Il fut un temps où annoncer cinq millions de profils dans une CVthèque suffisait à décrocher les DSI. Aujourd’hui, certains acteurs affichent des centaines de millions de profils tech accessibles en un clic.
Face à ces volumétries vertigineuses, une question s’impose immédiatement pour un directeur des systèmes d’information ou un responsable acquisition IT : d’où viennent ces données, et qu’ai-je réellement le droit d’en faire ?
Le secteur de l’informatique concentre une population de candidats hyper-sourcée, particulièrement au fait des enjeux de vie privée numérique, et proportionnellement plus exposée aux bases constituées par aspiration. Entre sanctions CNIL sur le scraping LinkedIn, entrée en application de l’AI Act et attentes candidats en évolution, les règles du jeu du sourcing IT changent en profondeur.
Le sourcing IT sous la double pression du RGPD et de l’AI Act
RGPD : la responsabilité partagée entre fournisseur et recruteur
Vous achetez un accès à une base de profils IT présentée comme « conforme RGPD » ? Vous pensez avoir transféré le risque juridique à votre fournisseur ?
C’est une lecture erronée du règlement. Le RGPD instaure une responsabilité en chaîne : si la donnée est collectée illicitement à la source, l’entreprise qui l’exploite dans son processus de recrutement engage sa propre responsabilité de traitement.
La CNIL le rappelle dans son guide du recrutement : chaque recruteur reste responsable de traitement pour les données qu’il utilise, y compris lorsqu’elles proviennent d’un tiers. La conformité affichée commercialement par un éditeur ne suffit pas. Ce qui compte, c’est la traçabilité réelle du consentement et de la base légale à l’origine du profil.
Un durcissement clair des contrôles sur les bases enrichies
Les autorités européennes de protection des données ont posé un cadre de plus en plus strict sur les pratiques d’aspiration de coordonnées à des fins commerciales ou de recrutement.
Le cas Kaspr illustre bien la trajectoire. Fin 2024, la CNIL a sanctionné cet éditeur d’une extension Chrome pour avoir collecté sur LinkedIn les coordonnées d’utilisateurs ayant pourtant restreint la visibilité de leur profil, constituant une base d’environ 160 millions de contacts utilisée notamment pour du recrutement. La société a depuis choisi de supprimer sa base et de cesser toute collecte sur le réseau social.
Le raisonnement de fond est instructif pour tout DSI qui exploite une CVthèque enrichie par scraping : le caractère techniquement accessible d’une donnée ne vaut pas autorisation de la collecter à des fins de recrutement.
Ce signal ne se limite pas à un acteur isolé. La CNIL a annoncé une intensification des contrôles sur les pratiques de sourcing, et ses homologues européens disposent désormais d’outils d’investigation renforcés.
AI Act : le recrutement basculé en catégorie « haut risque »
Le règlement européen sur l’intelligence artificielle (règlement UE 2024/1689) classe explicitement les systèmes d’IA utilisés pour trier, classer, noter ou mettre en relation des candidats parmi les usages « à haut risque » (Annexe III).
Les obligations pour ces systèmes deviennent pleinement applicables le 2 août 2026.
Cela concerne directement votre stack de sourcing IT : ATS avec scoring, matching sémantique, analyse automatisée de CV, algorithmes de suggestion de profils.
Concrètement, vous devrez documenter le système, garantir une supervision humaine sur les décisions, tracer les données d’entraînement et informer les candidats du recours à une IA.
Point critique : l’obligation de qualité et de représentativité des jeux de données d’entraînement rend particulièrement risqués les modèles alimentés par des CVthèques constituées sans base légale claire.
Bases scrapées : pourquoi le risque est structurellement plus élevé en IT ?
Volumétrie affichée versus profils réellement exploitables
Que vous parlent 300 millions de profils tech quand vous cherchez un lead DevOps senior disponible sous trente jours à Lyon ?
Sur le sourcing IT, la volumétrie brute décorrélée de la fraîcheur et du consentement produit un effet trompeur. Les profils aspirés il y a deux ans depuis LinkedIn ou GitHub reflètent des stacks techniques qui ont évolué, des disponibilités qui ne sont plus d’actualité, des TJM obsolètes pour les freelances.
Un cabinet de recrutement IT ou une ESN qui se fie à ces indicateurs perd du temps à contacter des profils inaccessibles, dépassés ou déjà repositionnés.
La bonne question n’est pas « combien de profils avez-vous ? », mais : combien de profils sont actifs, mis à jour dans les six derniers mois, et ont-ils explicitement consenti à être contactés par des recruteurs ?
Le développeur, un profil particulièrement sensible à sa vie privée numérique
Culture privacy, connaissance fine du RGPD, familiarité avec les mécanismes de scraping et d’enrichissement : les profils IT figurent parmi les plus vigilants sur leur empreinte numérique.
Un développeur senior ou un architecte cloud reçoit chaque semaine des sollicitations cold via LinkedIn, des emails perso extraits d’on ne sait quelle base, des SMS de recruteurs qui n’ont jamais expliqué où ils avaient trouvé son numéro.
Le rejet est immédiat. Et souvent public.
Pour un cabinet de recrutement IT, un cold outreach mal ciblé produit une réputation négative qui circule vite dans les communautés tech. Le sourcing IT touche ici directement à votre marque employeur : la façon dont vous récupérez la donnée devient un signal envoyé au marché candidat.
Coût réel d’une non-conformité pour une entreprise tech
L’article 83 du RGPD prévoit des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. L’AI Act introduit des plafonds supérieurs pour certaines infractions.
Mais le coût financier direct n’est pas le seul enjeu.
La publication des décisions CNIL, la médiatisation dans les communautés tech, le préjudice sur votre pipeline de recrutement futur pèsent souvent davantage que l’amende elle-même. Un DSI qui doit expliquer à son COMEX pourquoi son cabinet de sourcing IT a été épinglé par la CNIL vit rarement un bon moment.
La donnée consentie, socle d’un sourcing IT durable
Le jobboard spécialisé IT, un consentement établi à la source
Un jobboard spécialisé fonctionne selon une logique radicalement différente de celle des bases enrichies par scraping.
Le candidat s’inscrit volontairement sur la plateforme, accepte les conditions générales, renseigne lui-même ses compétences, sa stack technique, ses prétentions salariales ou son TJM, et coche explicitement la case autorisant les recruteurs partenaires à consulter son profil.
La base légale du traitement est claire : le consentement (article 6.1.a du RGPD), auquel s’ajoute l’exécution de mesures précontractuelles lorsque le candidat postule à une offre spécifique.
Cette architecture juridique protège le candidat, sécurise le recruteur et facilite l’exercice des droits d’accès, de rectification et d’effacement prévus par le règlement.
Fraîcheur et déclaratif : ce qui compte vraiment pour un DSI
La donnée consentie apporte un bénéfice trop souvent sous-estimé : la fraîcheur.
Un développeur qui vient de mettre à jour son profil pour intégrer sa dernière certification AWS. Un architecte cloud qui a modifié sa disponibilité en passant de « en poste » à « en écoute active ». Un consultant data qui a affiné son TJM pour son prochain intercontrat.
Toutes ces informations remontent en temps réel dans la CVthèque parce que le candidat lui-même les a saisies.
Sur les métiers tech, où les stacks évoluent tous les six mois et où la disponibilité change du jour au lendemain, la valeur d’un profil déclaratif à jour dépasse largement celle d’un profil enrichi mais figé dans le temps.
Ce que « base légale opposable » signifie concrètement pour votre DPO
Face à un contrôle CNIL ou à un audit interne, la question n’est pas de « prouver sa bonne foi ».
C’est de fournir la documentation exacte de la base légale, du recueil du consentement et de la durée de conservation, profil par profil si nécessaire.
Un jobboard consenti permet cette traçabilité par construction. Une base scrapée, quasiment jamais.
Turnover-IT : le sourcing IT sur base consentie depuis plus de 20 ans
Turnover-IT s’appuie depuis plus de vingt ans sur une CVthèque 100 % déclarative, spécialisée sur les métiers de l’IT et du digital.
Les chiffres : 404 000 profils tech (développement, cloud/DevOps, data, cybersécurité, gestion de projet, UX/UI, QA, SysOps), 6 millions de consultations de CV sur les douze derniers mois, 3 000 recruteurs actifs.
La plateforme intègre un moteur de recherche booléen, un matching IA, une messagerie candidat directe, une place de marché B2B pour les ESN, et se connecte à plus de 40 ATS du marché via l’API JobConnect. Une volumétrie rationnelle, cohérente avec la taille réelle du marché tech français, et une donnée dont la base légale est opposable en cas de contrôle.
Que change la donnée consentie concrètement dans vos process de recrutement IT ?
Taux de réponse et engagement candidat
Vous avez déjà comparé les taux de réponse d’un mailing groupé envoyé à des profils extraits par scraping et ceux d’un envoi ciblé vers des candidats qui ont explicitement accepté d’être contactés ?
Le différentiel est significatif.
Un candidat prévenu qu’il rendait son profil visible aux recruteurs partenaires ouvre le message, le lit, et répond, même si l’opportunité n’est pas alignée. Un candidat contacté à froid sur son numéro perso récupéré on ne sait où bloque, signale, et parfois publie sa colère.
Intégrations ATS et traçabilité de bout en bout
L’origine de la donnée doit pouvoir être documentée jusque dans votre outil de suivi.
Turnover-IT s’intègre à plus de 40 ATS et SIRH via l’API JobConnect, avec Profile Sync pour la synchronisation en temps réel des mises à jour de profil et Talent Search pour l’accès à la CVthèque depuis vos outils internes.
Cette traçabilité est un atout au moment où vous devrez, sous l’effet combiné de l’AI Act et du RGPD, être capable de démontrer à un contrôleur CNIL, à votre DPO ou à votre direction juridique la base légale de chaque profil présent dans votre pipeline.
Un audit interne devient trivial. Un contrôle CNIL, gérable.
Sur un marché IT tendu, la relation candidat devient un avantage compétitif
Le marché du recrutement IT ne se joue plus uniquement sur la taille de la base ou sur la vitesse du matching.
Sur les profils rares (SRE seniors, ingénieurs sécurité offensive, data engineers spécialisés MLOps, architectes cloud multi-provider), la qualité de la relation construite avec le candidat pèse autant que la performance technique de l’outil.
Un jobboard spécialisé où le candidat vient volontairement, où il peut à tout moment modifier sa visibilité, retirer son profil ou affiner ses préférences de contact, construit une relation asymétriquement plus saine qu’une base subie.
Pour un cabinet de recrutement IT indépendant ou un consultant qui pilote son propre pipeline, ce positionnement éthique devient un argument de différenciation face aux clients grands comptes qui commencent à intégrer la conformité data dans leurs critères de sélection de prestataires.
FAQ — Sourcing IT et conformité RGPD
Le RGPD s’applique-t-il aux données professionnelles utilisées en sourcing IT ?
Oui, sans ambiguïté.
Le RGPD ne fait pas de distinction entre données personnelles et données professionnelles : un email pro, un numéro de téléphone d’entreprise, un profil LinkedIn associé à une personne physique identifiable sont des données personnelles au sens de l’article 4 du règlement.
Leur traitement à des fins de recrutement doit reposer sur une base légale valable et respecter les droits des candidats.
Que risque une entreprise qui exploite une CVthèque IT constituée par scraping ?
Le RGPD prévoit des sanctions financières allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial.
Au-delà de l’amende, la publication de la décision par la CNIL, l’atteinte à la marque employeur et les recours individuels de candidats démarchés constituent des risques matériels souvent sous-estimés. La responsabilité de traitement s’étend à l’entreprise utilisatrice, pas seulement au fournisseur de la base.
Comment vérifier qu’une base de profils tech est réellement RGPD-compliant ?
Trois vérifications minimales.
- Demandez à votre fournisseur la documentation de la base légale utilisée (consentement, intérêt légitime avec balance des intérêts documentée, exécution d’un contrat).
- Exigez la preuve du mécanisme de recueil du consentement candidat.
- Vérifiez que la CVthèque permet aux candidats d’exercer facilement leur droit d’accès et d’effacement. Une base éthique n’a rien à cacher sur ces points.
L’AI Act concerne-t-il les outils de matching IA utilisés en sourcing tech ?
Oui. L’Annexe III du règlement UE 2024/1689 classe explicitement les systèmes d’IA utilisés pour trier, noter ou classer des candidats comme « haut risque ». Les obligations principales (documentation technique, supervision humaine, information des candidats, gestion des risques de biais) deviennent applicables le 2 août 2026. Cela vise directement les ATS avec scoring et les moteurs de matching sémantique intégrés aux CVthèques IT.