RGPD en Recrutement : Données Candidats, Opt-in et Conformité Messagerie

Envoyer des messages WhatsApp à des candidats sans base légale valide expose à des amendes CNIL de 4 % du CA. Guide complet : 3 bases légales, règle des 6 mois, opt-in conforme et checklist 10 points.

TL;DR

Envoyer des messages WhatsApp à des candidats sans base légale valide n'est pas une question de «peut-être» — c'est une infraction au RGPD exposant à des amendes CNIL pouvant atteindre 4 % du chiffre d'affaires annuel. Ce guide couvre les 3 bases légales applicables au recrutement, comment concevoir un opt-in conforme pour votre vivier de talents, la règle des 6 mois pour la conservation des données, et la checklist complète en 10 points pour un messaging de recrutement conforme. Retour au guide : Guide Messagerie Recrutement 2026.

Les 3 bases légales pour le messaging de recrutement

Le RGPD (Règlement Général sur la Protection des Données) exige une base légale valide pour tout traitement de données personnelles — y compris l'envoi de messages à des candidats. Dans le contexte du recrutement, trois bases légales sont pertinentes :

1. Mesures précontractuelles — Art. 6(1)(b) RGPD

C'est la base légale la plus solide pour les communications directement liées au processus de recrutement en cours. Elle couvre :

L'accusé de réception de candidature
Les convocations à entretien
Les rappels d'entretien
Les mises à jour de statut de candidature
Les demandes de documents supplémentaires

Condition : le candidat a initié la relation en posturant. Le traitement doit être nécessaire pour donner suite à sa candidature. Pas besoin de consentement séparé pour ces communications.

2. Intérêt légitime — Art. 6(1)(f) RGPD

Applicable aux communications qui servent un intérêt légitime de l'employeur sans primer sur les droits et libertés du candidat. Exemples valides :

Rappels d'entretien (le candidat a accepté le rendez-vous)
Sourcing actif de candidats passifs (sous conditions strictes)
Réactivation du vivier dans les 6 mois après la candidature initiale

Test en 3 étapes : (1) L'intérêt est-il légitime ? (2) Le traitement est-il nécessaire pour cet intérêt ? (3) L'intérêt prime-t-il sur les droits du candidat ? Si oui aux 3 : base légale valide.

3. Consentement — Art. 6(1)(a) RGPD

Requis pour les communications au-delà du processus de recrutement immédiat — notamment pour intégrer un candidat dans votre vivier de talents pour des contacts futurs. Caractéristiques d'un consentement valide :

Libre : pas de condition à l'emploi ou à la poursuite du processus
Spécifique : pour quel type de communication et sur quel canal
Éclairé : durée de conservation, droit de retrait
Univoque : case à cocher active, pas pré-cochée

Situation	Base légale applicable	Consentement requis ?
Accusé de réception de candidature	Art. 6(1)(b) — Mesures précontractuelles	Non
Convocation + rappel d'entretien	Art. 6(1)(b) — Mesures précontractuelles	Non
Mise à jour de statut de candidature	Art. 6(1)(b) — Mesures précontractuelles	Non
Sourcing actif (contact non sollicité)	Art. 6(1)(f) — Intérêt légitime (évaluer)	Recommandé
Intégration dans le vivier de talents	Art. 6(1)(a) — Consentement	Oui — obligatoire
Newsletter RH / alertes emploi	Art. 6(1)(a) — Consentement	Oui — obligatoire

Concevoir un opt-in conforme au RGPD

Un opt-in conforme n'est pas une case pré-cochée dans un formulaire. C'est une démarche active du candidat, accompagnée d'une information claire sur ce à quoi il consent.

Opt-in au moment de la candidature

Ajoutez une case à cocher distincte (non pré-cochée) dans le formulaire de candidature :

«J'accepte que [Nom de l'entreprise] me contacte par WhatsApp au numéro fourni pour des offres d'emploi correspondant à mon profil, pour une durée de 12 mois. Je peux retirer ce consentement à tout moment en répondant STOP.»

Opt-in au moment du refus

Le moment le plus efficace : dans l'e-mail de refus, proposez explicitement l'intégration au vivier :

«Nous n'avons pas de poste correspondant à votre profil en ce moment. Si vous souhaitez rejoindre notre vivier de talents et être informé(e) en priorité des prochaines opportunités pertinentes, cliquez ici : [Lien d'opt-in].»

Double opt-in pour le vivier de talents

Pour les viviers de talents actifs, le double opt-in (confirmation par e-mail ou SMS après la première inscription) est recommandé car il :

Prouve le consentement avec horodatage
Évite les fausses inscriptions
Améliore la qualité des données (contacts joignables)
Facilite la démonstration de conformité en cas de contrôle CNIL

Conservation des données : la règle des 6 mois

La CNIL a établi des recommandations précises sur la durée de conservation des données de candidature :

Type de donnée	Durée de conservation maximale	Base
Données de candidature non retenue	2 ans après le dernier contact	Recommandation CNIL
Données vivier de talents (avec consentement)	Durée du consentement (max 2 ans)	Art. 6(1)(a) RGPD
Historique de conversations de recrutement	6 mois après la fin du processus	Bonne pratique RGPD
Données candidat embauché → dossier salarié	Durée du contrat + obligations légales	Code du travail

La règle pratique des 6 mois : Si aucun contact n'a eu lieu avec un candidat depuis 6 mois et qu'il n'a pas répondu à une tentative de réactivation, supprimez ses données du vivier actif. Documentez cette suppression dans votre registre des activités de traitement.

Dans SendSeven, vous pouvez configurer des règles d'archivage automatique : les contacts sans activité depuis X mois reçoivent automatiquement un message de confirmation de consentement. Sans réponse sous 14 jours, ils sont archivés et leurs données personnalisées supprimées.

Égalité de traitement et non-discrimination

Le droit français de la non-discrimination (loi du 27 mai 2008, articles L1132-1 et suivants du Code du travail) s'applique à l'ensemble du processus de recrutement — y compris aux messages automatisés.

Points de vigilance spécifiques pour le messaging automatisé :

Segmentation interdite : ne pas créer des segments basés sur l'âge, l'origine, le sexe, la situation de famille ou tout autre critère protégé pour cibler différemment les communications
Templates neutres : utiliser des formulations non genrées dans les modèles de messages («Madame, Monsieur» ou le prénom uniquement)
Traçabilité des décisions : conserver les logs des décisions de tri automatisé pour pouvoir justifier les décisions en cas de contestation
Audit régulier : vérifier que les règles de segmentation et de déclenchement automatique ne créent pas de discrimination indirecte

Pour le sourcing via WhatsApp : les messages doivent être basés exclusivement sur des critères professionnels (compétences, expérience, localisation) et non sur des données démographiques.

Données ATS et obligations de registre

Lorsque vous connectez votre ATS (Greenhouse, Recruitee, Workday, Lever) à SendSeven pour des workflows automatisés, vous créez un flux de données entre deux systèmes de traitement. Obligations :

Registre des activités de traitement (Art. 30 RGPD) : documenter le traitement «Messaging de recrutement» avec finalités, catégories de données, destinataires et durées de conservation
Analyse d'impact (DPIA) : si le traitement implique des décisions automatisées ou porte sur des données sensibles, une DPIA peut être requise
Politique de confidentialité : mentionner l'utilisation de la messagerie directe (WhatsApp, SMS) dans la politique de confidentialité RH avec la base légale applicable
Droits des candidats : mettre en place un processus pour répondre aux demandes d'accès, rectification et suppression dans les délais RGPD (30 jours)

Accord de Traitement des Données (ATD) avec votre prestataire

SendSeven agit en tant que sous-traitant au sens du RGPD (Art. 28). Un Accord de Traitement des Données (ATD) — également appelé DPA (Data Processing Agreement) — est obligatoire avant toute mise en production.

Éléments clés que doit couvrir l'ATD :

Objet et durée du traitement
Nature et finalité du traitement
Type de données personnelles et catégories de personnes concernées
Obligations et droits du responsable de traitement
Sous-traitants ultérieurs (opérateurs cloud, Meta pour WhatsApp)
Localisation des données (UE/EEE de préférence, clauses contractuelles types si hors UE)
Mesures de sécurité techniques et organisationnelles
Procédure de notification en cas de violation de données

Checklist 10 points : messaging de recrutement conforme

✅ 1. Base légale documentée pour chaque type de message

Chaque catégorie de message (accusé de réception, rappel, vivier) a une base légale identifiée et documentée dans le registre des activités de traitement.

✅ 2. Opt-in actif et spécifique pour le vivier de talents

Case à cocher non pré-cochée, texte clair sur la finalité et le canal, option de retrait explicite. Horodatage de l'opt-in conservé.

✅ 3. Double opt-in pour les campagnes de vivier actives

Confirmation par e-mail ou SMS après inscription. Lien de confirmation valide 72 h. Sans confirmation : contact non activé.

✅ 4. Règle des 6 mois implémentée

Archive ou supprime automatiquement les contacts sans activité depuis 6 mois. Envoie un message de re-consentement avant suppression.

✅ 5. Accord de Traitement des Données signé

ATD signé avec SendSeven avant mise en production. Vérification des sous-traitants ultérieurs (Meta, opérateurs cloud).

✅ 6. Mention dans la politique de confidentialité RH

La politique de confidentialité candidat mentionne l'utilisation de la messagerie directe, les bases légales et les droits des candidats.

✅ 7. Modèles WhatsApp Business API approuvés

Utilisation uniquement de modèles approuvés par Meta pour les messages de recrutement sortants. Les messages hors modèle uniquement en réponse à une conversation ouverte.

✅ 8. Processus de traitement des droits des candidats

Procédure documentée pour les demandes d'accès, rectification et suppression. Délai de réponse : 30 jours maximum (Art. 12 RGPD).

✅ 9. Segmentation basée uniquement sur des critères professionnels

Les règles de segmentation pour les campagnes de messaging ne comprennent aucun critère protégé (âge, sexe, origine, situation de famille).

✅ 10. Registre des activités de traitement mis à jour

Le traitement «Messaging de recrutement» est documenté dans le registre avec finalités, bases légales, catégories de données et durées de conservation.

Conclusion

La conformité RGPD pour le messaging de recrutement n'est pas un frein à l'efficacité — c'est une infrastructure qui la rend durable. Les équipes qui mettent en place les bonnes bases légales, un opt-in conforme et des règles de conservation automatiques peuvent utiliser WhatsApp, SMS et les autres canaux en toute confiance — sans risque d'amende CNIL et avec une meilleure expérience candidat. La transparence sur l'utilisation des données est également un signal positif pour l'employer brand.

Autres articles de la série :

FAQ

Puis-je envoyer des messages WhatsApp à des candidats sans leur consentement explicite ?

Pour les messages directement liés au processus de recrutement en cours (convocations, rappels, mises à jour de statut), oui — sur la base des mesures précontractuelles (Art. 6(1)(b) RGPD). Pour intégrer un candidat dans votre vivier ou lui envoyer des alertes emploi futures, un consentement explicite est obligatoire.

Combien de temps puis-je conserver les données d'un candidat non retenu ?

La CNIL recommande une durée de conservation de 2 ans après le dernier contact pour les candidatures non retenues, à condition d'en informer le candidat. Pour le vivier de talents actif avec consentement, la durée est celle indiquée dans l'opt-in (généralement 12 à 24 mois).

Qu'est-ce qu'un ATD et est-il obligatoire avec SendSeven ?

Un Accord de Traitement des Données (ATD) est un contrat imposé par l'Art. 28 RGPD entre le responsable de traitement (vous) et le sous-traitant (SendSeven). Il est obligatoire avant toute utilisation en production. SendSeven propose un ATD standard conforme RGPD.

Les rappels d'entretien WhatsApp nécessitent-ils un consentement RGPD séparé ?

Non, si le candidat a lui-même fourni son numéro de téléphone lors de la candidature. Les rappels d'entretien relèvent des mesures précontractuelles (Art. 6(1)(b)) ou de l'intérêt légitime (Art. 6(1)(f)). Le candidat doit avoir une option d'annulation facile (répondre NON).

Comment prouver la conformité RGPD en cas de contrôle CNIL ?

Conservez : (1) les logs d'opt-in horodatés pour le vivier de talents, (2) le registre des activités de traitement mis à jour, (3) l'ATD signé avec SendSeven, (4) la politique de confidentialité candidat avec mention du messaging direct, (5) les preuves des suppressions automatiques après la durée de conservation.