Demande d'accès RGPD après un refus d'embauche

Pourquoi une demande d'accès RGPD après un refus d'embauche

La plupart des refus arrivent sans explication, et une part croissante d'entre eux passe d'abord par un logiciel. En octobre 2026, l'AFP a rapporté que trois anciens salariés de Plus que pro, une start-up française, l'accusent d'avoir conçu un logiciel de recrutement dont les instructions d'IA écartaient les femmes, les candidats de plus de 55 ans ou de moins de 27 ans, et les personnes portant un nom de famille africain ; l'un d'eux affirme avoir saisi la CNIL et le Défenseur des droits. L'entreprise affirme qu'un ancien salarié a développé cette version contre ses consignes et qu'elle n'a jamais été mise en service. La même semaine, des médias turcs ont relayé le rapport d'une commission parlementaire britannique avertissant que la présélection automatisée des candidatures peut désavantager les candidats issus de minorités ethniques.

Vous ne pouvez pas voir l'intérieur du logiciel de présélection d'un employeur. Mais dans l'UE, vous pouvez demander les données qu'il a produites sur vous. C'est précisément l'objet d'une demande d'accès RGPD — aussi appelée demande d'accès de la personne concernée, ou DSAR en anglais. Elle ne vous fera pas obtenir le poste, mais elle peut vous dire ce qui a été enregistré, quels outils ont été utilisés et si une personne est intervenue, et c'est le point de départ pour faire corriger des erreurs ou contester une décision.

Ce à quoi vous avez droit

En vertu de l'article 15 du RGPD, vous pouvez demander à l'employeur — et séparément à tout cabinet de recrutement — de confirmer s'il traite vos données personnelles et, si c'est le cas, de vous communiquer :

• Une copie des données elles-mêmes. La Cour de justice de l'UE a jugé qu'il s'agit d'une reproduction fidèle et intelligible de l'ensemble de vos données, y compris des extraits de documents ou de bases de données lorsque c'est nécessaire pour les comprendre (affaire C-487/21).
• Les finalités du traitement et les catégories de données concernées.
• Les destinataires — par exemple le logiciel de suivi des candidatures, le prestataire d'évaluation ou d'entretiens vidéo, ou une autre société du groupe.
• La durée de conservation de vos données, ou les critères utilisés pour la fixer.
• La source des données, si vous ne les avez pas fournies vous-même — utile si un recruteur a trouvé votre profil ailleurs.
• L'existence d'une prise de décision automatisée et, dans ce cas, des informations utiles sur la logique sous-jacente et ses conséquences pour vous.

Dans un processus de recrutement, vos données personnelles peuvent comprendre votre CV et votre formulaire de candidature, vos scores de présélection ou de classement, vos résultats aux tests en ligne, les enregistrements et transcriptions d'entretiens IA ou vidéo, les notes et grilles d'évaluation des recruteurs vous concernant, et les e-mails internes qui discutent de votre candidature.

Refus automatisés et article 22

L'article 22 du RGPD vous donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé qui vous affecte de manière significative — et un refus peut constituer une telle décision. Lorsqu'un employeur invoque l'une des exceptions (par exemple, que la décision est nécessaire à la conclusion d'un contrat, ou votre consentement explicite), il doit tout de même vous permettre d'obtenir une intervention humaine, d'exprimer votre point de vue et de contester la décision.

Deux arrêts de la Cour de justice de l'UE rendent ce droit plus utile :

• Dans l'affaire SCHUFA (C-634/21, décembre 2023), la Cour a jugé qu'un score généré automatiquement constitue une décision automatisée lorsque l'entreprise qui le reçoit s'appuie fortement sur lui pour décider. Un recruteur qui, en pratique, écarte tous les candidats en dessous d'un certain score IA pourrait se trouver dans une situation comparable.
• Dans l'affaire Dun & Bradstreet Austria (C-203/22, février 2025), la Cour a jugé que les « informations utiles concernant la logique sous-jacente » désignent une explication concise et intelligible de la procédure et des principes effectivement appliqués à vos données — et non une formule complexe. Si l'entreprise invoque le secret des affaires, elle doit communiquer ces informations à l'autorité de protection des données ou au juge, qui décide de ce qui peut vous être transmis.

Le règlement européen sur l'IA ajoute un droit à une explication claire du rôle de l'IA dans les décisions fondées sur des systèmes à haut risque, dont font partie les outils de recrutement (article 86) — mais uniquement lorsque le droit de l'UE ne prévoit pas déjà un tel droit, de sorte que le RGPD reste votre principal outil. Les obligations du règlement applicables aux outils de recrutement à haut risque s'appliquent à partir du 2 décembre 2027, en vertu de l'omnibus sur l'IA.

Comment envoyer la demande

Aucun formulaire n'est imposé. Un e-mail suffit, et la politique de confidentialité de l'entreprise indique généralement un contact ou un délégué à la protection des données. Une demande courte suffit :

« Objet : Demande d'accès à mes données (article 15 RGPD). J'ai postulé au poste de [intitulé du poste, référence] le [date]. En application de l'article 15 du RGPD, je vous prie de me confirmer si vous traitez des données personnelles me concernant et de m'adresser une copie de toutes les données personnelles relatives à ma candidature, y compris les scores ou classements de présélection, les résultats de tests et d'évaluations, les enregistrements, transcriptions et notes d'entretien. Je vous prie également de m'indiquer les finalités du traitement, les destinataires (y compris les fournisseurs de logiciels), la durée de conservation et, si une prise de décision automatisée a été utilisée, des informations utiles sur la logique sous-jacente. Merci de me répondre dans un délai d'un mois, conformément à l'article 12(3). [Nom, adresse e-mail utilisée pour postuler] »

• Envoyez-la depuis l'adresse e-mail utilisée pour postuler : cela facilite votre identification. L'entreprise ne peut demander des informations supplémentaires que si elle a des doutes raisonnables sur votre identité.
• Gardez une copie et notez la date : le délai d'un mois court à partir de la réception de votre demande par l'entreprise.
• Si vous avez postulé via un cabinet de recrutement ou une plateforme d'emploi, envoyez une demande distincte à chacun — chacun est responsable de ses propres données.

Ce que vous recevrez — et ce qui peut être retenu

• Délai : une réponse dans les meilleurs délais et au plus tard dans un délai d'un mois. L'entreprise peut prolonger ce délai de deux mois pour des demandes complexes ou nombreuses, mais doit vous en informer au cours du premier mois et en expliquer les raisons.
• Coût : la première copie est gratuite. La Cour de justice a confirmé que vous n'avez pas à motiver votre demande (C-307/22). Des frais raisonnables ne sont possibles que pour des copies supplémentaires.
• Droits des tiers : la copie ne doit pas porter atteinte aux droits d'autrui ; les données des autres candidats sont donc retirées et certains éléments, comme des passages de commentaires internes de collègues, peuvent être masqués. Ce masquage doit être ciblé, et non servir de prétexte pour tout refuser.
• Abus : une entreprise ne peut refuser ou facturer que les demandes manifestement infondées ou excessives, par exemple répétitives — et doit pouvoir le démontrer.
• Exceptions nationales : les pays de l'UE peuvent restreindre l'accès dans certains cas précis, de sorte que les détails varient légèrement d'un pays à l'autre.

Une fois vos données obtenues, vous pouvez demander la correction des erreurs, demander leur effacement lorsqu'elles ne sont plus nécessaires, ou vous opposer à la conservation de votre CV pour de futurs postes.

Sans réponse : plaintes et suites à donner

Si une entreprise refuse, elle doit vous en indiquer les raisons dans un délai d'un mois et vous informer de votre droit de porter plainte. Si elle vous ignore ou répond de façon incomplète, envoyez une relance, puis portez plainte auprès de l'autorité de protection des données de votre pays — la CNIL en France, par exemple — ou du pays où l'employeur est établi. Le Comité européen de la protection des données (CEPD) recense toutes les autorités nationales, et les plaintes sont gratuites.

Si les données laissent penser à une discrimination — par exemple des filtres fondés sur l'âge, le sexe ou l'origine — vous pouvez aussi contacter l'organisme national chargé de l'égalité de traitement, et dans de nombreux pays un avocat en droit du travail ou un syndicat peut vous conseiller. Au Royaume-Uni, le même droit d'accès s'applique en vertu du UK GDPR, et les plaintes sont adressées à l'ICO.