Refus automatique de candidature : vos droits
Beaucoup de candidatures sont triées, classées ou refusées par un logiciel avant qu'une personne ne les lise. Ce n'est pas sans règles : le RGPD s'applique déjà, et le calendrier de l'AI Act vient d'être décalé. Voici ce que vous pouvez demander, à qui, et comment le formuler.
Ce que dit la règle de base : l'article 22 du RGPD
Le RGPD pose un principe simple : vous avez le droit de ne pas faire l'objet d'une décision fondée uniquement sur un traitement automatisé, y compris du profilage, lorsqu'elle produit des effets juridiques ou vous affecte de manière significative de façon similaire.[1] La CNIL cite d'ailleurs, parmi ses exemples, le refus automatique d'une candidature à un emploi déposée en ligne.[2]
Il existe des exceptions : la décision peut être automatisée si elle est nécessaire à un contrat, si une loi l'autorise avec des garanties, ou si vous avez donné un consentement explicite.[1] Mais même dans ces cas, vous gardez au minimum trois droits : obtenir l'intervention d'une personne, exprimer votre point de vue et contester la décision.[1] La CNIL ajoute que vous pouvez demander à connaître la logique et les critères utilisés.[2]
« Il y a un humain à la fin » : est-ce suffisant ?
Un recruteur répond souvent : « Une personne valide toujours le résultat. » La question est de savoir si ce regard est réel. La Cour de justice de l'Union européenne a jugé, le 7 décembre 2023 (affaire SCHUFA), que l'établissement automatique d'un score peut être lui-même une « décision automatisée » au sens de l'article 22 lorsqu'un tiers s'appuie fortement sur ce score pour décider.[3] Autrement dit, un classement de candidats sur lequel le recruteur se contente de s'aligner peut relever de la règle, même si un humain clique sur « valider ».
Le régulateur espagnol (AEPD) le dit dans une note du 23 septembre 2026 à propos d'un outil de notation de candidatures : la personne qui décide doit pouvoir apprécier de façon critique le score proposé et prendre sa propre décision, sans simplement reprendre le résultat.[4]
Ce que les recruteurs doivent vous dire
Les entreprises doivent informer les candidats lorsqu'un traitement automatisé intervient. La CNIL précise, dans son guide pour les petites entreprises, que les candidats doivent être informés de l'existence d'une prise de décision automatisée, par exemple l'usage d'un algorithme de tri des candidatures.[5] Le RGPD prévoit aussi votre droit d'accès : vous pouvez obtenir la confirmation qu'une décision automatisée existe et des informations utiles sur la logique suivie, ainsi que sur l'importance et les conséquences prévues du traitement.[1]
La même page de la CNIL rappelle qu'une entreprise peut garder votre CV après un refus, dans un vivier de candidats, seulement si vous en avez été informé, et que cette conservation n'excède en principe pas deux ans à compter du dernier contact.[5]
Où en est l'AI Act pour les outils de recrutement
Les outils d'IA utilisés pour recruter figurent parmi les systèmes à haut risque de l'annexe III du règlement européen sur l'IA. Leurs obligations devaient s'appliquer à partir du 2 août 2026.[6] Un règlement publié au Journal officiel de l'Union européenne le 24 juillet 2026 a repoussé cette échéance : les systèmes à haut risque de l'annexe III sont désormais visés à partir du 2 décembre 2027.[7]
Pour vous, cela veut dire deux choses. D'une part, certaines pages encore en ligne donnent l'ancienne date : méfiez-vous des articles non datés. D'autre part, ce report ne suspend pas le RGPD : l'article 22 et vos droits d'accès s'appliquent aujourd'hui.
Comment faire valoir vos droits, étape par étape
- Repérez les signes. Un refus reçu quelques minutes après l'envoi, une mention « traité par un outil de présélection » dans l'avis de confidentialité, ou une plateforme qui vous attribue une note : ce sont des indices.
- Écrivez au responsable du traitement. C'est l'entreprise qui recrute, pas seulement la plateforme. Utilisez l'adresse indiquée dans sa politique de confidentialité ; la CNIL propose aussi des modèles de courrier.[2]
- Posez des questions précises. Une décision automatisée a-t-elle été prise ? Sur quels critères ? Pouvez-vous obtenir un nouvel examen par une personne ?
- Donnez votre point de vue. Si un critère vous a écarté à tort (une année de diplôme, un intitulé de poste), expliquez-le : c'est précisément votre droit d'exprimer votre point de vue.[1]
- Gardez les preuves. Conservez la date de l'envoi, la date et le texte du refus, et vos échanges.
- Saisissez la CNIL si besoin. En cas de réponse absente ou insuffisante, vous pouvez déposer une réclamation auprès de la CNIL.[2]
Madame, Monsieur, J'ai postulé le [date] au poste de [intitulé]. Ma candidature a été refusée le [date]. Je souhaite savoir si cette décision a été prise uniquement par un traitement automatisé. Si c'est le cas, je vous demande, au titre des articles 15 et 22 du RGPD, de m'indiquer la logique et les critères utilisés, de faire réexaminer ma candidature par une personne en mesure de la modifier, et de prendre en compte les éléments suivants : [vos précisions]. Dans l'attente de votre réponse, je vous prie d'agréer mes salutations distinguées.
Maximiser vos chances d'être lu par un humain
Tout ne se règle pas par un courrier. Un CV lisible par un logiciel de tri, c'est-à-dire un ATS, évite des refus injustifiés : intitulés de poste clairs, mise en page simple, compétences nommées comme dans l'offre. Notre guide sur le CV compatible ATS détaille ces points, et celui sur l'adéquation avec une offre vous aide à repérer les annonces où vous avez de réelles chances.
Questions fréquentes
Un refus reçu en quelques minutes est-il forcément automatique ?
Non, mais c'est un indice. Rien ne vous empêche de demander par écrit si la décision a été prise par un traitement automatisé, et sur quels critères.
Puis-je exiger qu'une personne relise mon dossier ?
Lorsque l'article 22 s'applique, vous avez au minimum le droit d'obtenir l'intervention d'une personne, d'exprimer votre point de vue et de contester la décision. Cela ne garantit pas un résultat différent, mais votre dossier doit être réexaminé.
Le report de l'AI Act change-t-il mes droits aujourd'hui ?
Non. Il décale les obligations spécifiques de l'AI Act pour les outils de recrutement à haut risque, mais le RGPD s'applique déjà.
À qui m'adresser en cas de blocage ?
D'abord à l'entreprise qui recrute. En France, vous pouvez ensuite saisir la CNIL.
Sources
- a b c d e RGPD, règlement (UE) 2016/679, articles 15 et 22 (EUR-Lex) eur-lex.europa.eu
- a b c d CNIL, « Vos droits à l'intervention humaine face à votre profilage ou à une décision automatisée » cnil.fr
- ↑ Cour de justice de l'Union européenne, arrêt du 7 décembre 2023, SCHUFA, affaire C-634/21 (EUR-Lex) eur-lex.europa.eu
- ↑ AEPD, note de presse du 23 septembre 2026 sur l'IA dans l'analyse des CV aepd.es
- a b CNIL, « Recrutement et données personnelles dans les TPE/PME : cinq questions incontournables » cnil.fr
- ↑ Gibson Dunn, « EU AI Act Omnibus Agreement », 27 mai 2026 gibsondunn.com
- ↑ Règlement (UE) 2026/1744 du 8 juillet 2026, Digital Omnibus sur l'IA (EUR-Lex) eur-lex.europa.eu