Aller au contenu principal
Quel ATS

Interne ou cabinet

Cabinet et client : qui est responsable des données du candidat ?

Pour qui : Votre client vous envoie un contrat qui vous désigne sous-traitant, ou votre avocat vous pose la question. Vous voulez savoir qui répond de quoi sur les données des candidats.

Cela dépend de qui décide du pourquoi et du comment. Le guide de la CNIL décrit un cabinet qui peut être qualifié de responsable de traitement pour le vivier qu’il utilise dans son activité habituelle de placement. Le client, destinataire des CV présélectionnés, devient à son tour responsable de la base qu’il constitue.

Le cabinet n’est donc pas d’office sous-traitant. Il peut l’être dans d’autres cas, que le guide décrit. Le rôle s’écrit au contrat, mission par mission.

Notre avis

Écrivez le rôle par type de mission, en partant des faits. Votre vivier habituel vous rend probablement responsable du traitement, même si un client vous écrit « sous-traitant ». Une externalisation du recrutement, dite RPO, où vous appliquez le cahier des charges du client, entre au contraire dans la sous-traitance selon le guide.

Pourquoi

  • Le guide fait dépendre la qualification de celui qui détermine les finalités et les moyens du traitement.
  • Il avertit qu’un organisme qui décide concrètement reste responsable même s’il est désigné sous-traitant dans un contrat.
  • Il décrit des cas distincts pour un même cabinet : un contrat type unique ne peut donc pas tous les couvrir.

Ce qui change le choix

Le client définit à l’avance tous les paramètres et vous appliquez ses directives, sans finalité propre : vous entrez dans la sous-traitance décrite par le guide.

L’ordre à suivre

  1. Placement habituel depuis votre vivier : responsable de ce traitement, selon l’exemple du guide.
  2. Externalisation sur cahier des charges : sous-traitant.
  3. Outil et méthode construits avec le client : responsabilité conjointe possible.

Les cas décrits par le guide

Le guide précise que ces exemples ne préjugent pas des qualifications retenues en pratique. La qualification se fait au cas par cas.

Rôle du cabinet selon la situation, guide de la CNIL, fiche 3
SituationRôle envisagé par le guideFormulation à garder
Vivier générique, utilisé pour placer chez des clientsResponsable de traitement« peut être qualifié »
Base créée pour un client, à partir de paramètres inhabituels demandés par luiSous-traitant« pourrait », hypothèse dite très exceptionnelle
RPO : le client externalise son recrutement et fixe un cahier des chargesSous-traitant« entre dans le champ de la sous-traitance »
Critères inhabituels, outil et méthode élaborés avec le clientResponsabilité conjointe« pourrait être retenue », hypothèses jugées assez rares
Service créé pour un client, mêlant ses CV et ceux du cabinetResponsable conjoint« pourrait », exemple du Comité européen cité par le guide

Pourquoi écrire « sous-traitant » au contrat ne suffit pas

Le guide avertit qu’un organisme qui décide concrètement pourquoi et comment les données sont traitées doit être considéré comme responsable de traitement, même s’il est désigné sous-traitant dans un contrat. Les autorités ne sont pas liées par ce choix.

En cas de responsabilité conjointe, le guide demande de conclure un accord qui définit les rôles de chacun, sauf si le droit les fixe déjà. Il précise que cet accord n’est pas opposable à la personne concernée : un candidat peut s’adresser à chacun.

Écrire les rôles, mission par mission

Trois questions suffisent pour préparer l’échange avec votre conseil.

  1. Qui a décidé de créer cette base ? Votre vivier existait avant ce client : cela penche vers votre responsabilité.
  2. Qui fixe les données, la durée, les règles de suppression ? Si c’est le client, par écrit et en détail, regardez le cas du RPO.
  3. Que faites-vous des données après la mission ? Les garder pour d’autres clients suppose une finalité propre, ce qui ne colle pas avec un rôle de simple exécutant.

L’éditeur de logiciel a un troisième rôle

Le guide range les fournisseurs de logiciels hébergés parmi les destinataires, quand ils agissent en sous-traitants d’un employeur. Nicoka prévoit dans ses conditions une annexe intitulée accord de sous-traitance. Ce document organise votre relation avec l’éditeur. Il ne règle pas celle que vous avez avec votre client. Lisez les deux à part.

Limites de cette page

La qualification se fait au cas par cas et nous n’en faisons aucune ici. Le guide date de 2023. Nous n’avons lu ni les lignes directrices européennes à la source, ni de décision de sanction, ni le contenu de l’annexe de Nicoka. Sur un contrat à signer, l’enjeu justifie l’avis de votre DPO ou d’un avocat.

Prochaine action

Classez vos missions en vivier habituel, cahier des charges du client et outil construit ensemble. Écrivez le rôle par type de mission dans vos contrats, puis faites-les relire. Si le client décide de tout dans une mission précise, ne reprenez pas le rôle de votre vivier habituel.

Preuves et sources

Lu le 5 novembre 2026 : guide de la CNIL sur le recrutement du 30 janvier 2023, fiche 3, p. 14 à 19, et fiche 6, p. 35. Les lignes directrices du Comité européen de la protection des données n’ont été lues qu’à travers ce guide. Conditions de Nicoka sur l’annexe de sous-traitance, intitulé seulement.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun logiciel n’a été testé. Notre méthode, connexions relevées et prix relevés.