Combien de temps conserver les CV des candidats ?

L’essentiel. Les CV et données des candidats non retenus se conservent deux ans à compter du dernier contact avec le candidat, conformément au référentiel CNIL relatif au recrutement. Au-delà, la conservation dans une candidathèque n’est possible que si le candidat y a consenti. Passé le délai, les données doivent être supprimées ou anonymisées.

Chaque recrutement génère des dizaines, parfois des centaines de CV, lettres de motivation et comptes-rendus d’entretien. Que faire de ces données une fois le poste pourvu ? Les garder « au cas où » ? Les effacer immédiatement ? La réponse RGPD est précise, et elle s’articule autour d’un principe simple : les données ne se conservent que le temps nécessaire à la finalité pour laquelle elles ont été collectées (art. 5(1)(e)). Cet article vous donne la durée exacte et la procédure.

Pour une vue d’ensemble de toutes vos durées, consultez notre tableau des durées de conservation des données.

Le principe : deux ans après le dernier contact

La CNIL a publié un référentiel relatif à la gestion des ressources humaines (adopté par délibération) qui fixe les durées de conservation applicables au recrutement. La règle de référence pour un candidat non retenu :

Les données du candidat sont conservées deux ans à compter du dernier contact avec lui (par exemple, la date de l’entretien ou de la réponse de refus).

Cette durée de deux ans se justifie par un intérêt légitime de l’employeur : pouvoir recontacter un candidat intéressant si un poste similaire se libère, et pouvoir se défendre en cas de contentieux (notamment une allégation de discrimination à l’embauche). Au-delà de deux ans, cet intérêt s’estompe et la conservation devient injustifiée.

Le point de départ est le dernier contact, pas la date de réception du CV. Un échange, une relance, un entretien reporte le point de départ du délai.

Quelle base légale pour conserver un CV ?

Avant même la question de la durée se pose celle de la base légale. Pour la phase de recrutement elle-même (examen des candidatures, entretiens), l’employeur s’appuie généralement sur l’exécution de mesures précontractuelles ou sur son intérêt légitime à pourvoir un poste. Ces bases légales couvrent la collecte et le traitement des CV pendant tout le processus de sélection.

En revanche, dès que vous quittez le cadre du recrutement en cours pour entrer dans une logique de conservation prolongée (vivier de talents, candidathèque), l’intérêt légitime ne suffit plus : c’est le consentement du candidat qui devient la base pertinente. Cette bascule de base légale explique pourquoi la durée de deux ans marque une frontière : au-delà, il faut un fondement nouveau et explicite. Bien identifier sa base légale à chaque étape évite de mélanger les régimes et de se retrouver sans justification valable.

Chaque base légale doit être documentée dans le registre, avec la finalité correspondante. C’est une exigence d’accountability : en cas de contrôle, la CNIL vérifie que vous savez sur quel fondement repose chaque conservation.

Le candidat retenu : bascule vers le dossier du personnel

Attention à ne pas confondre deux régimes. Le référentiel « recrutement » ne concerne que les candidats non retenus. Dès qu’un candidat est embauché, ses données de candidature (CV, entretien) intègrent son dossier du personnel et suivent alors les durées applicables à la relation de travail, distinctes et généralement plus longues.

Situation	Durée de conservation	Point de départ
Candidat non retenu	2 ans	Dernier contact
Candidat non retenu, avec consentement	Durée du consentement (candidathèque)	Recueil du consentement
Candidat retenu (embauché)	Régime du dossier du personnel	Fin de la relation de travail
Candidature spontanée non suivie	2 ans	Réception (= dernier contact)

Conserver plus longtemps : le consentement pour la candidathèque

Vous souhaitez constituer un vivier de talents (une candidathèque ou CVthèque) et conserver certains profils au-delà de deux ans ? C’est possible, mais uniquement sur la base du consentement du candidat.

Concrètement, vous devez :

1. Informer le candidat que vous souhaitez conserver son profil pour de futures opportunités ;
2. Recueillir son consentement explicite, spécifique et distinct (voir notre guide du consentement RGPD) ;
3. Pouvoir prouver ce consentement (horodatage, texte présenté — voir comment prouver le consentement) ;
4. Fixer une durée raisonnable et la respecter (par exemple deux ans supplémentaires, renouvelables) ;
5. Permettre le retrait du consentement à tout moment, aussi simplement qu’il a été donné.

Sans ce consentement, maintenir un profil dans une candidathèque au-delà du délai standard constitue un manquement au principe de limitation de la conservation.

Les données sensibles dans les candidatures

Un point de vigilance : ne collectez, dans le cadre du recrutement, que les données pertinentes pour évaluer la capacité du candidat à occuper le poste (principe de minimisation). Sont notamment prohibées ou à proscrire : l’état de santé, l’origine, les opinions politiques, l’appartenance syndicale, l’orientation sexuelle. Ces données sensibles relèvent de l’article 9 RGPD et n’ont pas leur place dans un dossier de candidature. Si un candidat les mentionne spontanément sur son CV, ne les indexez pas et ne les traitez pas comme critères de sélection.

La procédure d’effacement

Passé le délai, l’effacement doit être effectif et documenté. Ne vous contentez pas de « ne plus regarder » les CV : ils restent des données actives tant qu’ils sont accessibles. Mettez en place :

• Une purge automatisée de votre ATS (logiciel de recrutement) ou de votre boîte e-mail dédiée aux candidatures, à échéance de deux ans après le dernier contact ;
• La suppression des copies : pièces jointes e-mail, exports Excel, CV imprimés, dossiers partagés ;
• L’anonymisation comme alternative si vous souhaitez conserver des statistiques de recrutement (nombre de candidatures par poste, etc.) sans données identifiantes ;
• La traçabilité : consignez la politique de purge dans votre registre des activités de traitement.

L’anonymisation, contrairement à la simple pseudonymisation, fait sortir les données du champ du RGPD — mais elle doit être irréversible pour être valable.

Les droits du candidat sur ses données

Un candidat, même non retenu, conserve l’intégralité de ses droits pendant toute la durée de conservation. Il peut notamment :

• exercer son droit d’accès pour savoir quelles données vous détenez sur lui et pendant combien de temps ;
• demander la rectification d’informations inexactes ;
• demander l’effacement de son CV avant l’échéance des deux ans, sauf si vous justifiez d’un motif de conservation (contentieux en cours, par exemple) ;
• s’opposer au traitement fondé sur l’intérêt légitime ;
• retirer son consentement à tout moment s’il figure dans votre candidathèque.

Vous devez pouvoir répondre à ces demandes dans un délai d’un mois. Une adresse de contact dédiée (par exemple celle du service RH ou du DPO) doit être indiquée dès la collecte du CV. En pratique, une politique de purge automatique bien paramétrée réduit fortement le volume de demandes d’effacement, puisque les données disparaissent d’elles-mêmes à échéance.

Recrutement automatisé et outils de tri des CV

De plus en plus d’employeurs utilisent des logiciels de tri automatisé ou des outils d’intelligence artificielle pour présélectionner les candidatures. Ces dispositifs soulèvent des enjeux supplémentaires : transparence sur la logique de tri, absence de décision entièrement automatisée produisant des effets significatifs sans intervention humaine (art. 22 RGPD), et vigilance sur les biais discriminatoires.

Si votre outil de recrutement procède à un profilage ou à une évaluation automatisée des candidats, une analyse d’impact peut devenir nécessaire. Ces traitements ne modifient pas la durée de conservation de deux ans, mais ils ajoutent des obligations d’information et de gouvernance à ne pas négliger.

Cas pratiques

Cas 1 — Poste pourvu, 40 CV reçus. Le candidat retenu : ses données rejoignent le dossier du personnel. Les 39 autres : conservation deux ans après le dernier contact (souvent l’e-mail de refus), puis suppression automatique.

Cas 2 — Candidature spontanée sans poste ouvert. Vous recevez un CV spontané intéressant. Vous pouvez le conserver deux ans à compter de sa réception. Pour le garder au-delà, demandez au candidat son accord pour l’intégrer à votre vivier.

Cas 3 — Cabinet de recrutement / intérim. Le régime peut différer : le cabinet agit souvent comme responsable de traitement pour son propre vivier, avec information et, selon les cas, consentement des candidats. La finalité (mise en relation récurrente) peut justifier une conservation plus longue, mais toujours encadrée et proportionnée.

Erreurs fréquentes

• Conserver « pour toujours » les CV dans une boîte e-mail. Une boîte recrutement@ non purgée est un stock illicite de données après deux ans.
• Faire partir le délai de la réception du CV alors qu’il y a eu des échanges ultérieurs. Le point de départ est le dernier contact.
• Constituer une candidathèque sans consentement. Le vivier est légitime, mais au-delà du délai standard il exige l’accord du candidat.
• Oublier les copies. L’effacement doit couvrir toutes les instances : ATS, e-mails, tableurs, impressions.
• Traiter des données sensibles mentionnées sur le CV. Neutralisez-les, ne les exploitez jamais comme critère.
• Ne pas informer les candidats. Chaque candidat doit être informé de la durée de conservation et de ses droits, dès la collecte.

En résumé

La règle est claire : deux ans après le dernier contact pour un candidat non retenu, selon le référentiel CNIL recrutement. Au-delà, il faut le consentement du candidat pour l’intégrer à une candidathèque. Mettez en place une purge automatique, effacez toutes les copies, et documentez le tout dans votre registre. C’est autant une question de conformité que de sécurité : moins de données stockées, c’est moins de risque en cas de violation.

Pour maîtriser toutes vos durées de conservation et vos obligations RH, abonnez-vous à notre newsletter — une analyse hebdomadaire signée d’un docteur en droit.

Une plateforme comme Legiscope permet de rattacher à chaque traitement du registre sa durée de conservation et de déclencher des rappels de purge, ce qui évite l’oubli des CV dormants.

FAQ

Peut-on conserver un CV plus de deux ans ?

Oui, mais uniquement avec le consentement explicite du candidat, pour l’intégrer à une candidathèque. Sans ce consentement, la conservation au-delà de deux ans après le dernier contact n’est pas justifiée.

Le délai de deux ans court à partir de quand exactement ?

À partir du dernier contact avec le candidat : entretien, e-mail de refus, dernière relance. Ce n’est pas la date de réception du CV si des échanges ont eu lieu ensuite.

Que faire des CV reçus par candidature spontanée ?

Même règle : deux ans à compter de la réception (qui constitue le dernier contact s’il n’y a pas eu d’échange). Pour les conserver plus longtemps, sollicitez le consentement du candidat.

Faut-il informer les candidats de la durée de conservation ?

Oui. Dès la collecte du CV, vous devez informer le candidat de la finalité, de la durée de conservation, de la base légale et de ses droits (art. 13 RGPD), généralement via une notice de confidentialité recrutement.

Anonymiser suffit-il à la place de supprimer ?

Oui, si l’anonymisation est irréversible : les données anonymisées sortent du champ du RGPD. C’est utile pour garder des statistiques de recrutement sans conserver de données identifiantes. Une simple pseudonymisation ne suffit pas.

Les données du candidat embauché suivent-elles la même règle ?

Non. Dès l’embauche, les données de candidature intègrent le dossier du personnel et suivent les durées de la relation de travail, distinctes et généralement plus longues. Le référentiel recrutement ne vise que les candidats non retenus.