Annoncée en avril, cette priorité de contrôle est désormais en cours. Les équipes RH qui n’ont pas encore engagé leur mise en conformité jouent contre la montre.
En avril 2026, la CNIL a confirmé le recrutement comme l’une de ses thématiques prioritaires de contrôle pour l’année. Trois ans après la publication de son guide recrutement, l’autorité est passée à la vérification. Les grandes entreprises et les cabinets de recrutement sont ciblés en priorité, en raison du volume de candidatures qu’ils traitent.
Au programme des contrôles, systèmes de décision automatisée, information des candidats et durées de conservation, avec en toile de fond la future mission de surveillance des outils d’IA dans le champ du travail.
Côté SIRH et ATS, l’enjeu est concret. Que ce soient les bases candidats, CVthèques, résultats de tests, scores de matching, notes d’entretien, viviers et outils d’IA embarqués dans les parcours de recrutement, chacun de ces traitements doit être documenté dans le registre RGPD, avec une base légale clairement identifiée. Les outils produisant un classement ou une recommandation automatisée sont particulièrement dans le viseur en tant que systèmes de prise de décision automatisée au sens du RGPD.
La revue s’impose sur plusieurs axes : durées de conservation à chaque étape du cycle candidat, exercice effectif des droits (accès, effacement, rectification), qualification des rôles responsable de traitement et sous-traitant vis-à-vis des éditeurs d’ATS et gestion des habilitations managers. Les contrôles sont en cours et ne pas avoir engagé cet audit est désormais un risque immédiat, pas une perspective lointaine.
