Introduction : le dossier que vous constituez vous-même
Vous avez envoyé quarante candidatures ce trimestre. Chacune contenait votre nom complet, votre adresse postale, votre date de naissance, votre numéro de téléphone personnel, une photo, l'historique détaillé de vos douze dernières années, les noms de vos anciens employeurs et, dans un tiers des cas, une case « permis B » et une autre « situation familiale ».
Vous avez été recruté par une seule de ces entreprises. Les trente-neuf autres conservent le dossier.
Le paradoxe de la recherche d'emploi est là : c'est le seul moment de la vie adulte où l'on accepte de livrer volontairement, à des inconnus, un dossier plus complet que celui détenu par sa banque. Et on le fait en masse, sous pression, sans négocier.
Pourtant, le droit français est ici plus protecteur qu'ailleurs. Le Code du travail encadre explicitement le recrutement depuis la loi Aubry de 1992. Le RGPD s'y superpose. La CNIL publie des recommandations précises. Le problème n'est pas l'absence de règles : c'est que personne ne les connaît, ni les candidats, ni la moitié des recruteurs.
Ce guide fait le tri entre ce qu'on peut légalement vous demander, ce qu'on vous demande quand même, et ce que vous pouvez refuser sans griller votre candidature.
Ce que la loi autorise réellement un recruteur à collecter
La règle du « lien direct et nécessaire »
Tout tient dans l'article L. 1221-6 du Code du travail :
« Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d'apprécier sa capacité à occuper l'emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l'emploi proposé. »
Deux mots comptent : direct et nécessaire. Pas « utile », pas « intéressant pour le dossier ». Nécessaire.
Le candidat, ajoute le même article, « est tenu de répondre de bonne foi à ces demandes ». Autrement dit : l'obligation de sincérité ne s'applique qu'aux questions légitimes. À une question illégitime, vous n'avez aucune obligation de vérité — la jurisprudence sociale est constante sur ce point, et un mensonge sur un sujet sans lien avec le poste ne constitue pas un dol justifiant l'annulation du contrat.
Le tableau de ce qui passe et de ce qui ne passe pas
| Information demandée | Statut | Pourquoi |
|---|---|---|
| Diplômes, expériences, compétences | Légitime | Cœur de l'évaluation professionnelle |
| Prétentions salariales | Légitime | Négociation contractuelle |
| Permis de conduire | Légitime si le poste l'exige | Lien direct requis |
| Date de naissance | Tolérée, rarement nécessaire | Utile pour la paie, pas pour le tri |
| Photographie | Jamais obligatoire | Facteur avéré de discrimination |
| Situation familiale, enfants, grossesse | Interdit | Discrimination (art. L. 1132-1) |
| Origine, religion, orientation sexuelle | Interdit | Donnée sensible (art. 9 RGPD) |
| Appartenance syndicale ou politique | Interdit | Donnée sensible |
| État de santé, handicap | Interdit au recruteur | Relève du seul médecin du travail |
| Numéro de sécurité sociale | Interdit au stade candidature | Uniquement à l'embauche |
| Extrait de casier judiciaire | Interdit sauf emplois réglementés | Liste limitative |
| Coordonnées bancaires | Interdit au stade candidature | Aucune finalité |
La CNIL rappelle régulièrement ce cadre dans ses fiches consacrées au recrutement : la collecte doit rester proportionnée à la finalité, et l'absence de photo ou de date de naissance sur un CV ne peut pas, en soi, écarter une candidature.
Les durées de conservation
C'est le point le plus violé, et le plus simple à faire respecter.
La CNIL retient comme référence deux ans à compter du dernier contact avec le candidat, pour les dossiers conservés dans une « CVthèque », et seulement si le candidat en a été informé. Passé ce délai, le dossier doit être supprimé. Pour un candidat non retenu dont on ne souhaite pas garder la trace, la suppression doit intervenir rapidement après la clôture du poste.
En pratique ? Des logiciels de gestion de candidatures conservent des profils datant de huit ou dix ans, avec les annotations des recruteurs de l'époque. Ces annotations font partie de vos données personnelles : vous y avez droit d'accès.
Ce qui se passe réellement pendant que vous attendez une réponse
Le « sourcing » silencieux
Votre CV n'est qu'une porte d'entrée. Ce qui se joue ensuite est rarement documenté dans l'offre d'emploi.
- La recherche nominative. Votre nom est tapé dans un moteur de recherche. C'est légal — l'information publique reste publique — mais le recruteur ne peut utiliser que des éléments ayant un lien direct avec le poste. Découvrir votre engagement associatif ou vos opinions sur un réseau social et s'en servir pour écarter votre candidature constitue une discrimination.
- Les réseaux professionnels. Consulter votre profil est banal. En revanche, croiser vos anciens postes avec vos connexions pour appeler « un ami commun » sans votre accord contourne la règle du contact des références, qui suppose votre information préalable.
- La prise de références. Appeler votre employeur actuel sans vous prévenir est une faute classique, et potentiellement dévastatrice si votre recherche est confidentielle. La CNIL et les usages professionnels convergent : le candidat doit être informé, et fournir lui-même la liste des personnes contactables.
Les tests, questionnaires et entretiens vidéo différés
Depuis cinq ans, l'entretien vidéo asynchrone s'est banalisé : vous répondez seul, face caméra, à des questions affichées à l'écran, avec un temps de préparation chronométré.
Ce format produit une donnée nouvelle : votre visage, votre voix et votre débit, enregistrés et stockés. Trois questions valent la peine d'être posées avant d'accepter.
- Qui héberge la vidéo, et pour combien de temps ? L'information doit figurer dans la notice de confidentialité du prestataire.
- La vidéo est-elle analysée automatiquement ? L'analyse dite « émotionnelle » ou la notation automatique du langage non verbal reposent sur des bases scientifiques très contestées, et relèvent de la décision automatisée encadrée par l'article 22 du RGPD : vous avez le droit d'obtenir une intervention humaine.
- Le règlement européen sur l'intelligence artificielle classe les systèmes d'IA utilisés pour le tri de candidatures et l'évaluation de candidats parmi les usages à haut risque, avec des obligations de transparence et de supervision humaine. Demander explicitement si un système automatisé intervient dans la sélection n'est ni agressif ni farfelu : c'est exercer un droit.
Côté pratique, si vous devez passer ces entretiens régulièrement, deux accessoires changent tout : un cache webcam adhésif qui vous garantit que rien ne filme entre deux sessions, et un fond neutre — un simple mur, une bibliothèque rangée, ou un panneau amovible. Une chambre filmée en grand angle raconte votre logement, votre niveau de vie et parfois votre vie familiale. Ce n'était pas la question posée.
Les tests de personnalité
Ils sont légaux, à trois conditions cumulatives que la CNIL rappelle : être pertinents au regard du poste, être portés à la connaissance du candidat avant passation, et faire l'objet d'un retour de résultats. Vous pouvez demander à recevoir vos résultats : c'est un droit d'accès, pas une faveur.
Construire une candidature qui en dit assez, et pas plus
Le CV minimal suffisant
L'idée n'est pas de se cacher, mais de ne livrer que ce qui sert à évaluer votre travail.
Ce que vous pouvez retirer sans dommage :
- La photo. Aucune obligation. Les travaux du Défenseur des droits sur les tests de discrimination à l'embauche montrent, campagne après campagne, l'effet du nom et de l'apparence sur le taux de rappel. Retirer la photo est un geste de protection autant qu'un geste politique.
- L'adresse postale complète. « Lyon » ou « Nord de Paris » suffit à évaluer la faisabilité géographique. Le numéro de rue ne dit rien de vos compétences, mais beaucoup de votre quartier — et la discrimination à l'adresse est un motif prohibé depuis 2014.
- La date de naissance. Elle ne devient utile qu'au moment du contrat.
- La situation familiale. Aucun intérêt professionnel, jamais.
Ce que vous pouvez cloisonner :
- Un numéro de téléphone dédié à la recherche d'emploi. Une seconde ligne, physique ou eSIM, évite que votre numéro personnel ne finisse dans une base de données de cabinets, revendue ou recyclée en démarchage. Un téléphone mobile double SIM rend la manœuvre indolore, et vous laisse éteindre la ligne « pro » le week-end.
- Une adresse e-mail dédiée. Elle vous permet de repérer instantanément quel cabinet a partagé vos coordonnées, et de tout fermer une fois embauché.
Le PDF qui parle trop
Votre CV est probablement un PDF exporté depuis un traitement de texte. Ouvrez ses propriétés : il contient souvent le nom de l'ordinateur, le nom du compte utilisateur, le logiciel utilisé, parfois le titre d'un ancien fichier (« CV_candidature_concurrent_v3 »), et la date exacte de création.
Trois réflexes :
- Vérifiez les métadonnées avant envoi (menu « Propriétés du document » de votre lecteur PDF).
- Nommez le fichier proprement :
Prenom-Nom-CV-2026.pdf, pasCV_derniere_version_relu_maman.pdf. - Si vous transmettez des documents scannés (diplômes, attestations), masquez ce qui ne sert pas : numéro de sécurité sociale, adresse, numéro de pièce d'identité. Un scanner portable pour documents facilite ce travail bien mieux que la photo au téléphone, qui capte souvent l'arrière-plan de votre cuisine et embarque des coordonnées GPS.
Règle simple : un recruteur n'a jamais besoin d'une copie de votre pièce d'identité avant la signature du contrat. Une demande de scan de carte d'identité, de RIB ou de carte Vitale au stade de la candidature est un signal d'arnaque classique, régulièrement signalé sur la plateforme Cybermalveillance.gouv.fr.
Chercher un emploi en poste : le mode discret
C'est la situation la plus délicate. Vous cherchez, mais votre employeur actuel ne doit pas l'apprendre.
Les fuites les plus fréquentes
| Fuite | Mécanisme | Parade |
|---|---|---|
| Profil professionnel mis à jour | Notification automatique aux contacts | Désactiver la diffusion des modifications avant de modifier |
| Badge « ouvert aux opportunités » | Visible selon les réglages | Restreindre aux recruteurs, jamais « tout le monde » |
| Candidature depuis le poste de travail | Historique, journaux réseau, messagerie pro | Uniquement matériel et connexion personnels |
| Référence appelée sans accord | Recruteur pressé | Le préciser par écrit dès le premier échange |
| Absences répétées aux mêmes horaires | Observation humaine | Étaler les entretiens, privilégier la visio hors bureau |
La règle d'or : jamais de candidature depuis un outil fourni par l'employeur. Ordinateur, téléphone, messagerie, wifi d'entreprise. L'employeur a le droit de consulter les fichiers et connexions présumés professionnels, et le simple journal de connexion peut suffire à éveiller les soupçons. Si vous devez traiter vos candidatures pendant vos pauses, faites-le depuis votre propre matériel, en partage de connexion mobile. Un filtre de confidentialité pour écran évite par ailleurs le regard par-dessus l'épaule dans un open space ou un train.
La phrase à écrire dès le premier contact
« Ma recherche est confidentielle. Merci de ne contacter aucune référence ni mon employeur actuel sans mon accord écrit préalable. »
Elle coûte une ligne, et elle constitue une preuve datée si la règle n'est pas respectée.
Après le refus : faire disparaître le dossier
C'est l'étape que presque personne ne fait, et c'est la plus efficace.
Vos droits, concrètement
Le RGPD vous donne quatre leviers utilisables face à un employeur ou un cabinet :
- Droit d'accès (art. 15) : obtenir la copie de toutes les données détenues sur vous, y compris les annotations des recruteurs, les grilles d'évaluation et les résultats de tests. Beaucoup de candidats ignorent que les commentaires écrits dans le logiciel de recrutement sont communicables.
- Droit de rectification (art. 16) : corriger une information fausse.
- Droit à l'effacement (art. 17) : demander la suppression du dossier une fois la candidature close.
- Droit d'opposition (art. 21) : refuser la conservation en CVthèque.
Le responsable de traitement dispose d'un mois pour répondre, prolongeable de deux mois en cas de complexité. En l'absence de réponse, une plainte auprès de la CNIL se dépose en ligne, gratuitement, en quelques minutes.
Le modèle de message
Objet : Demande d'effacement de mes données personnelles (art. 17 RGPD)
Madame, Monsieur,
J'ai candidaté le [date] au poste de [intitulé] au sein de votre organisation. Ma candidature n'ayant pas abouti, je vous demande de procéder à l'effacement de l'ensemble des données personnelles me concernant : CV, lettre, correspondances, annotations, résultats de tests et enregistrements éventuels.
Je vous remercie de me confirmer cette suppression sous un mois, conformément à l'article 12 du RGPD.
Un envoi par courriel suffit. Conservez-en une copie.
Le rythme raisonnable
Nul besoin d'écrire à chaque entreprise le lendemain d'un refus. Une session trimestrielle de trente minutes suffit : vous reprenez la liste de vos candidatures et vous envoyez les demandes en lot. Tenir cette liste dans un carnet à spirale ou un simple tableur évite de dépendre d'une plateforme tierce pour savoir qui détient quoi sur vous.
Le cas des plateformes et des cabinets
Les grands sites d'emploi ne sont pas des recruteurs : ce sont des intermédiaires dont le modèle économique repose sur la circulation des profils. Trois précautions.
- Vérifiez la visibilité de votre CV. « Visible par tous les recruteurs » signifie souvent : visible par toute entreprise ayant souscrit un abonnement, y compris la vôtre.
- Ne remplissez pas les champs facultatifs. Situation familiale, nombre d'enfants, salaire actuel exact : ces cases sont des champs de ciblage, pas des critères d'évaluation.
- Supprimez le compte, ne le laissez pas dormir. Un profil inactif reste indexé et continue d'être aspiré par des outils de sourcing automatique.
Quant aux offres trop belles reçues par SMS ou messagerie — « poste à domicile, 2 000 € par semaine, envoyez vos coordonnées bancaires » —, elles constituent aujourd'hui l'un des vecteurs d'arnaque les plus signalés. Aucun employeur sérieux ne recrute par message non sollicité, et aucun ne demande d'argent ni de RIB avant l'embauche.
Conclusion : postuler n'est pas se soumettre
Une candidature est une proposition professionnelle, pas une déclaration sur l'honneur. Vous proposez des compétences contre une rémunération ; ni votre santé, ni votre famille, ni votre visage ne font partie de la transaction.
Le rapport de force est réel, et personne ne prétendra qu'un demandeur d'emploi en tension négocie d'égal à égal. Mais la plupart des données excédentaires ne sont pas exigées : elles sont données d'avance, par habitude, parce qu'un formulaire comportait une case. Retirer une photo, remplacer une adresse complète par une ville, utiliser une ligne téléphonique dédiée et envoyer quatre courriels d'effacement par trimestre ne coûte presque rien et ne fait perdre aucun entretien.
Ce que vous ne transmettez pas ne peut pas être conservé huit ans dans un logiciel, revendu, ou exposé lors d'une fuite de données. C'est la seule protection qui ne dépende de personne d'autre que vous.
