de la vue générale des managers recruteurs, sauf en cas de besoin clair et dûment autorisé, conformément aux principes du RGPD.
En France, le cadre réglementaire est particulièrement strict en matière de protection des données personnelles. Le RGPD (Règlement Général sur la Protection des Données) impose des obligations claires concernant la durée de conservation, la finalité et la sécurité des données des candidats. Les entreprises doivent également veiller à la transparence de leurs pratiques et, dans certains cas, consulter les représentants du personnel (CSE) sur les politiques impactant les conditions d'emploi, y compris la gestion des données.
Traiter les preuves d'évaluation par IA comme des dossiers soumis à gouvernance
Le recrutement assisté par l'IA apporte des éléments de preuve utiles, mais il introduit également une nouvelle catégorie de données à contrôler. Les signaux de classement de CV, les transcriptions d'entretiens, les scores structurés, les preuves de compétences, les résultats des modèles, les ajustements manuels des évaluateurs et les artefacts de traduction peuvent tous devenir pertinents lors d'une demande d'un candidat, d'un audit interne ou d'une contestation de décision.
La solution n'est pas de conserver indéfiniment chaque signal brut. Il s'agit plutôt de déterminer quelles preuves sont nécessaires pour justifier la décision et vérifier que le processus a fonctionné comme prévu. Par exemple, une organisation peut conserver la fiche d'évaluation structurée du candidat, les commentaires de l'évaluateur, les critères utilisés, la justification de la décision et la piste d'audit pour une période définie, tout en établissant un calendrier différent pour les fichiers de traitement temporaires.
La gouvernance exige également une connaissance des versions. Si les critères d'évaluation ou les modèles de notation changent, l'organisation doit être en mesure d'identifier quelle version a été utilisée pour une campagne donnée. Cela favorise la traçabilité sans obliger les équipes à conserver une quantité illimitée de données dupliquées.
Des plateformes telles que MIND Interview peuvent soutenir cette discipline en centralisant l'analyse des CV, les preuves des entretiens asynchrones, la notation, les contributions des évaluateurs et les décisions finales au sein d'un espace de travail unique et auditable. Le gain opérationnel est significatif : les équipes peuvent réduire les copies non gérées tout en fournissant aux parties prenantes autorisées des preuves plus riches avant un entretien en direct.
Rendre la suppression exécutoire, et non pas seulement une aspiration
Une politique de conservation échoue lorsque la suppression des données repose sur la seule mémoire d'un recruteur pour nettoyer les anciennes candidatures. Les équipes en entreprise ont besoin d'automatisation, de gestion des exceptions et de preuves que le processus a bien été exécuté.
Configurez les systèmes pour signaler les dossiers approchant leur date d'expiration, notifier le responsable lorsque l'examen est requis, et supprimer ou anonymiser les données éligibles selon un calendrier récurrent. Définissez si la suppression signifie un effacement irréversible, la suppression des identifiants directs, l'archivage sous accès restreint, ou une combinaison de ces actions. La définition doit être précise, car les données « archivées » sont toujours des données conservées.
Tout aussi important, identifiez les exceptions. Un blocage pour litige, une enquête réglementaire, une plainte de candidat, une investigation active ou un engagement contractuel peuvent nécessiter une suspension temporaire de la suppression normale. Les dossiers d'exception doivent inclure le motif, le responsable approuvant, la portée, la date de début et la date de révision. Lorsque la suspension prend fin, les données doivent réintégrer le flux de travail de suppression normal.
Les contrats avec les fournisseurs méritent le même examen minutieux. Confirmez comment les prestataires de technologies de recrutement traitent les demandes de suppression, gèrent les sauvegardes, isolent les données clients, informent les clients des incidents et soutiennent les besoins d'audit. Si un fournisseur ne peut pas fournir de réponses claires, l'entreprise pourrait ne pas être en mesure de respecter ses propres engagements en matière de politique de données.
Attribuer la responsabilité entre les RH, le juridique, la confidentialité et l'IT
La conservation des données n'est pas uniquement une responsabilité du recrutement. Si l'acquisition de talents comprend le flux de travail d'embauche, le service juridique interprète les obligations de tenue de dossiers, la confidentialité définit les exigences de traitement des données, l'IT et la sécurité gèrent les contrôles système, et les achats régissent les engagements des fournisseurs.
Un modèle opérationnel fonctionnel attribue un propriétaire de la politique, généralement au sein des RH ou du service confidentialité, aux côtés des propriétaires de systèmes qui configurent les paramètres de conservation. Les opérations de recrutement devraient être responsables de la documentation des processus et de la formation des managers. Les managers recruteurs devraient être tenus de saisir les preuves de décision dans les systèmes approuvés et d'éviter les « shadow records » (dossiers non officiels). L'audit interne ou la conformité peut vérifier si la politique fonctionne comme prévu.
La politique doit être révisée au moins une fois par an et chaque fois que l'organisation introduit une nouvelle méthode d'évaluation, s'étend à une nouvelle juridiction, change de fournisseur ou commence à collecter une nouvelle catégorie d'informations sur les candidats. La croissance par acquisition est un autre déclencheur courant, car les équipes acquises apportent fréquemment des archives de recrutement non gérées.
Faire de la conservation des données un levier pour une meilleure expérience candidat
Des règles de conservation claires ne sont pas seulement un contrôle de conformité. Elles témoignent du respect envers les candidats. Un avis de confidentialité concis, une explication compréhensible de la durée de conservation des dossiers et un processus fiable pour les demandes peuvent renforcer la confiance, même lorsque le candidat ne reçoit pas d'offre.
Pour l'organisation recruteuse, le bénéfice est tout aussi pratique : moins de données redondantes, une récupération plus rapide des preuves de décision, moins de fichiers non gérés et une responsabilité plus claire tout au long du cycle de recrutement. Le programme de conservation le plus efficace est celui qui est intégré au flux de travail de recrutement, où chaque décision est documentée, chaque dossier a un but, et aucune donnée candidat n'est conservée simplement parce que personne n'a décidé de la suite à donner.