Vous utilisez des tests psychométriques en recrutement. Bonne nouvelle : c'est légal. Mauvaise nouvelle : la majorité des entreprises françaises le font sans être pleinement conformes au RGPD.
Tests psychométriques et RGPD : pourquoi ce sujet dérange les DRH
La question revient dans chaque service RH. Un outil de sélection qui mesure la personnalité, les aptitudes cognitives ou les styles de travail d'un candidat — c'est utile. C'est structurant. Ça réduit les biais d'embauche. Mais est-ce vraiment conforme au règlement européen sur la protection des données ?
La réponse courte : oui, à condition de savoir exactement ce que la loi impose. Pas de manière approximative. Pas avec une case à cocher dans un formulaire en bas de page. Avec une procédure claire, documentée, défendable devant la CNIL.
Attention : Le RGPD s'applique dès la collecte des données du candidat. Un test psychométrique génère des données personnelles dès que le candidat commence à répondre. L'obligation légale commence là — pas à la signature du contrat.
Un outil puissant, une réglementation méconnue
Les tests psychométriques structurent l'évaluation objective des candidats, notamment pour les postes à enjeux élevés. Ils mesurent ce qu'un entretien ne peut pas mesurer seul : la stabilité émotionnelle, la capacité de raisonnement abstrait, les préférences comportementales.
Pourtant, combien de DRH savent précisément quelle base légale ils utilisent pour traiter ces données ? Combien ont rédigé une notice d'information spécifique au test ? Combien conservent les résultats plus longtemps qu'ils ne le devraient ?
« 92 % des DRH considèrent l'engagement et la fidélisation comme très importants — mais la conformité réglementaire reste le parent pauvre des priorités. »
Ce que ce guide va vous apporter concrètement
Ce n'est pas un article de droit. C'est un guide opérationnel. À la fin, vous saurez exactement :
- Quelle base légale retenir selon votre situation de recrutement
- Ce que vous devez communiquer au candidat avant le test
- Combien de temps vous pouvez conserver les résultats
- Quels droits le candidat peut exercer et comment vous y répondre
- Quel risque réel encourt votre entreprise en cas de non-conformité
Le problème que personne ne veut nommer
La plupart des entreprises qui utilisent des tests psychométriques en recrutement ont copié une pratique sans vérifier sa conformité légale. Le test était dans le process depuis des années. Le DRH précédent l'avait mis en place. Personne n'a jamais eu de problème.
Jusqu'au jour où un candidat pose la question. Ou jusqu'au contrôle de la CNIL.
Les sanctions ne sont pas symboliques. La CNIL peut prononcer des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial de l'entreprise — le montant le plus élevé étant retenu. Ce n'est pas une menace théorique : en 2023, la CNIL a prononcé 42 sanctions, dont plusieurs dans le secteur des ressources humaines.
Point clé : La conformité RGPD autour des tests psychométriques n'est pas une contrainte administrative supplémentaire. C'est une protection — pour le candidat, et pour votre entreprise. Ce guide vous donne les outils pour y répondre sereinement.
Découvrez comment SIGMUND intègre la conformité RGPD dans chaque test
Avant d'entrer dans le détail des obligations légales, une précision utile. Toutes les solutions de tests psychométriques ne se valent pas sur le plan de la conformité. Certaines collectent des données sans base légale clairement définie. D'autres stockent les résultats sans durée de conservation fixée.
SIGMUND a été conçu différemment. La plateforme intègre les exigences du RGPD dès la conception — ce que le règlement appelle le privacy by design. Chaque test, chaque résultat, chaque donnée collectée suit un processus documenté et auditable.
Vous pouvez explorer le catalogue complet des tests disponibles pour identifier les évaluations adaptées à vos recrutements. Et si vous voulez comprendre comment la plateforme fonctionne concrètement, la présentation de la plateforme de tests SIGMUND répond à la plupart des questions techniques.
Dans les sections suivantes, vous trouverez les deux bases légales applicables à vos tests psychométriques, les droits concrets de vos candidats, et les procédures à mettre en place dès cette semaine.
Droits des candidats face aux tests psychométriques : ce que le RGPD impose concrètement
Un candidat vous demande l'accès à ses résultats de test. Vous avez 30 jours pour répondre. Pas 45. Pas "dès que possible". 30 jours calendaires, article 12 du RGPD.
La plupart des équipes RH l'ignorent. Et c'est là que le risque juridique commence.
Voici exactement ce que le RGPD impose — et ce que vous devez mettre en place avant de faire passer le moindre test.
Les 5 droits que tout candidat peut exercer
Le RGPD crée des obligations symétriques. À chaque droit du candidat correspond une procédure que le DRH doit avoir préparée à l'avance.
- Droit d'accès (art. 15) — Le candidat peut demander une copie complète de ses données, y compris les résultats bruts du test. Délai : 30 jours. Forme : écrit, gratuit.
- Droit de rectification (art. 16) — Si une donnée est inexacte (erreur de saisie, mauvaise identification), elle doit être corrigée sans délai.
- Droit à l'effacement (art. 17) — Applicable si la finalité du traitement est atteinte ou si le consentement est retiré. Exception : obligation légale de conservation.
- Droit à la portabilité (art. 20) — Le candidat peut réclamer ses données dans un format lisible par machine (JSON, CSV). S'applique uniquement quand la base légale est le consentement.
- Droit d'opposition (art. 21) — Si la base légale est l'intérêt légitime, le candidat peut s'opposer au traitement. Vous devez alors démontrer un motif impérieux pour continuer.
Attention : Le droit d'opposition ne s'applique pas si la base légale est le consentement explicite. Dans ce cas, le candidat retire simplement son consentement — et le traitement s'arrête immédiatement. Confondre les deux bases légales crée des erreurs de procédure évitables.
Ce que le DRH doit mettre en place concrètement
Les droits ne valent rien sans procédures opérationnelles. Voici la checklist minimale pour être conforme dès demain.
- Désigner un point de contact unique pour les demandes RGPD (DPO ou responsable RH formé)
- Créer un registre de suivi des demandes avec horodatage d'entrée et de réponse
- Préparer des modèles de réponse pour chaque type de demande (accès, effacement, portabilité)
- Former les recruteurs à identifier une demande RGPD — même formulée informellement par email
- Vérifier que votre outil de tests peut exporter les données candidat à la demande
Point clé : La CNIL peut contrôler votre capacité à répondre à une demande d'accès en moins de 30 jours. Ce n'est pas une question de bonne volonté — c'est une exigence technique et organisationnelle. Si votre outil de tests ne permet pas l'export des données candidat, vous avez un problème de conformité structurel.
Peut-on imposer un test à un candidat ?
La question revient souvent. La réponse est nuancée — mais elle existe clairement.
Oui, vous pouvez conditionner le processus de recrutement à la passation d'un test psychométrique. C'est une pratique légale. Le candidat qui refuse peut se voir exclu de la sélection.
Mais cette possibilité n'est pas sans limites :
- Le test doit être pertinent au regard du poste visé (principe de minimisation des données, art. 5 RGPD)
- Le candidat doit être informé avant de commencer : finalité, durée de conservation, droits disponibles
- Le refus ne peut pas être discriminatoire — un candidat en situation de handicap peut demander un aménagement du test
- Aucune décision entièrement automatisée ne peut être prise sur la base du test seul (art. 22 RGPD) — un humain doit valider
« Toute personne a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. » — Article 22, Règlement Général sur la Protection des Données (RGPD), 2018
Ce dernier point est crucial. Un algorithme qui rejette automatiquement un candidat sur la base d'un score de personnalité — sans validation humaine — expose l'entreprise à une sanction directe de la CNIL. Le test de personnalité est un outil d'aide à la décision, jamais un juge automatique.
Transparence et information avant le test : ce que le RGPD impose au DRH
L'obligation d'information n'est pas une formalité administrative. C'est la condition sine qua non pour que votre traitement soit légal.
Un candidat qui passe un test sans avoir été informé au préalable peut contester l'ensemble de la procédure de recrutement. Et il aurait raison juridiquement.
Ce que vous devez communiquer avant le début du test
L'article 13 du RGPD liste les informations obligatoires à fournir au moment de la collecte. Dans le contexte d'un test psychométrique, cela signifie avant que le candidat clique sur "Démarrer".
- L'identité du responsable de traitement — Votre entreprise, pas le prestataire de tests
- La finalité précise — Évaluation des aptitudes cognitives pour le poste X, et non "améliorer nos recrutements"
- La base légale du traitement — Consentement explicite ou intérêt légitime (voir partie 1)
- La durée de conservation — Maximum 2 ans pour les données de candidats non retenus, selon les recommandations CNIL
- Les destinataires des données — RH interne, manager, prestataire de tests
- Les droits du candidat — Accès, rectification, effacement, portabilité, opposition, avec contact pour les exercer
- Le droit de saisir la CNIL — Cette mention est obligatoire, même si elle vous semble inconfortable
Point clé : Ces informations doivent être fournies dans un langage clair, concis et accessible — pas dans un pavé juridique de 3 pages que personne ne lit. La CNIL vérifie la lisibilité effective de l'information, pas seulement son existence formelle.
Le modèle SIGMUND : un processus transparent comme référence
La conformité ne s'improvise pas test après test. Elle se construit dans l'architecture même de la plateforme.
La page conformité RGPD de SIGMUND illustre ce qu'un processus transparent ressemble en pratique. Avant chaque test, le candidat reçoit automatiquement :
- Une notice d'information complète au sens de l'article 13 RGPD
- Un recueil de consentement horodaté et traçable
- Un accès direct à ses droits via un formulaire dédié
- La confirmation que ses données ne seront pas transférées hors UE sans garanties adéquates
Ce n'est pas un argument commercial. C'est une exigence légale que SIGMUND a intégrée dès la conception — ce que les spécialistes appellent le privacy by design, principe fondateur de l'article 25 du RGPD.
« En 2024, la CNIL a prononcé 332 mises en demeure et 49 sanctions. Le secteur RH figure parmi les domaines sous surveillance accrue. » — CNIL, Rapport annuel 2024
Sécurité des données, durée de conservation et transferts hors UE
L'information ne suffit pas. Les données collectées doivent être protégées, conservées avec une durée limitée, et ne pas circuler sans encadrement.
Sur la durée de conservation, la règle est claire. La CNIL recommande :
- Candidat non retenu — 2 ans maximum après le dernier contact, sauf consentement exprès à une durée plus longue
- Candidat recruté — Les données passent dans le dossier salarié avec une durée adaptée au contexte contractuel
- Données anonymisées — Aucune limite légale, mais l'anonymisation doit être irréversible (pas une simple suppression du nom)
Sur le transfert hors UE : si votre prestataire de tests stocke des données sur des serveurs américains ou asiatiques, vous devez vérifier l'existence de clauses contractuelles types (CCT) ou d'une décision d'adéquation de la Commission européenne. L'invalidation du Privacy Shield en 2020 a rendu ce point non négociable.
Attention : Pseudonymisation et anonymisation ne sont pas synonymes. Des données pseudonymisées (le nom remplacé par un code) restent des données personnelles si la ré-identification est possible. Seule l'anonymisation totale sort du champ du RGPD. Vérifiez ce que fait réellement votre prestataire — la terminologie marketing est souvent approximative.
Pour aller plus loin sur les outils conformes disponibles en France, le catalogue des tests SIGMUND détaille pour chaque évaluation les modalités de traitement des données, les durées de conservation appliquées et les garanties techniques en place.
Un test des aptitudes cognitives bien configuré sur une plateforme conforme génère des données aussi protégées que sensibles — et c'est exactement ce niveau de rigueur que la CNIL attendrait en cas de contrôle.
Sécurité des données : ce que la loi impose concrètement
Les résultats d'un test psychométrique sont des données personnelles sensibles. Ils révèlent des traits de caractère, des capacités cognitives, parfois des tendances comportementales. Le RGPD impose des règles précises sur leur stockage, leur durée de vie et leur transfert.
Durée de conservation : la règle des 2 ans
La CNIL recommande de ne pas conserver les données de candidats non retenus au-delà de 2 ans après le dernier contact. Passé ce délai, ces données doivent être supprimées ou anonymisées.
Concrètement, cela signifie :
- Suppression active des profils de candidats non embauchés après 24 mois
- Anonymisation des résultats si vous souhaitez les conserver à des fins de benchmark interne
- Purge automatique à paramétrer dans votre ATS ou plateforme de tests
- Journalisation des suppressions pour preuve en cas de contrôle CNIL
Attention : conserver des résultats de tests "au cas où" sans base légale active est une infraction directe au principe de limitation de la durée de conservation. Ce n'est pas une zone grise.
Anonymisation ou pseudonymisation : quelle différence ?
Ces deux notions sont souvent confondues. Elles n'ont pas le même statut juridique.
- Pseudonymisation : les données sont dissociées de l'identité, mais la réidentification reste possible. Le RGPD s'applique toujours.
- Anonymisation : la réidentification est techniquement impossible. Le RGPD ne s'applique plus à ces données.
Pour vos analyses agrégées — par exemple, les scores moyens obtenus sur un test d'aptitudes cognitives par poste — l'anonymisation est la solution la plus sécurisée juridiquement.
Transfert hors Union européenne
Vous utilisez une plateforme de tests hébergée aux États-Unis ou en Asie ? Vérifiez l'existence de clauses contractuelles types (CCT) validées par la Commission européenne. Sans ce mécanisme, le transfert est illicite. C'est un angle mort fréquent dans les PME.
« Le privacy by design n'est pas une option. C'est une obligation légale inscrite à l'article 25 du RGPD. »
Bonnes pratiques RGPD : comment SIGMUND intègre la conformité par défaut
Un outil conforme ne se contente pas de cocher des cases. Il intègre la protection des données dès sa conception. C'est précisément ce que désigne le principe de privacy by design.
SIGMUND a été construit avec cette contrainte au cœur de son architecture. Pas en réaction à la loi. Dès le départ.
Les mesures techniques et organisationnelles en place
- Hébergement en Union européenne — aucun transfert hors UE sans garantie contractuelle explicite
- Chiffrement des données au repos et en transit (TLS 1.2 minimum)
- Gestion des accès par rôle — seuls les recruteurs autorisés voient les résultats
- Purge automatique paramétrable selon la durée de conservation définie par votre organisation
- Registre des traitements disponible et documenté pour faciliter vos obligations DPO
- Journaux d'accès pour traçabilité en cas de demande d'un candidat ou de contrôle
Point clé : SIGMUND agit en tant que sous-traitant au sens du RGPD. Cela signifie qu'un contrat de traitement des données (DPA) est formalisé avec chaque client. Vous restez responsable du traitement. SIGMUND vous garantit le cadre technique pour le faire légalement.
La transparence comme preuve de conformité
La page conformité RGPD de SIGMUND détaille l'intégralité du processus : finalité du traitement, base légale retenue, droits des candidats, durée de conservation, coordonnées du DPO. Ce niveau de documentation est ce que la CNIL attend de tout responsable de traitement sérieux.
C'est aussi ce que vous pouvez montrer à un candidat qui vous pose la question. Ou à un inspecteur CNIL.
Ce que SIGMUND ne fait pas — et pourquoi c'est important
- Aucune décision entièrement automatisée — le résultat d'un test n'est jamais la seule base d'un choix de recrutement
- Aucune revente de données à des tiers à des fins commerciales
- Aucun profilage à finalité autre que celle déclarée au candidat
Vous pouvez explorer l'ensemble des outils disponibles directement dans le catalogue des tests SIGMUND — chaque test est documenté avec sa finalité et son cadre d'utilisation.
Sanctions CNIL et risques juridiques : des chiffres qui changent les priorités
Le RGPD n'est pas une loi théorique. Les sanctions tombent. En France, en Allemagne, en Espagne. Sur des entreprises de toute taille.
Comprendre l'exposition réelle de votre organisation, c'est le premier pas vers une conformité sérieuse.
Les sanctions prononcées par la CNIL
La CNIL dispose d'un arsenal gradué :
- Avertissement — rappel formel sans sanction financière immédiate, mais inscrit au dossier
- Injonction de mise en conformité — délai imposé pour corriger les manquements
- Amende administrative — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé
- Publicité de la sanction — votre nom, votre manquement, publié sur le site de la CNIL
En 2023, la CNIL a prononcé 42 sanctions pour un montant cumulé de plus de 89 millions d'euros. Les PME ne sont pas épargnées : plusieurs amendes de 20 000 à 150 000 euros ont visé des entreprises de moins de 250 salariés.
« La taille de l'entreprise n'est pas un facteur atténuant systématique. La CNIL examine la gravité du manquement et sa durée. » — Rapport d'activité CNIL 2023
Le risque civil : le candidat qui conteste
Au-delà des sanctions administratives, un candidat peut saisir les prud'hommes ou le tribunal judiciaire. Il peut contester une décision de recrutement basée sur un test psychométrique s'il estime :
- Qu'il n'a pas été informé de l'existence du traitement avant le test
- Que la base légale est absente ou non documentée
- Que la décision est entièrement automatisée sans intervention humaine vérifiable
- Que ses droits d'accès ou d'effacement n'ont pas été respectés dans les délais
Un recrutement contesté coûte du temps, de l'argent et de la réputation. Bien plus qu'une heure passée à documenter vos traitements.
Checklist de mise en conformité immédiate
Voici ce que vous pouvez faire dès cette semaine :
- ✔ Identifier tous les tests psychométriques utilisés dans vos processus
- ✔ Vérifier la base légale documentée pour chaque traitement
- ✔ Mettre à jour votre notice d'information candidat (avant le test, pas après)
- ✔ Paramétrer la durée de conservation à 2 ans maximum dans vos outils
- ✔ Formaliser un contrat de sous-traitance avec chaque prestataire de tests
- ✔ Désigner un interlocuteur interne pour traiter les demandes de droits dans le délai légal d'un mois
- ✔ Tester votre procédure d'exercice des droits — simulez une demande d'accès candidat
Conclusion : utiliser les tests psychométriques en toute légalité, c'est possible
La conformité RGPD n'est pas un obstacle à l'utilisation des tests psychométriques. C'est un cadre. Un cadre qui protège aussi l'entreprise.
Un test bien utilisé, avec une base légale solide, une information transparente et une durée de conservation maîtrisée, est un outil de recrutement puissant. Et défendable.
La question n'est pas peut-on utiliser ces tests. La réponse est oui. La vraie question est : êtes-vous en mesure de le prouver si la CNIL ou un candidat vous le demande ?
Point clé : SIGMUND a été conçu pour que la réponse soit toujours oui. La documentation est prête. Les mécanismes techniques sont en place. Le DPO a un dossier propre. Vous pouvez vous concentrer sur l'essentiel : recruter les bonnes personnes.
Que vous commenciez par un test de personnalité ou par un test d'aptitudes cognitives, la plateforme SIGMUND vous accompagne à chaque étape — avec un processus conforme, documenté et auditable.
Consultez également la FAQ SIGMUND pour toute question spécifique sur le cadre légal des tests en recrutement.
Prêt à transformer votre recrutement ?
Découvrez les tests d'évaluation SIGMUND — objectifs, scientifiques, immédiatement actionnables.
Découvrir les testsQuestions fréquentes
Un test psychométrique en recrutement est un outil standardisé qui mesure les traits de personnalité, les aptitudes cognitives et les comportements d'un candidat. Il produit des données personnelles sensibles au sens du RGPD, car il révèle des caractéristiques psychologiques exploitées pour aider à la décision d'embauche.
Oui, les tests psychométriques sont légaux en France à condition de respecter le RGPD. L'entreprise doit disposer d'une base légale valide (intérêt légitime ou consentement explicite), informer les candidats de l'utilisation de leurs données et garantir la pertinence de l'outil par rapport au poste visé.
La CNIL recommande de ne pas conserver les données des candidats non retenus au-delà de 2 ans après le dernier contact. Passé ce délai, les résultats doivent être supprimés ou anonymisés. Dépasser cette durée expose l'entreprise à des sanctions pouvant atteindre 20 millions d'euros ou 4 % du CA mondial.
La non-conformité résulte principalement de trois lacunes : absence d'information claire remise aux candidats, durées de conservation non respectées et bases légales mal définies. Beaucoup de DRH ignorent que les résultats psychométriques constituent des données personnelles à part entière, soumises aux mêmes obligations que tout autre donnée RH.
Le consentement exige un accord libre, éclairé et révocable du candidat, ce qui est difficile à garantir en contexte de recrutement. L'intérêt légitime permet à l'entreprise de traiter les données sans consentement explicite, à condition que l'usage soit proportionné, nécessaire et ne porte pas atteinte aux droits fondamentaux du candidat.
L'information doit être transmise avant le test, par écrit, et préciser : la finalité du traitement, la base légale retenue, la durée de conservation, les destinataires des données et les droits du candidat (accès, rectification, suppression). Une notice d'information RGPD spécifique au recrutement suffit à remplir cette obligation légale.
La CNIL peut infliger des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, selon le montant le plus élevé. En pratique, les sanctions débutent souvent par une mise en demeure. Les manquements les plus fréquents sanctionnés sont la conservation excessive des données et l'absence d'information des personnes concernées.
Un fournisseur conforme doit proposer un contrat de sous-traitance RGPD, héberger les données en Europe, préciser la durée de conservation et permettre la suppression des données sur demande. Vérifiez également qu'il fournit une documentation technique sur la sécurité des données et qu'il s'engage par écrit sur ces obligations contractuelles.
Laisser un commentaireOrder by
les plus récents en premier Les plus anciens en premier