RGPD et données candidats : la conformité commence aussi dans vos exports PDF

Ce que le RGPD dit vraiment sur les CVs que vous partagez

Envoyer un CV à un client, ce n'est pas juste transmettre un document. Au sens du RGPD, c'est un transfert de données personnelles à un tiers. Et ce transfert nécessite une base légale solide.

Pour les ESN, deux bases reviennent en pratique :

• L'intérêt légitime (article 6.1.f) : vous estimez que l'envoi est nécessaire à votre activité commerciale. Mais attention : vous devez pouvoir démontrer que ce transfert était proportionné. Un audit interne ou un contrôle CNIL vous demandera de justifier chaque envoi.
• Le consentement explicite (article 6.1.a) : le candidat a donné son accord. Sauf que ce consentement doit être spécifique. Un formulaire générique "j'accepte que mes données soient utilisées à des fins commerciales" ne suffit pas. Si le candidat conteste l'envoi à un client précis, ce type de consentement s'effondre.

La nuance que beaucoup oublient

Le RGPD ne distingue pas entre "envoyer un CV par mail" et "partager un lien vers un dossier en ligne". Les deux sont des traitements de données. La différence, c'est le niveau de contrôle que vous gardez après l'envoi.

Un PDF attaché dans un mail, une fois envoyé, échappe à tout contrôle. Le client peut le transférer, le stocker, le partager en interne sans limite. Un lien vers un profil en ligne, lui, peut être désactivé, mis à jour, ou restreint à tout moment.

Ce que la CNIL attend concrètement

La CNIL ne cherche pas la perfection. Elle cherche la preuve d'une démarche. Voici ce qu'un contrôleur vérifiera en priorité :

---

La durée de conservation : le point aveugle des ESN

La règle est simple sur le papier : ne pas conserver les données plus longtemps que nécessaire à leur finalité. En pratique, c'est le chantier le plus négligé.

Les recommandations CNIL

Pour les CVs en base de sourcing, la CNIL fixe une durée maximale de deux ans après le dernier contact avec le candidat. Passé ce délai :

• Soit vous supprimez le dossier
• Soit vous recontactez le candidat pour renouveler son consentement
• Soit vous anonymisez les données (statistiques uniquement)

La réalité du terrain

Dans la plupart des ESN, des profils datant de 2019 ou 2020 coexistent dans les bases avec des candidats actifs. Personne n'a mis en place de purge automatique. Les raisons sont toujours les mêmes :

• "On pourrait en avoir besoin un jour"
• "Le commercial ne veut pas perdre sa base"
• "On n'a pas le temps de trier"

Le problème n'est pas seulement juridique. Un profil vieux de quatre ans, c'est un profil avec des compétences obsolètes, un poste qui a changé, un TJM qui n'a plus rien à voir. L'envoyer à un client, c'est perdre en crédibilité avant même de perdre en conformité.

Mettre en place une purge réaliste

Pas besoin d'un projet à six mois. Un processus simple fonctionne :

• Taguer automatiquement chaque profil avec la date du dernier contact (mail, appel, mise à jour)
• Envoyer un mail de renouvellement à J+22 mois avec un lien pour confirmer la poursuite du traitement
• Archiver ou supprimer à J+24 mois sans réponse
• Logger chaque action pour pouvoir prouver la démarche en cas de contrôle

Le gain est double : une base propre pour le commerce, et une conformité démontrable pour le juridique.

---

Le droit à l'effacement : quand un candidat dit stop

L'article 17 du RGPD donne à tout candidat le droit de demander la suppression de ses données. Ce droit s'applique y compris après que son profil a été envoyé à un ou plusieurs clients.

Le scénario classique

Un développeur senior travaille avec vous depuis deux ans en freelance. Il décide de changer de direction, rejoint un éditeur en CDI, et vous envoie un mail : "Je souhaite que l'ensemble de mes données soient supprimées de vos systèmes."

À ce moment, vous devez :

• Identifier toutes les versions de son profil dans vos systèmes (CRM, ATS, dossiers partagés, mails)
• Lister tous les clients à qui son profil a été envoyé
• Notifier chaque client de la demande d'effacement
• Supprimer effectivement les données de vos propres systèmes
• Documenter l'ensemble de la procédure
• Répondre au candidat dans un délai d'un mois maximum

Pourquoi c'est un cauchemar sans traçabilité

Si vos dossiers existent sous forme de PDFs éparpillés dans des boîtes mail, des dossiers OneDrive, des channels Slack et des fils Teams, la traçabilité est impossible en pratique.

Questions concrètes que vous devrez vous poser :

• Le profil a-t-il été envoyé en V1 au client A, puis en V3 au client B après mise à jour ?
• Le commercial a-t-il transmis le PDF à un sous-traitant sans le documenter ?
• Le client a-t-il stocké le dossier dans son propre ATS ?

Sans système centralisé de suivi des envois, répondre à ces questions relève de l'enquête archéologique.

Les exceptions au droit à l'effacement

Le droit à l'effacement n'est pas absolu. Vous pouvez refuser si :

• Les données sont nécessaires à l'exécution d'un contrat en cours
• Vous avez une obligation légale de conservation (factures, contrats signés)
• Les données sont nécessaires à la constatation ou défense de droits en justice

Mais ces exceptions sont étroites. "On pourrait en avoir besoin pour un litige hypothétique" ne tient pas. Il faut un litige réel ou raisonnablement prévisible.

---

Les fuites silencieuses : le vrai risque au quotidien

Les incidents RGPD en ESN ne viennent presque jamais d'un piratage ou d'une faille technique. Ils viennent de pratiques quotidiennes que personne ne questionne.

Les fuites les plus courantes

• L'adresse mail personnelle qui traîne dans un champ du PDF envoyé au client. Le candidat avait donné son Gmail pour le contact initial : il se retrouve exposé à un recruteur interne du client.
• Le numéro de téléphone dans les métadonnées d'un fichier Word converti en PDF. Le champ "Auteur" ou "Commentaires" du document source contient parfois des informations que personne n'a pensé à nettoyer.
• Le profil LinkedIn privé dont l'URL est copiée dans le dossier. Le candidat a un profil restreint, mais l'URL permet quand même d'accéder à certaines informations qu'il n'avait pas destinées à ce client.
• La photo d'identité incluse par défaut dans le template. Aucune obligation légale de la transmettre au client, et c'est même un risque de discrimination documenté.
• Les informations de la vie personnelle : situation familiale, nationalité, date de naissance complète. Aucune pertinence pour une mission technique, mais souvent présentes par habitude.

Le coût réel d'une fuite

Une mise en demeure de la CNIL, même sans amende, génère :

• Du temps perdu : répondre aux demandes d'information, constituer le dossier, mobiliser le DPO et la direction
• Un risque réputationnel : les mises en demeure publiques de la CNIL sont indexées par Google
• Une perte de confiance : le candidat concerné ne travaillera plus avec vous, et il en parlera
• Un effet domino : un contrôle sur un point en déclenche souvent d'autres

La checklist avant envoi

Avant chaque envoi de dossier à un client, cinq vérifications prennent moins de deux minutes :

• Pas d'adresse mail personnelle visible
• Pas de numéro de téléphone personnel
• Pas de date de naissance complète (année seule si nécessaire)
• Pas de photo sauf demande explicite et consentement du candidat
• Métadonnées du fichier nettoyées

---

Le registre des traitements : ce que vous devez documenter

L'article 30 du RGPD impose à toute organisation de plus de 250 salariés, et en pratique à toute ESN traitant des données candidats de manière régulière, de tenir un registre des traitements.

Ce que le registre doit contenir pour l'activité de staffing

Les erreurs fréquentes

• Registre théorique : un document Word rédigé une fois et jamais mis à jour. La CNIL vérifie la date de dernière modification.
• Registre incomplet : l'activité de sourcing est documentée, mais pas l'envoi de dossiers aux clients. Or c'est un traitement distinct avec ses propres destinataires.
• Pas de mention du sous-traitant : si vous utilisez un outil SaaS pour générer vos dossiers ou stocker vos profils, cet outil est un sous-traitant au sens du RGPD. Il doit figurer dans le registre.

---

Le consentement candidat : bien le recueillir, bien le gérer

Le consentement est la base légale la plus sûre pour l'envoi de profils, mais aussi la plus exigeante à maintenir.

Les critères d'un consentement valide

Le RGPD fixe quatre conditions cumulatives :

• Libre : le candidat ne doit pas subir de conséquence négative s'il refuse. "Si vous ne consentez pas, nous ne pourrons pas vous proposer de missions" est une forme de pression qui invalide le consentement.
• Spécifique : le consentement porte sur un traitement précis. "J'accepte que mon profil soit présenté au client X pour la mission Y" est spécifique. "J'accepte l'utilisation de mes données" ne l'est pas.
• Éclairé : le candidat doit savoir ce qu'il accepte. Quelles données, à qui, pour quoi, pendant combien de temps.
• Univoque : une action positive claire. Pas de case pré-cochée, pas de silence valant acceptation.

Gestion opérationnelle du consentement

En pratique, deux approches fonctionnent :

Approche par mission : vous demandez le consentement à chaque envoi. Plus lourd, mais juridiquement blindé. Adapté aux profils seniors ou aux missions sensibles.

Approche par périmètre : le candidat consent à être présenté à une catégorie de clients (ex : "ESN et clients finaux du secteur bancaire en Île-de-France") pour une durée définie. Plus souple, mais le périmètre doit rester précis.

Dans les deux cas, vous devez :

• Conserver la preuve du consentement (date, canal, contenu exact)
• Permettre le retrait à tout moment, aussi facilement que le consentement a été donné
• Ne pas conditionner la relation commerciale au consentement

---

Sous-traitance et outils SaaS : vos obligations contractuelles

Chaque outil que vous utilisez pour stocker ou traiter des données candidats est un sous-traitant au sens de l'article 28 du RGPD. CRM, ATS, outil de génération de dossiers, stockage cloud, tous sont concernés.

Ce que le contrat de sous-traitance doit prévoir

• L'objet et la durée du traitement
• La nature et la finalité du traitement
• Les catégories de données concernées
• Les obligations du sous-traitant en matière de sécurité
• Les conditions de recours à un sous-traitant ultérieur
• L'assistance en cas d'exercice des droits par un candidat
• La restitution ou suppression des données en fin de contrat

Le piège du "c'est dans le cloud"

Beaucoup d'ESN utilisent Google Drive, SharePoint ou Dropbox pour stocker et partager les dossiers candidats. Ces outils sont des sous-traitants. Et quand le serveur est aux États-Unis, c'est un transfert hors UE qui nécessite des garanties supplémentaires (clauses contractuelles types, ou vérification de l'adéquation du pays).

Depuis l'arrêt Schrems II et le Data Privacy Framework, la situation avec les hébergeurs américains s'est stabilisée, mais elle reste à documenter dans votre registre.

Betterfolio et la conformité sous-traitant

Pour les ESN qui utilisent des outils de génération de dossiers comme Betterfolio, la structure est pensée dès la conception pour limiter l'exposition : seuls les champs pertinents à la mission apparaissent dans l'export, les métadonnées sont nettoyées automatiquement, et l'historique des envois est tracé pour répondre aux demandes d'effacement.

---

Plan d'action : passer de "on verra" à conforme en 30 jours

La conformité RGPD n'est pas un projet à 18 mois. Pour une ESN de 20 à 200 consultants, les fondations se posent en un mois.

Semaine 1 : état des lieux

• Lister tous les endroits où des données candidats sont stockées (CRM, ATS, mail, Drive, outils internes)
• Identifier qui a accès à quoi
• Compter les profils de plus de 24 mois sans contact

Semaine 2 : nettoyage

• Purger les profils obsolètes (ou lancer la campagne de renouvellement de consentement)
• Nettoyer les templates de dossiers : retirer les champs non nécessaires (photo, date de naissance, adresse complète)
• Vérifier les métadonnées des exports PDF existants

Semaine 3 : processus

• Rédiger ou mettre à jour le registre des traitements
• Définir la procédure de réponse aux demandes d'effacement (qui fait quoi, dans quel délai)
• Mettre en place la checklist avant envoi de dossier

Semaine 4 : documentation et formation

• Former les commerciaux et les recruteurs aux gestes de base (pas de forward de CV par mail, pas de données inutiles)
• Documenter les procédures dans un document accessible
• Planifier une revue trimestrielle

Ce qui ne doit pas attendre

Trois actions sont prioritaires, même si le reste prend du retard :

• Arrêter d'envoyer des coordonnées personnelles dans les dossiers clients
• Mettre en place un suivi des envois (qui a reçu quel profil, quand)
• Répondre aux demandes d'effacement dans le délai légal d'un mois

---

Les sanctions : ce que risquent concrètement les ESN

Les amendes RGPD théoriques (jusqu'à 4% du CA mondial) font les gros titres. En pratique, pour une ESN, le parcours est plus progressif, mais pas indolore.

L'échelle des sanctions CNIL

Ce qui déclenche un contrôle

• Une plainte d'un candidat via le formulaire CNIL. C'est le déclencheur le plus fréquent.
• Un signalement d'un ancien salarié (commercial, recruteur) qui connaît les pratiques internes.
• Un contrôle sectoriel : la CNIL annonce chaque année ses thématiques prioritaires. Le recrutement et les RH y figurent régulièrement.
• Un incident de sécurité déclaré (fuite de données, accès non autorisé).

Le vrai coût au-delà de l'amende

Pour une ESN de taille moyenne, une procédure CNIL mobilise :

• Le DPO ou le responsable juridique pendant plusieurs semaines
• La direction pour les réponses officielles
• Les équipes techniques pour les audits et correctifs
• Un avocat spécialisé si la procédure se durcit

Le tout pendant que l'activité commerciale continue. C'est un coût d'opportunité rarement anticipé, mais systématiquement subi.

---

Les points à retenir

La conformité RGPD dans le staffing IT n'est ni un sujet purement juridique, ni un projet technique démesuré. C'est une hygiène opérationnelle qui se joue à trois niveaux :

• Les données : ne collecter et ne partager que ce qui est nécessaire à la mission
• Les processus : tracer les envois, gérer les consentements, purger les bases
• Les outils : utiliser des solutions qui intègrent la conformité par conception plutôt que de la bricoler après coup

Le RGPD n'exige pas la perfection. Il exige la preuve d'une démarche sérieuse. Pour une ESN, ça commence par nettoyer ses exports et savoir exactement qui a reçu quoi.