IA et règles
RGPD et décision automatisée : que dit l’article 22 pour un recrutement ?
Pour qui : Votre outil pré-classe ou écarte des candidatures. Vous devez savoir, dès aujourd’hui, si vos rejets relèvent d’une décision exclusivement automatisée.
L’article 22 du RGPD donne à une personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, produisant des effets juridiques ou un effet significatif similaire. Trois exceptions existent : nécessité à un contrat, autorisation légale avec garanties, consentement explicite. Ce texte est applicable, et il ne dépend pas du calendrier du règlement sur l’IA.
Pour la CNIL, écarter un candidat du recrutement par une telle décision l’affecte en général de manière importante. En recrutement, elle lit les exceptions de façon très étroite. Le consentement ne convient que très rarement, parce qu’il n’est pas libre si un refus peut peser sur la candidature. Elle n’identifie pas, à la date de son guide, de loi française autorisant ce recours. Reste la nécessité à la conclusion du contrat, que la CNIL lie, en reprenant le Comité européen de la protection des données (CEPD), à un nombre de candidatures « exceptionnellement élevé ».
Notre avis
Pas de rejet produisant des effets sur le seul traitement automatisé, sauf exceptions, que la CNIL lit très strictement en recrutement. La vraie question est de savoir qui rejette dans votre pratique.
Pourquoi
- Le consentement ne justifie que très rarement une telle décision, selon le guide.
- La nécessité au contrat suppose un nombre de candidatures « exceptionnellement élevé ».
- Un classement non consulté produit le même effet qu’un rejet.
Ce qui change le choix
Si une personne examine vraiment chaque candidature écartée, et peut en expliquer le motif, l’article 22 ne se lit plus ainsi. Si votre volume est exceptionnel et que vous voulez ce tri, lisez l’exemple de bonne pratique et prenez conseil.
L’ordre à suivre
- Rejet automatique d’une candidature sur un poste ouvert : à éviter, sauf cas exceptionnel analysé.
- Classement où les non-lus sont de fait écartés : traitez-le comme un rejet automatisé.
- Notation par un recruteur dans l’outil : a priori hors du tout automatisé.
Qui rejette, dans les exemples de la CNIL ?
Ces cas viennent de la fiche 13 du guide. Ils se lisent selon ce qui se passe en pratique, et la CNIL écrit « a priori » ou « dans certains cas ».
| Situation | Lecture de la CNIL | Votre vérification |
|---|---|---|
| Le recruteur ne consulte que les mieux classés, les autres ne sont pas regardés | Exclusion de fait, due au seul logiciel : décision entièrement automatisée, dans certains cas | Combien de dossiers écartés ont été ouverts ? |
| Candidature spontanée rejetée car le type de poste n’est pas à pourvoir | A priori sans effet significatif | Le poste demandé est-il vraiment fermé ? |
| Le recruteur note et commente lui-même dans l’outil | A priori pas une décision entièrement automatisée | La note vient-elle bien de la personne ? |
| Dix candidatures, le mieux classé embauché, sans comparaison ni connaissance du logiciel | Mauvaise pratique | Sauriez-vous expliquer le classement ? |
| Plusieurs centaines de candidatures par formulaire, information préalable, droit à une intervention humaine, deux dates annoncées | Bonne pratique | Ces dates précèdent-elles la fin du recrutement ? |
Si la décision est bien automatisée
Le candidat a des droits renforcés, selon la fiche 13 et les articles 13 à 15 et 22. Il doit savoir qu’une telle décision existe, connaître sa logique sous-jacente, son importance et ses conséquences. Il peut demander qu’une personne intervienne, donner son point de vue et contester. La CNIL ajoute un point de calendrier : le recruteur annonce deux dates, celle à laquelle la candidature sera considérée comme rejetée et la limite pour demander l’intervention humaine, avant la fin du recrutement.
La CNIL recommande aussi de mener une analyse d’impact, ou AIPD, et d’associer le DPO. En cas de doute, elle conseille de ne pas recourir à ces outils.
« Interdit depuis 2018 » : une formule d’éditeur à nuancer
JobAffinity écrit qu’aucun candidat n’est écarté par un algorithme et que « c’est interdit depuis 2018 (RGPD Article 22) ». Ce choix de conception peut vous convenir, et cet éditeur annonce que tous les candidats restent visibles. La formule juridique est trop courte : le texte lu prévoit des exceptions, même rares. À l’inverse, un outil où rien n’est écarté formellement peut produire une exclusion de fait si vos recruteurs ne lisent que le haut de la liste. La question reste la vôtre, avec tout outil.
Limites de cette page
Le RGPD est lu dans la reproduction de la CNIL, EUR-Lex n’ayant renvoyé aucun texte. La fiche 13 date de 2023 : la phrase sur l’absence de loi française porte sur sa date, et nous n’avons pas lu Légifrance pour la vérifier à nouveau. Nous n’avons pas recherché si un autre volet de simplification européen touche l’article 22 : à vérifier sur le site du Parlement européen avant de présenter ce texte comme stable. Cette page n’est pas une analyse de votre cas.
Prochaine action
Prenez votre dernier recrutement avec tri ou classement. Listez les candidatures écartées et notez qui a vu chaque dossier. S’il y en a qu’aucune personne n’a ouvertes, changez votre pratique ou prenez conseil, sauf cas de la candidature hors poste. Écrivez cette vérification au registre des traitements.
Preuves et sources
Lu le 5 novembre 2026 : article 22 et articles 13 à 15 du RGPD dans la reproduction de la CNIL, fiche 13 du guide Recrutement de la CNIL publié le 30 janvier 2023, page de JobAffinity. Une réforme éventuelle du RGPD n’a pas été recherchée.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.
Fait lu. L’article 22 §1 du RGPD garantit le droit de ne pas être soumis à une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou significatifs similaires.
Portée : Union européenne. Applicable, texte reproduit par la CNIL.
Réserve : Ne vise que les décisions exclusivement automatisées. Réforme éventuelle non recherchée.
- CNIL : RGPD, chapitre III non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. L’article 22 §2 prévoit des exceptions de contrat, de loi ou de consentement explicite, et le §3 des garanties, dont l’intervention humaine, dans les cas de contrat et de consentement.
Portée : Union européenne. Applicable, texte reproduit par la CNIL.
Réserve : Le §4 limite l’usage de catégories particulières de données.
- CNIL : RGPD, chapitre III non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. La fiche 13 de la CNIL qualifie ces procédés d’« en principe interdits par le RGPD », juge qu’écarter un candidat l’affecte en général de manière importante, estime que le consentement ne saurait que très rarement les justifier, recommande une AIPD et déconseille ces outils en cas de doute.
Portée : France, guide du 30 janvier 2023.
Réserve : Lecture de l’autorité, cas par cas.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL écrit qu’il n’existe pas, à la date de son guide, de disposition légale spécifique française autorisant ce recours en recrutement, et renvoie au critère de nombre exceptionnellement élevé repris du CEPD.
Portée : France, guide du 30 janvier 2023.
Réserve : Écrit « à ce jour » en 2023, non revérifié sur Légifrance.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL donne en exemples le classement où les autres sont de fait exclus, la candidature spontanée sur un poste non vacant et la notation par un humain.
Portée : France, guide du 30 janvier 2023.
Réserve : « A priori » ou « dans certains cas ».
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La fiche 13 demande d’annoncer deux dates, de rejet et de limite d’exercice du droit à l’intervention humaine, qui précèdent la finalisation du recrutement.
Portée : France, guide du 30 janvier 2023.
Réserve : Recommandation pour les décisions entièrement automatisées.
- CNIL : Guide recrutement publié le 30 janvier 2023. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les articles 13 à 15 du RGPD incluent des informations utiles sur la logique sous-jacente, l’importance et les conséquences en cas de décision automatisée.
Portée : Union européenne. Applicable, texte reproduit par la CNIL.
Réserve : Niveau de détail technique non précisé.
- CNIL : RGPD, chapitre III non datée. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. JobAffinity écrit qu’aucun candidat n’est écarté par un algorithme, invoquant une interdiction depuis 2018 au titre de l’article 22, et que tous les candidats restent visibles.
Portée : France, page lue le 5 novembre 2026.
Réserve : Lecture juridique d’éditeur, non testée.
- JobAffinity : Fonctionnalités, la démo écran par écran non datée. Lu le 5 novembre 2026. Déclaration de l’éditeur.