Culture d'entreprise

Effacer ne suffit pas : il faut répondre

Noémie Le Bouard

29 octobre, 2026

• Print Spark Article

Une entreprise qui supprimait automatiquement les données de ses candidats vient d'être sanctionnée par la CNIL. Son tort : ne pas avoir répondu à ceux qui le lui demandaient. Derrière ce paradoxe apparent, une question que la fonction RH se pose rarement : que doit-on à celles et ceux que l'on n'a pas recrutés, ou qui sont partis ?

Une sanction CNIL qui interroge la fonction RH

Le 21 juillet 2026, la formation restreinte de la CNIL a prononcé une amende de 300 000 euros contre une société de conseil en informatique et en ingénierie. La décision a été rendue publique le 9 septembre. Elle ne concerne ni une fuite de données, ni une surveillance abusive des salariés, ni un algorithme de tri des candidatures. Elle porte sur un sujet autrement plus banal : des courriels restés sans réponse.

En 2024, cette entreprise a reçu 265 demandes d'effacement de données personnelles, émanant pour l'essentiel de candidats, mais aussi d'anciens salariés. Selon la CNIL, plus des trois quarts n'ont pas été traitées, ou pas de manière satisfaisante. Douze demandes n'ont reçu aucune suite. 166 personnes n'ont jamais été informées de ce qu'il était advenu de leur demande. 27 autres l'ont été avec retard, parfois de plusieurs mois.

Rien de spectaculaire, donc. C'est précisément ce qui rend cette décision instructive pour toute direction des ressources humaines.

Supprimer les données des candidats ne dispense pas de leur répondre

Pour sa défense, la société a fait valoir un argument de bon sens : les données des candidats faisaient l'objet d'une suppression automatique. Si les données disparaissent d'elles-mêmes, où est le préjudice ?

La réponse de la formation restreinte tient en une idée. La suppression automatique ne dispense pas d'informer les personnes des suites données à leur demande. Le droit à l'effacement, prévu à l'article 17 du RGPD, ne se réduit pas à une opération technique. L'article 12 impose au responsable de traitement de répondre dans un délai d'un mois, y compris pour expliquer pourquoi il ne donnera pas suite. Ce délai peut être prolongé lorsque la complexité ou le nombre des demandes le justifie, à condition d'en avertir l'intéressé.

Autrement dit, le droit ne protège pas seulement un résultat, des données effacées. Il protège une relation : celle d'une personne qui s'adresse à une organisation et qui est en droit d'obtenir une réponse. On peut être irréprochable sur le premier point et défaillant sur le second.

Le candidat non retenu, angle mort de la relation RH

Cette affaire met en lumière une asymétrie que chacun connaît. Les entreprises investissent dans leur marque employeur, soignent le parcours du candidat tant qu'il est désirable, puis l'oublient dès qu'il est écarté. Son CV, lui, reste. Il dort dans une CVthèque, dans un logiciel de recrutement, dans la messagerie d'un manager, dans un tableur partagé.

Le candidat non retenu n'est plus un sujet de recrutement, et il n'a jamais été un sujet de gestion du personnel. Il n'appartient à personne. Quand il écrit pour demander que l'on efface ses données, sa demande arrive sur une adresse générique, chez un chargé de recrutement qui a changé de poste, ou dans une boîte que plus personne ne relève.

Il en va de même pour l'ancien salarié. La relation de travail a pris fin, parfois dans de mauvaises conditions. Sa demande est lue avec méfiance, comme le prélude d'un contentieux, et l'on préfère ne pas y répondre plutôt que de mal y répondre. C'est le pire des choix : le silence est précisément ce que le RGPD sanctionne.

Données des anciens salariés : savoir dire non, et l'expliquer

Faut-il pour autant tout effacer dès qu'on le demande ? Non, et c'est ici que le droit du travail rejoint le droit des données personnelles.

Le droit à l'effacement n'est pas absolu. Il cède notamment lorsque la conservation est nécessaire au respect d'une obligation légale, ou à la constatation, à l'exercice ou à la défense de droits en justice. Or l'employeur est tenu de conserver certains documents : le double des bulletins de paie pendant cinq ans, les mentions du registre unique du personnel pendant cinq ans à compter du départ du salarié. Il a également un intérêt légitime à garder, pendant la durée des délais de prescription, les pièces qui lui permettraient de se défendre devant le conseil de prud'hommes.

Un ancien salarié ne peut donc pas obtenir la disparition de son dossier du jour au lendemain. Mais l'employeur ne peut pas non plus se retrancher derrière une formule vague. Il doit trier : ce qui est effacé, ce qui est conservé, sur quel fondement, et jusqu'à quand. Puis il doit l'écrire à l'intéressé, dans le mois, en lui indiquant qu'il peut saisir la CNIL.

Pour les candidats, la marge est plus étroite. La CNIL recommande de ne pas conserver les données d'un candidat non retenu au-delà de deux ans après le dernier contact, et la personne peut demander leur suppression avant ce terme. Sauf litige en cours ou prévisible, on voit mal ce qui justifierait un refus.

Un refus motivé est une réponse conforme. Un silence ne l'est jamais.

Droit à l'effacement et RGPD : une affaire d'organisation RH

Ce que révèle cette sanction, c'est moins une mauvaise volonté qu'un défaut d'organisation. Personne, dans l'entreprise, n'avait pour mission de répondre. La CNIL a d'ailleurs relevé que la société avait déjà fait l'objet de deux rappels à l'ordre : le problème était connu, il n'avait pas de propriétaire.

Quelques questions simples permettent à chaque DRH de mesurer où il en est.

• Par où arrivent les demandes ? Adresse dédiée, formulaire, courrier, message à un recruteur sur un réseau social : toutes font courir le délai d'un mois.
• Qui répond ? Une personne nommément désignée, avec un suppléant, en lien avec le délégué à la protection des données lorsqu'il existe.
• Où sont les données ? Le logiciel de recrutement n'est qu'une partie de la réponse. Les messageries, les dossiers partagés et les prestataires en sont une autre.
• Que conserve-t-on, et pourquoi ? Une grille de durées de conservation, établie à l'avance, évite d'improviser à chaque demande.
• Peut-on le prouver ? Un registre des demandes, avec la date de réception et la date de réponse, est la première pièce que demandera un contrôleur.

Rien de tout cela ne suppose un investissement lourd. Il s'agit d'une procédure d'une page, de deux modèles de réponse et d'un responsable identifié.

Répondre, la première marque de considération

On aurait tort de ne voir dans cette décision qu'un rappel réglementaire de plus. Elle dit quelque chose de la manière dont une organisation traite ceux dont elle n'a plus besoin.

Une demande d'effacement est souvent le dernier message qu'un candidat ou un ancien collaborateur adressera à l'entreprise. Il n'attend plus rien d'elle, sinon qu'elle prenne acte de sa volonté. La laisser sans réponse, c'est lui signifier qu'il n'existe plus. Y répondre en quelques lignes, dans les temps, c'est clore la relation avec la même correction que celle que l'on affichait pour l'ouvrir.

Le RGPD a fixé ce délai à un mois. La considération, elle, n'a jamais eu besoin d'un règlement européen pour s'imposer. Il est dommage qu'il faille parfois une amende de 300 000 euros pour le rappeler.