Sourcing, LinkedIn et fichiers candidats : ce que la CNIL attend vraiment d'un chasseur de têtes

Le métier de chasseur de têtes repose sur une opération que le RGPD regarde avec attention : vous collectez, structurez et conservez des données personnelles de cadres qui n'ont jamais postulé chez vous et qui, le plus souvent, ignorent même que vous avez constitué une fiche à leur nom. Nom, fonction, employeur, parcours, parfois rémunération estimée, appréciations qualitatives : votre CRM candidats est un traitement de données à caractère personnel à part entière.

La question naturelle est : faut-il leur consentement ? La réponse est nuancée. Le consentement n'est pas la seule base légale possible. Le RGPD reconnaît l'intérêt légitime comme fondement d'un traitement, et l'activité de recrutement par approche directe peut s'y rattacher. Mais l'intérêt légitime n'est pas un blanc-seing : il impose une mise en balance avec les droits des personnes, une information de celles-ci, et le respect de leur droit d'opposition. Sourcer sans jamais informer, c'est s'exposer.

Cette tension est structurelle au métier : votre efficacité dépend de la richesse de votre base, mais chaque profil ajouté augmente votre surface de risque réglementaire. La CNIL a d'ailleurs déjà sanctionné des acteurs du recrutement pour des bases candidats constituées sans information ni durée de conservation maîtrisée. L'enjeu n'est donc pas de renoncer au sourcing — qui reste licite — mais de l'encadrer pour qu'il demeure défendable le jour où un candidat, un concurrent ou l'autorité de contrôle viendra demander des comptes.

Trois obligations structurantes encadrent votre base de profils.

1. L'information de la personne concernée. Lorsque vous collectez des données indirectement (sourcing sur des réseaux professionnels, recommandations), l'article 14 du RGPD vous impose d'informer la personne de l'existence du traitement, au plus tard lors du premier contact avec elle, ou dans un délai raisonnable. Concrètement : votre premier message d'approche ou votre première prise de contact doit comporter une mention sur le traitement de ses données et un lien vers votre politique de confidentialité.

2. La durée de conservation. Vous ne pouvez pas garder un profil indéfiniment. La CNIL recommande une conservation des données des candidats non retenus de l'ordre de deux ans après le dernier contact, sauf accord de la personne pour une durée plus longue. Au-delà, le profil doit être supprimé ou anonymisé.

3. Les droits des personnes. Tout candidat fiché peut exercer son droit d'accès (savoir ce que vous détenez sur lui), de rectification, d'effacement et d'opposition. Votre organisation doit pouvoir répondre à ces demandes dans un délai d'un mois.

Les cabinets s'équipent d'outils de scoring, de matching algorithmique et de tests prédictifs. C'est efficace, mais cela touche un point sensible du RGPD : l'article 22, qui encadre les décisions fondées exclusivement sur un traitement automatisé produisant des effets significatifs sur les personnes.

Si un algorithme écarte automatiquement un candidat d'un processus sans intervention humaine, vous entrez dans le champ de cette disposition. Les garde-fous attendus :

• Une intervention humaine réelle dans la décision : l'outil propose, l'humain tranche.
• La transparence sur la logique du traitement : le candidat doit pouvoir comprendre les grandes lignes des critères utilisés.
• L'absence de critères discriminatoires : un algorithme qui pénaliserait indirectement l'âge, l'origine ou le sexe expose à une double sanction, CNIL et discrimination.

L'outil d'évaluation ne vous dédouane pas : en tant que responsable de traitement, vous restez comptable de ses biais et de sa conformité.

Le risque RGPD n'est pas que théorique. Votre base de profils concentre une matière sensible et convoitée. Deux scénarios font basculer le risque en sinistre.

La violation de données. Un ransomware chiffre votre ATS, ou une fuite expose votre fichier candidats. Vous êtes alors tenu de notifier la CNIL dans les 72 heures, et, si le risque pour les personnes est élevé, d'informer chacun des candidats concernés. Au-delà du coût technique de remédiation, la notification individuelle de milliers de profils est une opération lourde et coûteuse.

La sanction administrative et l'action individuelle. La CNIL peut prononcer une amende, et les candidats lésés peuvent réclamer réparation de leur préjudice. Dans un métier confidentiel, une fuite révélant qu'un cadre est "en recherche" peut détruire sa relation avec son employeur actuel — un préjudice réel et indemnisable.

C'est tout l'objet de la garantie Cyber : prendre en charge les frais de notification, l'expertise technique, la gestion de crise et la défense face à une sanction. Si votre activité repose aussi sur un parc informatique conséquent, une couverture matériel informatique complète utilement le dispositif en cas de dommage matériel sur vos équipements.

La conformité RGPD du chasseur de têtes n'exige pas une refonte spectaculaire, mais une série de réflexes à formaliser.

1. Tenez un registre des traitements. Décrivez votre base candidats : finalité, base légale (intérêt légitime), catégories de données, durée de conservation, destinataires.
2. Intégrez l'information dès le premier contact. Votre message d'approche et vos formulaires doivent renvoyer vers une politique de confidentialité claire.
3. Automatisez la purge. Programmez la suppression ou l'anonymisation des profils inactifs au-delà de la durée de conservation retenue.
4. Sécurisez votre ATS. Chiffrement, authentification forte, sauvegardes : votre outil de sourcing est votre actif le plus exposé.
5. Préparez la gestion de crise. Sachez à l'avance qui notifier et comment, et adossez le tout à une garantie Cyber. Pour le détail des couvertures adaptées au métier, voyez notre page assurance chasseur de têtes.