A-t-on le droit de contacter un candidat qui n’a rien demandé ?

Oui, sur la base de l'intérêt légitime (article 6.1.f du RGPD), qui est la base habituelle du sourcing : une mise en relation professionnelle correspond à l'attente raisonnable d'une personne qui publie un profil professionnel. Cela ne dispense d'aucune des obligations qui suivent — information, droit d'opposition, durée de conservation limitée.

Faut-il prévenir la personne qu’on a collecté ses données ?

Oui. L'article 14 du RGPD s'applique dès que les données ne viennent pas de la personne elle-même. Elle doit savoir qui la contacte, pourquoi, d'où viennent ses coordonnées et comment s'y opposer — au plus tard au moment du premier message. C'est l'obligation la plus souvent ignorée du sourcing, parce que les outils la laissent au recruteur.

Les données publiques sont-elles librement réutilisables ?

Non. Accessible ne veut pas dire réutilisable : une donnée publiée reste une donnée personnelle, avec les mêmes obligations. La CNIL l'a rappelé à propos de l'aspiration de données pour la prospection. S'ajoutent les conditions d'utilisation du site source, qui peuvent interdire l'extraction automatisée — c'est le cas de LinkedIn.

Combien de temps peut-on conserver un profil sourcé ?

La CNIL recommande de ne pas dépasser deux ans après le dernier contact pour des données de candidature, sauf accord de la personne pour une conservation plus longue. Au-delà, il faut supprimer ou anonymiser. Une personne peut demander la suppression à tout moment.

Un agent IA change-t-il quelque chose à ces règles ?

Les règles sont les mêmes ; l'échelle change, et c'est ce qui les rend visibles. Un recruteur qui ouvre trente profils à la main et un agent qui en lit trois cents ont la même obligation d'information — mais seul le second rend impossible de la traiter au cas par cas. C'est un argument pour l'automatiser, pas pour l'oublier.

Sourcer des candidats sans enfreindre le RGPD

Chercher quelqu’un qui ne vous a rien demandé est autorisé. Ce qui est encadré, c’est ce que vous faites ensuite : d’où viennent les coordonnées, ce que vous dites à la personne dans le premier message, et combien de temps vous gardez son profil. Voici les quatre règles qui comptent, et ce que nous en avons fait dans le produit.

1. La base légale : l’intérêt légitime

Le sourcing repose sur l’article 6.1.f du RGPD : l’intérêt légitime. Proposer un poste à quelqu’un dont le profil professionnel est public entre dans ses attentes raisonnables. Il n’y a pas de consentement préalable à recueillir — un consentement qu’on ne peut pas demander avant d’avoir le contact serait de toute façon circulaire.

Cette base tient tant que l’intérêt de la personne ne prime pas : un message professionnel, ciblé, pour un poste réel. Elle ne couvre pas la constitution d’un fichier revendu, ni l’envoi en masse.

2. L’information : l’article 14, l’obligation qu’on oublie

Dès lors que les données ne viennent pas de la personne, l’article 14impose de l’informer : qui la contacte, pourquoi, quelles données, d’où elles viennent, et comment s’y opposer. Le délai est au plus tard le premier message.

C’est le point de rupture entre le sourcing artisanal et le sourcing outillé. Trente profils ouverts à la main, un recruteur peut y penser. Trois cents profils traités par un agent, personne n’y pense — et l’obligation ne disparaît pas pour autant.

Automatique — Chez nous, la mention est ajoutée au premier message, pas laissée à la mémoire du recruteur : qui écrit, d’où vient l’adresse, et « répondez stop » pour tout arrêter. Un appel téléphonique ne pouvant pas porter de mention écrite, l’écran affiche au recruteur la phrase à dire à côté du numéro.

3. La provenance : toutes les coordonnées ne se valent pas

Une adresse que la personne a publiée sur son site et une adresse achetée à un fournisseur de données n’ont pas le même statut, et ne devraient pas être traitées de la même façon. C’est une distinction que la plupart des outils perdent en route : tout finit dans la même colonne « email ».

Nous classons chaque coordonnée par provenance, dans cet ordre :

donnée directement pour ça par la personne ;
publiée par elle, sur une page qu’elle contrôle ;
obtenue auprès d’un fournisseur, à la demande, profil par profil ;
sur une plateforme dont les conditions interdisent l’automatisation ;
aucun canal connu — et on le dit plutôt que de deviner une adresse.

Une coordonnée achetée reste marquée comme telle partout où elle est lue, et n’est jamais présentée comme publiée par la personne. Elle est cherchée pour une personne à la fois, au moment où un recruteur retient son profil : il n’existe pas d’appel qui révèle une liste.

4. La conservation, et le droit de disparaître

La CNIL recommande de ne pas conserver des données de candidature au-delà de deux ans après le dernier contact, sauf accord de la personne. Au-delà, il faut supprimer ou anonymiser.

Une personne peut demander la suppression de son profil à tout moment, y compris si elle n’a jamais été contactée — et elle peut d’abord vouloir savoir ce qui existe sur elle. C’est pour ça que le test de profil est gratuit et sans compte : il montre à une personne ce qu’un agent de recrutement peut vérifier à son sujet, et ce qu’il ne trouve pas.

Et le scraping de LinkedIn

Deux interdictions distinctes se cumulent, et confondre les deux fait prendre le risque en double. D’un côté, les conditions d’utilisation de LinkedIn interdisent l’extraction automatisée et l’automatisation de Recruiter : c’est contractuel, et ça se sanctionne par la fermeture du compte et des poursuites. De l’autre, le RGPD s’applique aux données ainsi récupérées, publiques ou non.

Nous ne scrapons pas LinkedIn, ne stockons aucun cookie ni mot de passe LinkedIn, et n’automatisons rien dans Recruiter. Ce qui est lu, c’est ce que les moteurs indexent publiquement et ce que la personne publie ailleurs — son site, son dépôt de code, une conférence.

Cette page décrit ce que nous appliquons et les textes sur lesquels nous nous appuyons. Elle ne constitue pas un conseil juridique : la qualification dépend de votre usage, et votre DPO reste l’interlocuteur pour votre cas.