Recrutement et RGPD, combien de temps garder un CV ?

Au Luxembourg, aucune loi ne vous dit combien de temps garder un CV. C’est à vous de fixer la durée, de la justifier et de l’annoncer aux candidats. Une seule règle est chiffrée, et elle est pénale : l’extrait de casier judiciaire. Il doit être détruit sans délai si le candidat n’est pas engagé, et au plus tard un mois après la signature du contrat s’il l’est. Voici les durées que nous conseillons, et pourquoi.

Existe-t-il une durée légale pour garder un CV au Luxembourg ?

Non. Le RGPD (règlement général sur la protection des données) impose seulement un principe : vous ne gardez les données que le temps nécessaire au but pour lequel vous les avez collectées (article 5). Il ne donne aucun chiffre pour le recrutement, et le droit luxembourgeois non plus.

Ce principe crée trois obligations très concrètes :

• fixer une durée par écrit, pour chaque type de données, et l’inscrire dans votre registre RGPD des traitements ;
• l’annoncer au candidat dès qu’il postule, dans l’offre, l’accusé de réception ou le formulaire en ligne (article 13) ;
• l’appliquer réellement, y compris dans les boîtes mail et le logiciel de recrutement.

Méfiez-vous des durées que vous trouverez en ligne. La plupart viennent des recommandations de la CNIL, l’autorité française de protection des données. Ce sont des repères utiles, pas du droit luxembourgeois. À notre connaissance, la CNPD (Commission nationale pour la protection des données) n’a pas publié de durée de référence pour les candidatures. [À VÉRIFIER]

Extrait de casier judiciaire : quelles règles pour l’employeur ?

Vous ne pouvez demander qu’un bulletin n° 3, à condition de l’annoncer et de le justifier dans l’offre d’emploi, et vous devez le détruire très vite. Ces règles figurent à l’article 8-5 de la loi du 29 mars 2013 relative à l’organisation du casier judiciaire.

Situation	Ce que dit la loi
Avant de demander	Demande écrite, spécialement motivée par les besoins du poste, et mentionnée dans l’offre d’emploi
Candidat non engagé	Destruction sans délai
Candidat engagé	Conservation d’un mois au plus à partir de la conclusion du contrat de travail
Après ce délai	Ni l’extrait ni les informations qu’il contient ne peuvent être conservés, sous quelque forme que ce soit

Le dernier point est le piège le plus fréquent. Une copie scannée dans le dossier, une mention « casier vierge » dans le logiciel RH ou une case cochée dans un tableur sont des conservations interdites.

Les sanctions sont pénales (article 9 de la même loi). Garder l’extrait trop longtemps est puni d’une amende de 251 à 3.000 euros. Le demander sans respecter les conditions expose à un emprisonnement de 8 jours à 1 an et à une amende de 251 à 5.000 euros.

Situation typique : une entreprise de nettoyage recrute un agent qui interviendra seul dans les bureaux de ses clients. Elle peut justifier la demande, à condition de l’écrire dans l’annonce. Le recruteur consulte l’extrait, note sa décision, puis le détruit au plus tard un mois après la signature du contrat. Les mêmes règles s’appliquent au bulletin n° 4 quand un permis de conduire valable est indispensable au poste.

Combien de temps garder le CV d’un candidat non retenu ?

Gardez le dossier complet un mois après le refus, puis ne conservez pendant un an qu’un dossier réduit qui vous permet de vous défendre. Au-delà, tout est supprimé.

Moment	Ce que vous gardez	Durée
Pendant le recrutement	Tout ce qui sert à la sélection	Jusqu’à la décision
Après le refus	Le dossier complet, pour répondre au candidat qui demande des explications	1 mois
Ensuite	Un dossier réduit : l’offre, la grille de critères, la liste des candidats reçus en entretien, la décision et ses motifs	1 an après le refus, davantage en cas de réclamation ou de litige
Au-delà	Rien	Suppression

Pourquoi garder une trace ? Un candidat écarté peut reprocher une discrimination à l’embauche. Au Luxembourg, s’il présente des faits qui laissent présumer une discrimination, c’est à l’employeur de prouver que sa décision reposait sur des critères objectifs (article L.253-2 du Code du travail). Sans grille ni motifs écrits, cette preuve devient très difficile.

Pourquoi un dossier réduit ? Parce que le RGPD vous impose de ne garder que le nécessaire : les CV, lettres et copies de diplômes ne servent plus une fois la décision expliquée.

Pourquoi un an ? En France, l’action pour discrimination se prescrit par 5 ans, ce qui explique les durées longues des recommandations françaises. Le droit luxembourgeois ne prévoit pas de délai spécial aussi court, et la prescription de droit commun est beaucoup plus longue. [À VÉRIFIER] S’aligner sur elle reviendrait à garder des dossiers pendant des décennies, ce qui n’est pas défendable. Un an couvre la période où les contestations surviennent en pratique. C’est l’équilibre que nous conseillons, en prolongeant la conservation dès qu’un candidat conteste.

Peut-on garder un CV pour un futur poste ?

Oui, mais garder un CV « pour plus tard » est un nouveau traitement : il lui faut sa propre base légale, une durée annoncée et un moyen simple d’en sortir. La base légale est la justification juridique d’un traitement de données (article 6 du RGPD).

Deux options existent :

• Le consentement, que nous conseillons. Après la décision, proposez au candidat de rester dans votre vivier, par une case distincte et non précochée. Le comité européen de la protection des données (EDPB) se méfie du consentement dans la relation de travail, parce qu’un candidat peut se sentir obligé de dire oui. Posée après le refus, sans aucune conséquence en cas de réponse négative, la question laisse au candidat un vrai choix.
• L’intérêt légitime. Il est envisageable pour les candidats que vous avez reçus en entretien. Vous devez alors les informer clairement et leur permettre de s’opposer par un simple courriel, sans justification. Vous devez aussi documenter pourquoi votre intérêt l’emporte sur le leur.

Les agences d’intérim et les cabinets de recrutement sont dans une situation différente. Le candidat s’inscrit lui-même pour recevoir des offres. Le traitement peut alors reposer sur les mesures précontractuelles prises à sa demande (article 6, paragraphe 1, b), sans consentement séparé.

Pour la durée, deux ans après le dernier contact est un repère courant en Europe, issu des recommandations de la CNIL. Adaptez-la au poste et relancez le candidat avant l’échéance. Ne versez au vivier que le CV et la lettre, jamais les notes d’entretien.

Une candidature spontanée suit le même régime. Le plus simple : dans votre accusé de réception, demandez au candidat s’il accepte que vous gardiez sa candidature pour une prochaine ouverture de poste.

Et le candidat que vous engagez ?

Seules les données utiles à la relation de travail passent dans le dossier du personnel : CV, diplômes et certificats exigés pour le poste. L’extrait de casier judiciaire est détruit au plus tard un mois après la signature. Les notes d’entretien et les résultats de tests n’y entrent pas par défaut.

Le candidat peut-il voir ce que vous avez gardé ?

Oui. Tout candidat peut exercer son droit d’accès, et vous avez un mois pour répondre. L’EDPB précise que la réponse inclut le résumé de l’entretien, y compris les commentaires subjectifs du recruteur (lignes directrices 01/2022). Notre article sur la demande d’accès RGPD détaille la marche à suivre.

Le conseil pratique qui en découle : rédigez vos notes d’entretien comme si le candidat devait les lire. Un commentaire maladroit sur l’âge ou la situation familiale deviendrait une pièce à charge.

Le candidat peut aussi demander l’effacement de ses données. Vous devez l’accorder, sauf pour le dossier réduit qui vous sert à vous défendre en justice (article 17).

Liste de vérification pour votre PME

• Une règle écrite fixe les durées de conservation des candidatures, et elle figure au registre.
• Les candidats sont informés de ces durées dès qu’ils postulent.
• Le logiciel de recrutement supprime automatiquement les dossiers ; son réglage par défaut a été vérifié.
• Le contrat avec le fournisseur du logiciel prévoit la suppression des données en fin de contrat.
• Les CV reçus par courriel sont regroupés dans un seul espace, puis supprimés des boîtes individuelles.
• Une case distincte, non précochée, propose au candidat écarté de rester dans le vivier.
• À la clôture de chaque recrutement, un dossier réduit est constitué et le reste est supprimé.
• Le casier judiciaire n’est demandé que si l’offre le prévoit, et aucune trace n’en subsiste après le délai légal.

Pour faire le point sur l’ensemble de votre conformité, notre auto-diagnostic RGPD gratuit prend 5 minutes.

Questions fréquentes

Puis-je garder un CV sans l’accord du candidat ?

Oui, pendant le recrutement et le mois qui suit le refus. Ensuite, seul un dossier réduit peut être gardé un an pour vous défendre. Pour un futur poste, nous conseillons de demander son accord.

Combien de temps garder une candidature spontanée ?

Si aucun poste n’est ouvert, demandez au candidat s’il accepte que vous gardiez son dossier. S’il accepte, deux ans après le dernier contact est un repère raisonnable. S’il ne répond pas, supprimez-la.

Mon logiciel de recrutement garde les CV : qui est responsable ?

Vous. Le fournisseur du logiciel agit pour votre compte : c’est à vous de fixer la durée et de vérifier qu’elle est appliquée. Un réglage d’usine qui conserve tout indéfiniment ne vous protège pas.

Que risque une entreprise qui garde les CV trop longtemps ?

La CNPD peut prononcer une sanction, mais le risque le plus concret est ailleurs : un candidat qui exerce son droit d’accès découvre que vous gardez son dossier depuis des années, sans base légale. Pour le casier judiciaire, le risque est pénal : une amende de 251 à 3.000 euros.

Fixez vos durées avant le prochain recrutement

Une règle écrite, annoncée aux candidats et appliquée dans vos outils : c’est ce que la CNPD attend. C’est aussi ce qui vous protégera si un candidat conteste. Le casier judiciaire mérite une attention particulière, parce que l’erreur y est pénale.

Avec l’abonnement juridique d’Infuero, la mise en conformité RGPD de vos recrutements et vos questions RH du quotidien sont incluses, pour 1.210 € HT par mois (750 € HT pour les TPE). Vous posez la question, nous répondons sous 24 heures ouvrées. Et si un candidat saisit le tribunal du travail, l’équipe qui connaît vos procédures vous y défend.

Parler à un avocat

Cet article donne une information générale à la date de sa publication. Il ne remplace pas un conseil adapté à votre situation.