Dossier de compétences anonymisé : ce que le RGPD impose et ce qui se fait

« Envoyez-nous les dossiers anonymisés. » La demande vient d'un acheteur, d'un grand compte ou d'une plateforme de référencement, et elle est rarement accompagnée d'une définition. Cet article distingue ce que le droit impose, ce que la CNIL recommande, et ce qui relève des usages du secteur — puis propose une méthode qu'on peut appliquer demain matin.

Un dossier « anonymisé » ne l'est presque jamais au sens du RGPD

Il faut commencer par un point de vocabulaire, parce qu'il change les obligations. Le RGPD, dans son considérant 26, ne s'applique pas aux informations anonymes, c'est-à-dire à celles qui ne permettent plus d'identifier une personne, par aucun moyen raisonnablement susceptible d'être utilisé. Un dossier de compétences réduit aux initiales, avec un parcours détaillé — « J. D., 12 ans d'expérience, six ans chez tel client sur tel projet, certifié telle année » — ne remplit pas cette condition. Le parcours identifie la personne pour quiconque connaît le milieu, et l'ESN, elle, sait parfaitement de qui il s'agit.

Ce que produit l'usage du secteur est donc une pseudonymisation au sens de l'article 4, paragraphe 5 du règlement : les données ne peuvent plus être attribuées à une personne sans information supplémentaire, conservée séparément. C'est une mesure de protection utile, que le RGPD encourage explicitement — mais le dossier reste une donnée à caractère personnel, et toutes les obligations continuent de s'appliquer : information du consultant, base légale, durée de conservation, encadrement du destinataire.

Le texte du règlement est public sur EUR-Lex ; ce sont les articles 4, 5, 6, 13 et 28 et le considérant 26 qui concernent directement ce sujet.

Ce que le droit impose

Minimiser, et pouvoir le justifier

L'article 5 pose le principe de minimisation : les données traitées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Appliqué au dossier de compétences, cela veut dire que chaque information transmise au client doit servir à évaluer l'aptitude du consultant à la mission. Le Code du travail dit la même chose pour les candidats à un emploi, à l'article L. 1221-6 : les informations demandées ne peuvent avoir pour finalité que d'apprécier la capacité à occuper l'emploi ou les aptitudes professionnelles, et doivent présenter un lien direct et nécessaire avec l'emploi proposé.

Ce principe rend certaines mentions difficiles à justifier, anonymat ou non : la date de naissance, la situation familiale, la nationalité, la photo, l'adresse complète. Aucune n'aide à juger si un développeur saura tenir un projet.

Informer le consultant

Les articles 13 et 14 imposent d'informer la personne concernée de ce qui est fait de ses données : à qui elles sont transmises, pour quelle finalité, combien de temps elles sont conservées. Pour un consultant salarié, cela passe par la documentation interne remise à l'embauche et, en pratique, par une mention claire : son dossier sera présenté à des clients, sous forme pseudonymisée ou non, dans le cadre de réponses à des demandes de prestations. Pour un freelance ou un candidat du vivier, la même information doit être donnée, et le guide du recrutement de la CNIL, fiche 8, détaille ce qu'elle doit contenir.

Limiter la conservation

Le RGPD ne fixe pas de durée ; il exige qu'elle soit définie et justifiée. Pour les candidatures, la CNIL est précise. Sa fiche 9 du même guide indique qu'« il est recommandé que la durée de conservation n'excède pas deux ans à compter du dernier contact avec la personne concernée », sauf accord de la personne pour une durée plus longue — anonymisés ou non.

Encadrer ce que fait le client du dossier

Une fois le dossier envoyé, le client en fait un traitement. Sa qualification juridique — responsable de son propre traitement, ou sous-traitant de l'ESN — dépend du montage contractuel : c'est une question pour votre délégué à la protection des données. Ce qui n'en dépend pas : le dossier ne doit pas circuler au-delà des personnes qui décident, ni être conservé une fois la consultation close. Une clause dans les conditions d'envoi, ou un lien de consultation à durée limitée plutôt qu'une pièce jointe, règle l'essentiel.

Ce que le droit n'impose pas : le CV anonyme

On lit parfois que le CV anonyme est obligatoire. Il l'a été sur le papier : la loi du 31 mars 2006 pour l'égalité des chances avait inscrit dans le Code du travail une obligation d'anonymat des candidatures pour les entreprises d'au moins cinquante salariés, à l'article L. 1221-7. Le décret d'application n'a jamais été publié, et l'article a été abrogé par la loi du 17 août 2015 relative au dialogue social. L'anonymisation des dossiers est donc un usage, une exigence contractuelle de certains clients, ou un choix de l'ESN — pas une obligation légale.

Ce qui reste, et qui n'a jamais cessé de s'appliquer, c'est l'interdiction des discriminations à l'embauche de l'article L. 1132-1 du Code du travail. Retirer du dossier l'âge, la photo, l'adresse et tout ce qui révèle une origine ou une situation de famille est le moyen le plus simple de ne pas s'exposer à un reproche que le contenu du dossier rendrait vraisemblable.

Ce qui se fait : les usages du secteur

Les ESN convergent, à quelques variantes, vers une même pratique :

• Retiré : nom de famille, photo, date de naissance ou âge, adresse, numéro de téléphone et e-mail personnels, nationalité, situation familiale.
• Remplacé : le prénom par les initiales, ou par un identifiant de dossier ; le nom des anciens clients par leur secteur et leur taille (« banque de détail, équipe de 12 ») quand une clause de confidentialité l'exige.
• Conservé : le titre, les années d'expérience, les compétences et leur niveau, les expériences détaillées, les formations et certifications, les langues, la disponibilité et la mobilité.

Une méthode applicable demain

1. Décidez du référentiel. Une liste écrite de ce qui est retiré, remplacé, conservé, identique pour toutes les demandes. L'anonymisation au cas par cas est celle qui laisse passer un numéro de téléphone en pied de page.
2. Générez plutôt que caviardez. Un dossier anonymisé obtenu en masquant des zones d'un PDF laisse presque toujours des traces : métadonnées, nom de fichier, texte sous le rectangle noir. Un dossier généré depuis la fiche du consultant, avec un gabarit « pseudonymisé » qui n'insère jamais les champs retirés, ne peut pas fuir ce qu'il ne contient pas. C'est ainsi que la génération de dossier depuis l'analyse de CV traite la question.
3. Informez avant d'envoyer. Un message au consultant ou au candidat, qui dit à quel client et pour quelle demande. Il prend une minute ; il est la seule preuve que l'information a été donnée.
4. Tracez l'envoi. Quel dossier, quelle version, à qui, quand. Le pipeline le fait sans effort supplémentaire ; une boîte mail le fait mal.
5. Purgez le vivier. Une règle de conservation appliquée automatiquement — deux ans après le dernier contact, sauf accord — et une relance avant l'échéance pour ceux qu'on souhaite garder. Les automatisations sont faites pour exactement cette tâche.

Le dossier anonymisé n'est pas un sujet à part : c'est le modèle de dossier de compétences habituel, produit depuis la même fiche, avec un gabarit qui omet ce qu'il faut omettre. Ce qui distingue une ESN en règle d'une ESN exposée, c'est que le consultant sache, et que le dossier ne puisse pas contenir ce qu'on a décidé d'en retirer.

FAQ

Un dossier de compétences avec initiales est-il anonyme au sens du RGPD ?

Non. Un parcours détaillé identifie la personne pour qui connaît le secteur, et l'ESN sait de qui il s'agit : le RGPD parle de pseudonymisation (article 4, paragraphe 5), et toutes ses obligations continuent de s'appliquer — information du consultant, base légale, durée de conservation, encadrement du destinataire. L'anonymat véritable, qui ferait sortir le dossier du règlement, suppose qu'on ne puisse plus identifier la personne par aucun moyen raisonnable.

Le CV anonyme est-il obligatoire en France ?

Non. L'obligation inscrite en 2006 dans le Code du travail pour les entreprises d'au moins cinquante salariés n'a jamais reçu de décret d'application et a été abrogée en 2015. L'anonymisation des dossiers relève d'une exigence contractuelle du client ou d'un choix de l'ESN. L'interdiction des discriminations à l'embauche, elle, s'applique dans tous les cas.

Combien de temps peut-on conserver le dossier d'un candidat non retenu ?

La CNIL recommande, dans son guide du recrutement, une durée qui n'excède pas deux ans à compter du dernier contact avec la personne, sauf accord de celle-ci pour une durée plus longue. La durée retenue doit être définie à l'avance, inscrite au registre des traitements et communiquée au candidat dans les mentions d'information.