Un cabinet de recrutement, c’est une armoire à CV. Vingt ans de candidatures, des coordonnées, des parcours, parfois des situations personnelles confiées en entretien. Le jour où j’ai compris que ma petite structure gérait plus de données sensibles que beaucoup de PME industrielles, j’ai revu ma copie sur la sécurité des données.
- 1 1. Faire l’inventaire avant d’acheter le moindre outil
- 2 2. Former les personnes plutôt que blinder les machines
- 3 3. Une politique de mots de passe écrite, et une authentification à deux facteurs
- 4 4. Sauvegarder selon la règle 3-2-1, et tester la restauration
- 5 5. Protéger l’information, pas seulement le matériel
- 6 Deux questions qui reviennent en formation
1. Faire l’inventaire avant d’acheter le moindre outil
La première mesure ne coûte rien : écrire la liste de ce que vous détenez et de l’endroit où ça se trouve. Boîte mail, disque du portable, espace partagé, sauvegarde externe, logiciel de suivi des candidatures, dossiers papier restés dans une armoire. Chez moi, l’inventaire a fait apparaître trois copies d’un même fichier de candidats sur trois supports différents, dont un que je n’utilisais plus.
Ce recensement est aussi ce que la CNIL vérifie en premier. Les contrôles prioritaires annoncés pour 2026 portent en particulier sur l’information des candidats, les systèmes de décision automatisée et les durées de conservation, avec une durée maximale de deux ans après le dernier contact pour les candidatures non retenues. Un fichier oublié depuis huit ans n’est pas un détail technique, c’est une non-conformité.
En bref
- Deux ans après le dernier contact : c’est la durée maximale de conservation d’une candidature non retenue, selon la CNIL.
- L’hameçonnage représente 43 % des incidents déclarés par les TPE-PME, loin devant tout le reste.
- Seules 26 % des petites entreprises ont activé l’authentification multifacteur, alors que c’est le geste au meilleur rapport effort/protection.
- Sauvegarde 3-2-1 : trois copies, deux supports, une hors site, et un test de restauration par an.
2. Former les personnes plutôt que blinder les machines
Le point d’entrée d’une attaque reste presque toujours quelqu’un qui clique. Le baromètre national de la maturité cyber des TPE-PME réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises de moins de 250 salariés, entre juin et juillet 2025, chiffre à 16 % la part d’entreprises ayant subi au moins un incident sur les douze mois précédents. Dans ces incidents, l’hameçonnage arrive en tête avec 43 %, contre 24 % lors de l’édition précédente.
Ce que je fais concrètement, et qui tient en une heure par an : je montre à mon équipe deux vrais faux messages reçus dans l’année, on cherche ensemble le détail qui trahit, et on fixe une règle unique. Chez nous, c’est celle-ci : aucun changement de coordonnées bancaires ne se traite par mail, jamais, même si le message semble venir de moi.
3. Une politique de mots de passe écrite, et une authentification à deux facteurs
La règle des mots de passe fait perdre du temps à tout le monde tant qu’elle n’est pas écrite. Dans sa recommandation adoptée le 21 juillet 2022 (délibération n° 2022-100), la CNIL retient trois formules équivalentes, au choix, quand le compte n’est protégé que par un mot de passe :
- au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ;
- ou au moins 14 caractères avec majuscules, minuscules et chiffres, sans caractère spécial imposé ;
- ou une phrase de passe d’au moins sept mots, bien plus facile à retenir.
Le vrai saut de sécurité vient ensuite : activer l’authentification multifacteur sur la messagerie et sur les outils métier. Une fuite de mot de passe ne suffit alors plus à entrer. C’est encore rare dans les petites structures : le même baromètre la mesure à 26 % des TPE-PME, en progression de 6 points seulement sur un an. Et un post-it collé sur l’écran ne fait pas partie des solutions, quelle que soit la longueur du mot de passe qu’il porte.
4. Sauvegarder selon la règle 3-2-1, et tester la restauration
Une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde, c’est une intention. La règle retenue par l’ANSSI dans son guide destiné aux petites structures tient en trois chiffres : 3 copies des données, sur 2 supports différents, dont 1 conservée hors site. Le point qui compte le plus est le dernier : un disque externe branché en permanence sur le poste sera chiffré en même temps que le reste en cas de rançongiciel.
Ajoutez-y les mises à jour. Un logiciel non mis à jour laisse ouverte une faille déjà publiée, donc déjà connue de ceux qui la cherchent. Les failles de sécurité représentent 18 % des incidents déclarés dans le baromètre cité plus haut, contre 14 % un an plus tôt.
5. Protéger l’information, pas seulement le matériel
C’est le conseil que je donne en dernier parce qu’il change la façon de voir les quatre précédents. On raisonne facilement en équipements à sécuriser, alors que l’obligation porte sur les données elles-mêmes. L’article 32 du RGPD demande des mesures « appropriées au risque » : ce n’est pas une liste d’achats, c’est un raisonnement à tenir sur ce qu’on détient et sur ce qu’une fuite provoquerait.
En pratique, cela veut dire trier les accès plutôt que tout partager avec tout le monde, chiffrer les supports mobiles qui sortent du bureau, et savoir quoi faire en cas de violation de données : le RGPD impose de notifier la CNIL dans les 72 heures dès lors que la violation présente un risque pour les personnes concernées. Décider de ça à froid prend vingt minutes. Le décider à chaud, jamais.
Le contexte ne s’arrange pas : Cybermalveillance.gouv.fr a assisté plus d’un demi-million de victimes en 2025, soit 20 % de plus qu’en 2024, avec un hameçonnage en hausse de 70 % et des demandes liées aux violations de données en progression de 107 % (rapport d’activité publié le 26 mars 2026).
Deux questions qui reviennent en formation
Une petite structure est-elle vraiment visée ?
Elle l’est d’autant plus qu’elle est peu protégée. Les attaques les plus courantes, hameçonnage et piratage de compte, ne ciblent personne en particulier : elles ratissent. Le baromètre TPE-PME relève d’ailleurs que 80 % des dirigeants interrogés se disent non préparés ou ne savent pas s’ils le sont.
Par quoi commencer si je n’ai ni budget ni prestataire ?
Par l’inventaire, l’authentification multifacteur sur la messagerie et une sauvegarde hors site. Ces trois gestes sont gratuits ou quasiment, et couvrent les scénarios les plus fréquents. Le guide de l’ANSSI, de la CPME et de la direction générale des entreprises consacré à la cybersécurité des TPE-PME en treize questions est un point de départ suffisant pour une première passe.
Pour rester dans la sécurité professionnelle, on vous parle de l’entreprise safe.
Vous recevez des candidatures ?
Alors vous traitez des données personnelles, et les règles ci-dessus vous concernent autant qu’une entreprise industrielle. Le tri des informations que vous demandez aux candidats se prépare des deux côtés de la table.
Les informations personnelles à ne pas faire figurer dans une candidature
Publié à l’origine sur arcadeweb.fr, mis à jour le 18 août 2026. Information générale, qui ne remplace ni un audit de sécurité ni un conseil juridique sur votre conformité au RGPD.
Sources : CNIL, délibération n° 2022-100 du 21 juillet 2022 ; CNIL, thématiques prioritaires de contrôle 2026 ; règlement général sur la protection des données, articles 32 et 33 ; Cybermalveillance.gouv.fr, rapport d’activité et état de la menace 2025 (26 mars 2026) et baromètre national de la maturité cyber des TPE-PME, 2e édition, OpinionWay, 588 entreprises, juin-juillet 2025 ; ANSSI, DGE, CPME et France Num, « La cybersécurité pour les TPE/PME en treize questions ».
Sujets complémentaires à traiter séparément : la durée de conservation des candidatures dans un cabinet de recrutement, et la clause de confidentialité dans un contrat de prestation RH.