Il fut un temps où le recrutement avait des contours assez nets. Les candidatures arrivaient dans une seule boîte de réception, les entretiens se déroulaient autour d’une table et les documents d’un candidat quittaient rarement les locaux. Ce n’est plus vraiment ainsi que les choses fonctionnent. Aujourd’hui, un seul recrutement peut passer par un système de suivi des candidatures, plusieurs échanges d’e-mails, un appel vidéo, un espace de stockage partagé, une messagerie et parfois un test en ligne — souvent avec des personnes connectées depuis des villes différentes.
C’est en partie ce qui explique que le recrutement est plus rapide qu’auparavant. Mais c’est aussi ce qui rend les informations sur les candidats plus difficiles à suivre. Elles circulent entre davantage de systèmes, d’appareils et de réseaux que la plupart des équipes RH ne prennent le temps de prendre en compte.
Pour les petites entreprises en particulier, sécuriser tout cela ne signifie pas forcément multiplier les procédures à chaque étape. Il s’agit surtout de trois choses : savoir où vont réellement les informations, déterminer avec lucidité qui a besoin d’y accéder et éliminer les risques inutiles — sans transformer le processus de recrutement en un parcours d’obstacles pour les candidats ou les recruteurs.
Sommaire
Le recrutement n’est plus un processus unique — c’est une chaîne de processus
Pensez à ce qui se passe avec un CV dès que quelqu’un clique sur « Postuler ».
Il arrive dans le système de suivi des candidatures (ATS). Un recruteur l’ouvre sur un ordinateur portable, peut-être depuis chez lui, peut-être ailleurs. Un responsable du recrutement reçoit un lien, télécharge le fichier, prend quelques notes et en discute avec un collègue sur Slack ou Teams. Une invitation à un entretien est envoyée par e-mail. L’entretien lui-même se déroule en visioconférence. Et, quelque part dans le processus, une évaluation peut s’ajouter via une plateforme supplémentaire.
Rien de tout cela n’est inhabituel — c’est simplement ainsi que fonctionne le recrutement aujourd’hui. Mais chaque étape est aussi un moment où les données du candidat changent de mains.
C’est pourquoi il est utile de ne plus considérer le recrutement comme un ensemble d’outils distincts, mais comme un seul parcours connecté. Dès que les RH savent réellement d’où proviennent les informations, où elles sont stockées, qui peut y accéder et combien de copies existent, l’ensemble devient beaucoup plus facile à gérer.
Le lieu de travail compte également, davantage qu’auparavant. Les recruteurs et responsables du recrutement ne sont plus toujours connectés au réseau du bureau : ils peuvent travailler depuis chez eux, dans un espace de coworking, dans un train ou consulter leurs messages depuis une chambre d’hôtel entre deux vols. L’authentification multifacteur, les ordinateurs portables chiffrés, des règles claires pour l’accès à distance et un VPN pour l’entreprise, lorsqu’un collaborateur a besoin d’une connexion protégée aux systèmes de l’entreprise, contribuent tous à réduire ce risque.
Il n’existe pas de solution unique. L’enjeu consiste plutôt à superposer quelques niveaux de protection raisonnables autour des informations que les équipes manipulent déjà au quotidien.
Évitez de laisser le même CV se retrouver à cinq endroits différents
L’une des améliorations les plus simples est aussi l’une des plus souvent oubliées : conserver les dossiers des candidats dans le moins d’endroits possible.
Télécharger un CV « juste pour l’avoir sous la main » semble anodin sur le moment. Le problème commence lorsque cette habitude se répète au sein de toute une équipe. Soudain, une copie se trouve dans l’ATS, une autre dans le dossier « Téléchargements » de quelqu’un, une troisième en pièce jointe d’une chaîne d’e-mails interne et peut-être une autre encore dans un dossier cloud créé pour ce poste précis et jamais nettoyé.
Une plateforme centralisée n’est utile que si les équipes la considèrent réellement comme la source de référence. Dès que les responsables commencent à exporter des fichiers « par commodité » et à les faire circuler, ce contrôle s’effondre.
Les droits d’accès doivent suivre le processus de recrutement, et non lui survivre. Un responsable qui fait effectivement passer un entretien à quelqu’un a besoin du CV et des notes d’entretien — c’est logique. En revanche, une personne qui a participé à une seule réunion de préparation du poste il y a trois mois n’a probablement pas besoin de conserver un accès permanent à l’ensemble du vivier de candidats.
C’est aussi là que les examens périodiques des droits d’accès prennent tout leur sens. Les fonctions changent, les collaborateurs passent d’une équipe à l’autre, les projets se terminent — et les autorisations liées au recrutement ont tendance à survivre discrètement à la raison pour laquelle elles ont été accordées.
Les entretiens à distance ont besoin de règles claires, pas seulement de bonnes intentions
Les entretiens vidéo sont devenus si courants qu’il est facile de ne plus réfléchir à ce qu’ils peuvent réellement révéler.
Un recruteur travaillant depuis sa table de cuisine maîtrise probablement son environnement. Mais « à distance » ne signifie pas toujours « à domicile ». Cela peut signifier un espace de coworking, un bureau loué dans les locaux d’une autre entreprise, le hall d’un hôtel ou simplement l’endroit où le Wi-Fi fonctionne ce jour-là. Dans ces situations, la confidentialité cesse d’être uniquement une question de politique interne et devient une question physique : aucun document de sécurité n’empêchera la personne assise à la table voisine d’entendre parler des prétentions salariales d’un candidat.
La règle doit donc être assez simple pour être réellement appliquée : les conversations sensibles se déroulent dans un endroit privé, les entretiens passent par la plateforme vidéo approuvée par l’entreprise, les liens de réunion ne sont pas transférés à la légère et l’enregistrement n’est pas activé par défaut simplement parce que le logiciel le permet.
Le candidat perçoit également tout cela. Un processus d’entretien qui paraît lourd ou excessivement prudent laisse une impression — et pas forcément une bonne.
La même logique s’applique à la préparation de l’entretien lui-même. Un responsable du recrutement doit arriver en sachant précisément ce qu’il cherche à apprendre, plutôt que de recueillir des informations simplement parce que la conversation a dévié dans cette direction. Pour aller plus loin sur la manière de structurer cet échange, notre article « Comment préparer au mieux son entretien d’embauche ? » l’aborde du point de vue du candidat — mais cette même préparation aide aussi les employeurs à mener des entretiens plus précis et mieux ciblés.
L’IA soulève une question que personne n’avait à se poser auparavant : où est passé ce texte ?
Les outils d’IA se sont rapidement intégrés aux tâches de bureau courantes, et le recrutement n’y échappe pas. Les recruteurs s’en servent pour rédiger des offres d’emploi, remettre des notes en ordre, préparer des questions d’entretien ou résumer un volume important d’informations de manière lisible.
Il est toutefois facile de perdre de vue une distinction essentielle. Demander à un outil d’IA d’améliorer la formulation d’une offre d’emploi générique n’a rien à voir avec le fait d’y coller le CV d’une personne, ses notes d’entretien, ses coordonnées ou ses résultats de test.
Avant d’envoyer des éléments liés au recrutement à un outil d’IA externe, l’entreprise devrait déjà savoir ce qui advient de ces données et ce que prévoient réellement les règles du fournisseur. Si ce point n’est pas clair, les informations permettant d’identifier un candidat ne devraient tout simplement pas y être saisies.
Il ne s’agit pas vraiment d’interdire complètement l’IA, mais de donner aux équipes une règle qu’elles peuvent réellement retenir. La plupart des collaborateurs respecteront bien plus facilement une consigne courte et concrète qu’un vague « faites attention aux informations confidentielles ».
Une règle pratique pourrait être la suivante : l’IA peut être utilisée pour des modèles génériques et des contenus anonymisés, mais tout élément permettant d’identifier une personne reste dans les systèmes RH approuvés. C’est une distinction que l’on peut appliquer en deux secondes, plutôt qu’un jugement à refaire à chaque ouverture d’une fenêtre de chat.
Une bonne hygiène des comptes est peu passionnante — mais reste essentielle
Une grande partie du véritable travail de sécurité dans le recrutement est, il faut bien le dire, peu spectaculaire.
Un compte ATS protégé par un mot de passe déjà réutilisé sur trois autres services constitue une faiblesse évidente. Il en va de même pour un ancien salarié qui conserve ses accès pendant plusieurs mois après son départ. Ou encore pour un identifiant partagé entre quatre personnes parce que créer des comptes individuels semblait trop contraignant à l’époque.
Authentification multifacteur, comptes individuels, suppression des accès devenus inutiles, appareils chiffrés, logiciels à jour, gestionnaires de mots de passe : aucune de ces mesures n’est propre au recrutement. Il s’agit simplement de bonnes pratiques de base, qui prennent encore plus d’importance lorsqu’une équipe manipule régulièrement des CV, des coordonnées, des discussions salariales et des évaluations internes.
Les petites entreprises pensent parfois que ces mesures sont réservées aux organisations disposant d’une équipe dédiée à la cybersécurité. En réalité, c’est presque l’inverse : une petite équipe RH a moins de temps à consacrer à la surveillance d’un processus complexe, ce qui rend les protections simples et activées par défaut encore plus précieuses.
Un marché du recrutement plus calme donne encore plus de valeur à un bon processus
La sécurité et la qualité du recrutement ne sont pas vraiment deux sujets distincts. Un processus bien maîtrisé produit généralement, presque naturellement, une expérience de recrutement plus organisée.
C’est d’autant plus pertinent au vu de la tendance actuelle. Le Monde affirme que les recrutements vont reculer dans presque tous les secteurs en France en 2026, en s’appuyant sur l’enquête de France Travail sur les besoins en main-d’œuvre et sur une baisse des intentions d’embauche par rapport à 2025.
Lorsque moins de postes s’ouvrent réellement, un processus de recrutement désordonné devient plus difficile à justifier. Si une entreprise a décidé d’embaucher, elle doit pouvoir faire avancer un candidat dans un parcours où chacun sait clairement qui est responsable, où se trouvent les informations et qui prend la décision.
C’est précisément là que la sécurité montre son utilité. Des dossiers centralisés évitent toute confusion quant à la version à jour d’un document. Des droits d’accès clairement définis permettent de savoir qui participe réellement à la prise de décision. Des outils approuvés réduisent les conversations parallèles et dispersées, ainsi que les fichiers qui traînent. Une gestion rigoureuse des comptes permet de rattacher chaque action à une personne.
Au bout du compte, le processus n’est pas seulement « plus sûr ». Il est généralement plus simple à gérer.
Intégrer la sécurité aux habitudes plutôt que d’en faire une étape supplémentaire
La meilleure politique de sécurité du recrutement est celle que les équipes suivent presque sans s’en rendre compte.
Si les recruteurs doivent se souvenir d’une douzaine de précautions particulières chaque fois qu’ils ouvrent une candidature, c’est que le processus a été mal conçu. Il fonctionne bien mieux lorsque les paramètres par défaut sont déjà sécurisés : authentification multifacteur activée dès le premier jour, dossiers des candidats conservés dans l’ATS et nulle part ailleurs, accès liés aux fonctions, outils approuvés facilement disponibles et consignes claires déjà en place pour le travail à distance et l’utilisation de l’IA.
Il est également utile d’examiner de temps à autre le processus du point de vue du candidat. On ne devrait pas lui demander d’envoyer des informations personnelles sensibles via un canal non sécurisé ni de créer des comptes sur trois plateformes différentes sans raison claire. Chaque outil supplémentaire ajouté au parcours de recrutement doit résoudre un vrai problème — et non être utilisé simplement parce qu’il est disponible.
Le recrutement va continuer à se numériser, mais cela ne signifie pas qu’il doive devenir plus dispersé. La vraie question pour une équipe RH n’est pas de savoir combien d’outils de sécurité elle peut ajouter. Il s’agit de déterminer si les informations du candidat suivent un parcours unique, clair et traçable au sein de l’entreprise, de la première candidature jusqu’à la décision finale.
Lorsque ce parcours est bien conçu, sécuriser le recrutement cesse d’être une corvée de cybersécurité ajoutée au processus : il devient tout simplement une composante d’un recrutement bien mené.
