Votre employeur vous réclame votre casier judiciaire pour vous embaucher, puis conserve une copie dans votre dossier, ou vous écarte après l’avoir lu. Cette scène se répète dans d’innombrables recrutements, et elle obéit à des règles strictes que la plupart des recruteurs ignorent. Un extrait de casier judiciaire constitue une donnée relative à des condamnations pénales, soumise à une interdiction de principe de traitement. L’employeur ne peut l’exiger que dans des cas étroitement encadrés, et il ne peut quasiment jamais en garder une copie. Quand ces limites sont franchies, le candidat et le salarié disposent d’armes concrètes : demande d’effacement, plainte devant la CNIL, contestation du licenciement devant les prud’hommes et réparation du préjudice. La Commission nationale de l’informatique et des libertés a fixé la doctrine applicable, son guide du recrutement, mis à jour en mai 2026, détaille les pratiques interdites, et deux arrêts récents de cours d’appel montrent comment les juges tranchent lorsque l’affaire dégénère. Cet article explique ce que l’employeur a le droit de demander, ce qu’il doit restituer ou détruire, et comment réagir point par point lorsqu’il outrepasse ses droits.

I. Ce que votre employeur a le droit de vous demander à l’embauche

A. Une vérification autorisée seulement par un lien direct et nécessaire avec le poste

Le point de départ se trouve dans le code du travail. Aux termes de l’article L. 1221-6 du code du travail : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. Le candidat est tenu de répondre de bonne foi à ces demandes d’informations. » Chaque mot compte. L’employeur ne peut poser que des questions utiles à l’évaluation de votre aptitude au poste précis qu’il propose, et vous devez répondre loyalement aux demandes licites. Une question sans rapport avec le poste sort du cadre légal, et la réponse que vous y apportez ne peut pas vous être reprochée de la même manière.

À cette première limite s’ajoute une seconde, plus sévère, propre aux données pénales. Le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, prévoit à son article 10 que le traitement de données relatives à des condamnations pénales, à des infractions ou à des mesures de sûreté connexes ne peut être effectué que sous le contrôle de l’autorité publique ou lorsqu’il est autorisé par le droit de l’Union ou par le droit d’un État membre prévoyant des garanties appropriées pour les droits et libertés des personnes concernées Autrement dit, traiter des informations sur vos condamnations pénales est interdit par principe à un employeur privé, sauf si un texte l’y autorise avec des garanties. La CNIL en tire la conséquence dans sa fiche de mai 2026 : en l’absence de texte spécifique, un recruteur ne pourra en principe pas obtenir d’extrait de casier judiciaire d’un candidat. La demande systématique du bulletin à tous les candidats, pour tous les postes, constitue donc une mauvaise pratique, même présentée comme une simple formalité administrative.

Deux situations seulement ouvrent la porte à une vérification. La première vise les fonctions dites sensibles, pour lesquelles un texte prévoit expressément le contrôle : activités au contact des mineurs, des patients, des personnes âgées ou handicapées, agents de sécurité, assistantes maternelles, et certaines professions réglementées. Le contrôle de l’honorabilité prévu notamment par le code de l’action sociale et des familles, le code de l’éducation, le code de la santé publique et le code du sport permet alors de vérifier que le candidat ne présente pas une incapacité à occuper la fonction. Dans ce cas, la vérification passe le plus souvent par une autorité habilitée, qui délivre une attestation d’honorabilité, et l’employeur n’a pas accès au détail des fichiers judiciaires. La seconde situation, exceptionnelle, concerne un poste hors texte spécifique dont la nature particulière justifie la vérification, par exemple un poste impliquant des opérations de comptabilité assorties d’une interdiction d’exercer prononcée par un tribunal. Il revient alors à l’employeur de démontrer le lien direct et nécessaire avec le poste, et cette justification doit être documentée en amont, de préférence avec l’avis du délégué à la protection des données. Sans texte et sans justification liée au poste, la demande reste illicite, et le candidat peut la refuser sans que ce refus constitue un manque de bonne foi.

Une précision s’impose pour éviter une erreur fréquente. Le passé pénal ne figure pas parmi les motifs de discrimination prohibés par l’article L. 1132-1 du code du travail. L’angle d’attaque d’un candidat écarté à cause de son casier n’est donc pas, en règle générale, la discrimination, mais la protection des données personnelles. Et lorsque la vérification était légitime, la seule existence d’une condamnation ne suffit pas à justifier un refus : la CNIL rappelle que la seule mention d’une condamnation ne fait pas nécessairement obstacle à l’exercice d’une fonction, et que la seule raison qui autorise un employeur à refuser une embauche du fait de l’existence de condamnations dans le casier judiciaire résulte d’une incompatibilité de celles-ci avec l’emploi auquel prétend la personne. Une condamnation ancienne et sans rapport avec les tâches proposées ne peut pas fonder un refus d’embauche régulier.

B. Le bulletin montré mais jamais conservé : l’interdiction de garder une copie

Comprendre ce que l’employeur peut conserver suppose de distinguer les trois bulletins du casier judiciaire. L’article 768 du code de procédure pénale, en vigueur à la date de rédaction, décrit le casier judiciaire national automatisé tenu sous l’autorité du ministre de la justice et énumère les condamnations qu’il reçoit, des crimes et délits aux contraventions de cinquième classe, en passant par les compositions pénales et les faillites personnelles. Sur cette base, trois bulletins coexistent avec des contenus et des destinataires différents. Le bulletin n° 1, le plus complet, est réservé aux magistrats et aux établissements pénitentiaires ; aucun recruteur n’y a accès. Le bulletin n° 2 contient l’essentiel des condamnations à l’exception de certaines décisions ; il n’est délivré qu’à certaines autorités administratives et à des organismes privés pour des motifs précis énumérés par la loi, par exemple pour le recrutement des fonctionnaires. Le bulletin n° 3, le plus restreint, ne mentionne que les condamnations pour crimes et délits les plus graves, notamment les condamnations supérieures à deux ans d’emprisonnement sans sursis et certaines déchéances ou incapacités en cours d’exécution ; il n’est délivré qu’à la personne concernée, sur sa demande. L’employeur ne peut donc jamais consulter directement votre casier : tout au plus peut-il vous demander de lui présenter votre bulletin n° 3, dans les cas restreints décrits ci-dessus.

Même lorsque cette présentation est légitime, la règle de conservation est brutale pour l’employeur : il peut regarder, il ne peut pas garder. La CNIL l’énonce sans détour : l’employeur ne peut pas conserver une copie du bulletin n° 3 ni permettre que ces données fassent l’objet d’un traitement spécifique, et la mention des vérifications effectuées dans le fichier de gestion du personnel sous la forme oui/non est suffisante. Le guide du recrutement de mai 2026 précise le geste autorisé : une simple vérification visuelle du document papier, sans conservation du document, sans photocopie, sans recopie du contenu dans un fichier distinct, sans envoi par courriel. Les mauvaises pratiques listées par la CNIL parlent d’elles-mêmes : exiger le bulletin de tous les candidats sans lien avec le poste, le faire envoyer par courriel, le photocopier, recopier son contenu ailleurs. Chacun de ces gestes transforme une vérification éventuellement licite en traitement illicite de données relatives à des infractions.

Le fondement pénal de cette interdiction mérite d’être connu, car il donne à la violation une gravité particulière. L’article 777-3 du code de procédure pénale, en vigueur à la date de rédaction, dispose notamment : « Aucun fichier ou traitement de données à caractère personnel détenu par une personne quelconque ou par un service de l’Etat ne dépendant pas du ministère de la justice ne pourra mentionner, hors les cas et dans les conditions prévus par la loi, des jugements ou arrêts de condamnation. » La sanction suit immédiatement dans le même article : « Toute infraction aux dispositions qui précèdent sera punie des peines encourues […] », à savoir celles encourues pour le délit prévu à l’article 226-21 du code pénal. Et l’article 226-21 du code pénal, en vigueur, définit ainsi l’infraction : « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité […] est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende ». Conserver la copie d’un bulletin n° 3 dans un dossier RH, la scanner dans le système d’information ou la transmettre à un manager qui n’a pas à la connaître expose donc l’entreprise bien au-delà d’un simple rappel à l’ordre de la CNIL. Ce réflexe de conservation fige en outre une situation que la loi veut évolutive : l’article 769 du code de procédure pénale, en vigueur à la date de rédaction, prévoit que « Sont retirées du casier judiciaire les fiches relatives à des condamnations effacées par une amnistie ou réformées en conformité d’une décision de rectification du casier judiciaire », et organise l’effacement progressif de nombreuses mentions après des délais de trois à cinq ans. L’employeur qui archive une copie périmée s’expose à utiliser une information que le casier lui-même ne mentionne plus.

Les durées de conservation applicables en matière de recrutement confirment cette sévérité. Le RGPD pose à son article 5, paragraphe 1, point e) que les données doivent être conservées sous une forme permettant l’identification pendant une durée n’excédant pas ce qui est nécessaire au regard des finalités du traitement. La CNIL décline ce principe : les données des candidats non retenus ne peuvent pas être conservées indéfiniment, et pour alimenter un vivier de candidats, la durée recommandée n’excède en principe pas deux ans à compter du dernier contact. Surtout, l’extrait de casier judiciaire ne suit pas le sort ordinaire du dossier de candidature : là où un CV peut être conservé quelque temps, le bulletin pénal ne doit pas être conservé du tout, sauf texte spécifique fixant une durée. L’exemple donné par la CNIL pour les agents publics illustre l’exception : l’arrêté du 21 décembre 2012 relatif à la composition du dossier individuel des agents publics prévoit la conservation de l’extrait pendant trois mois. Autrement dit, même dans la fonction publique où la vérification du bulletin n° 2 est organisée par les textes, la conservation se compte en semaines, pas en années. Un employeur privé qui garde pendant des années la copie du bulletin n° 3 d’un salarié embauché il y a longtemps se trouve dans une situation difficilement défendable : aucune finalité de recrutement en cours ne justifie plus cette détention, et la minimisation des données, qui exige des données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies, selon l’article 5, paragraphe 1, point c) du RGPD, est manifestement méconnue.

Deux arrêts récents montrent comment ces principes se traduisent devant les juges. Le 30 mai 2025, la cour d’appel de Douai a statué sur le cas d’un surveillant de nuit employé par une association du secteur social et médico-social accueillant des mineurs placés. L’employeur avait obtenu la communication du bulletin n° 2 du salarié et appris qu’une condamnation y figurait, rendant l’intéressé incapable d’exercer auprès de mineurs au sens du code de l’action sociale et des familles. La cour a jugé le licenciement justifié, en précisant que la lettre de licenciement n’était motivée ni par une faute du salarié ni, a fortiori, par une faute grave, mais par l’incapacité professionnelle rendant impossible la poursuite du contrat, sans obligation de reclassement ni indemnité de préavis dès lors que le préavis ne pouvait pas être exécuté. Cette décision illustre le versant « fonctions sensibles » : quand un texte subordonne l’exercice du métier à une condition d’honorabilité, l’incompatibilité objective entre la condamnation et l’emploi autorise la rupture, sans qu’il soit besoin d’établir une faute. Le 25 septembre 2025, la cour d’appel d’Amiens a examiné la situation inverse : une salariée n’avait pas révélé à l’embauche une condamnation assortie d’une interdiction d’exercer une activité comptable, alors qu’elle occupait un poste incluant des opérations de comptabilité, et l’employeur l’avait licenciée pour faute en invoquant son obligation de loyauté. La cour a rejeté la demande de nullité du licenciement fondée sur la vie privée, en retenant que la recherche et l’obtention par l’employeur d’autres condamnations pénales publiquement prononcées ne portaient pas atteinte au droit à la vie privée de la salariée, tout en jugeant finalement le licenciement dépourvu de cause réelle et sérieuse parce que les faits fautifs étaient prescrits. Ces deux décisions dessinent une ligne claire : la compatibilité de la condamnation avec le poste décide de tout, et l’employeur qui tarde à agir ou qui conserve et exploite des données pénales hors cadre procédural perd ses procès sur le terrain de la procédure, quand bien même la condamnation serait réelle.

II. Comment réagir quand l’employeur outrepasse ses droits

A. Exiger l’effacement, saisir la CNIL et constituer votre dossier de preuves

La première démarche consiste à écrire à l’employeur, calmement et par écrit. La lettre doit identifier précisément ce que vous contestez : demande systématique du bulletin sans lien avec le poste, copie conservée dans votre dossier, mention recopiée dans le système d’information, diffusion du document à des personnes non habilitées, refus d’embauche fondé sur une condamnation compatible avec le poste. Demandez la suppression immédiate de la copie et de toute mention du contenu, ainsi que la confirmation écrite de cette suppression. Le responsable du traitement doit vous répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, ce délai pouvant être prolongé de deux mois compte tenu de la complexité et du nombre de demandes, comme le prévoit l’article 12, paragraphe 3 du RGPD. S’il ne répond pas ou refuse sans motif légitime, il doit vous informer des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. Conservez une copie de votre courrier et de son accusé de réception : ce premier échange conditionne souvent la suite.

Le droit à l’effacement constitue votre levier principal. L’article 17, paragraphe 1 du RGPD vous donne le droit d’obtenir du responsable du traitement l’effacement de vos données dans les meilleurs délais, le responsable étant tenu de les effacer dès que l’un des motifs prévus est rempli, notamment lorsque les données ont fait l’objet d’un traitement illicite. Une copie de bulletin n° 3 conservée sans texte l’autorisant entre exactement dans ce cas : le traitement est illicite dès son origine, et l’effacement s’impose. Le même article prévoit l’effacement lorsque les données doivent être effacées pour respecter une obligation légale, ce qui vise notamment l’interdiction de mention des condamnations hors des cas prévus par la loi. Seules des nécessités précises, comme la constatation, l’exercice ou la défense de droits en justice, peuvent faire échec à l’effacement, et l’employeur doit alors démontrer en quoi la conservation de la copie pénale reste nécessaire à un contentieux identifié, et non à une hypothétique prudence générale.

Parallèlement, la plainte devant la CNIL donne à votre démarche une portée administrative. La Commission peut contrôler l’entreprise, ordonner la suppression et prononcer des sanctions financières dont les montants, pour les violations les plus graves, atteignent des niveaux dissuasifs fixés par l’article 83 du RGPD. Votre plainte doit être factuelle et pièces à l’appui : décrivez le poste visé et ses tâches réelles, pour montrer l’absence de lien direct et nécessaire avec la vérification ; produisez le courriel ou le formulaire par lequel le bulletin vous a été réclamé ; indiquez si une copie a été conservée, scannée ou diffusée, et à qui ; précisez si le refus d’embauche ou la sanction disciplinaire mentionne explicitement le casier. La CNIL examine d’autant plus attentivement les dossiers où la pratique est systématique, par exemple un bulletin exigé de tous les candidats quel que soit le poste, ou un dossier RH dans lequel la copie du bulletin voisine avec le CV depuis des années. Si vous êtes encore dans l’entreprise, adressez votre demande d’effacement avant ou en même temps que la plainte, sans attendre l’issue du contrôle, car les délais administratifs ne suspendent pas les prescriptions applicables à une éventuelle action en justice.

La constitution des preuves mérite une attention particulière, car le contentieux se gagne sur des pièces datées. Rassemblez l’offre d’emploi et la fiche de poste, qui établissent les tâches réelles et l’absence de contact avec des publics vulnérables ou de fonctions réglementées ; toute la correspondance relative au casier, courriels, SMS, formulaires de recrutement et comptes rendus d’entretien ; les documents montrant la conservation, comme un inventaire du dossier, une capture du système d’information ou un témoignage écrit d’un collègue ; et, en cas de sanction ou de refus, la lettre qui la motive. Notez aussi les dates : date de la demande du bulletin, date de sa remise, date de la décision de l’employeur. Ces jalons serviront à apprécier aussi bien la proportionnalité de la demande que le respect des délais de procédure si un licenciement disciplinaire est prononcé. Les lecteurs confrontés à un refus d’embauche trouveront un complément utile dans notre analyse consacrée au refus d’embauche discriminatoire et au dossier de recrutement, qui détaille comment exiger la communication des notes et documents du recrutement.

B. Contester la décision de l’employeur devant le juge et obtenir réparation

Le choix du juge dépend de votre situation. Le salarié licencié à cause de son casier conteste son licenciement devant le conseil de prud’hommes. Le candidat simplement écarté, qui n’a jamais signé de contrat, porte son action en réparation devant le tribunal judiciaire, sur le fondement de la violation du RGPD et, le cas échéant, des règles du recrutement. Dans les deux cas, la demande indemnitaire propre au droit des données personnelles obéit à un texte européen d’application directe : l’article 82, paragraphe 1 du RGPD dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation de son préjudice. Le préjudice moral, anxiété liée à la diffusion d’une condamnation dans l’entreprise, perte de chance d’être embauché, atteinte à la réputation professionnelle, ouvre droit à réparation dès lors que la violation est établie, sans qu’il soit nécessaire de démontrer une faute distincte de l’employeur au sens du droit civil classique.

Devant les prud’hommes, la stratégie diffère selon que l’employeur invoque une faute ou une incompatibilité objective. Si l’employeur vous licencie pour faute en vous reprochant d’avoir tu une condamnation à l’embauche, vérifiez d’abord la prescription. L’article L. 1332-4 du code du travail, en vigueur, dispose : « Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales. » C’est exactement ce qui a fait chuter la procédure dans l’affaire jugée à Amiens le 25 septembre 2025 : l’employeur, informé depuis des mois de l’interdiction d’exercer pesant sur la salariée, avait engagé les poursuites trop tard, et la cour a déclaré les faits prescrits avant de juger le licenciement dépourvu de cause réelle et sérieuse, avec à la clé le rappel des salaires retenus pendant la mise à pied, l’indemnité de préavis, l’indemnité de licenciement et des dommages et intérêts. Le montant de l’indemnité pour licenciement sans cause réelle et sérieuse obéit alors au barème légal : l’article L. 1235-3 du code du travail, en vigueur, dispose que « Si le licenciement d’un salarié survient pour une cause qui n’est pas réelle et sérieuse, le juge peut proposer la réintégration du salarié dans l’entreprise, avec maintien de ses avantages acquis. Si l’une ou l’autre des parties refuse cette réintégration, le juge octroie au salarié une indemnité à la charge de l’employeur, dont le montant est compris entre les montants minimaux et maximaux fixés dans le tableau ci-dessous. » Retenez la méthode : demandez à l’employeur de prouver la date à laquelle il a eu une connaissance exacte et complète des faits, et comparez-la à la date d’engagement des poursuites. Un employeur qui détenait depuis longtemps la copie de votre bulletin ou qui avait reçu des signalements sans réagir aura les plus grandes difficultés à échapper à la prescription.

Si l’employeur invoque une incapacité objective, comme dans l’affaire de Douai, le débat se déplace sur la réalité de l’incompatibilité. Exigez la production du texte qui subordonnerait votre poste à une condition d’honorabilité, et vérifiez qu’il s’applique réellement à vos fonctions : un surveillant de nuit dans un établissement accueillant des mineurs placés n’est pas un comptable dans une société industrielle, et inversement. Lorsque le texte existe et s’applique, le licenciement peut être jugé fondé sans faute de votre part, ce qui emporte des conséquences précises sur le préavis et les indemnités, comme l’a détaillé la cour de Douai. Lorsque le texte n’existe pas ou ne vise pas votre poste, l’employeur doit démontrer le lien direct et nécessaire entre la condamnation et l’emploi, et une condamnation ancienne, sans rapport avec vos tâches, ne satisfait pas à cette exigence. Dans cette hypothèse, cumulez les demandes : contestation du licenciement sans cause réelle et sérieuse et réparation du préjudice propre à la violation du RGPD, car la conservation illicite de la copie pénale constitue un manquement autonome, distinct du bien-fondé de la rupture.

Pour le candidat écarté avant toute embauche, l’action se concentre sur la preuve du motif réel du refus et sur le chiffrage du préjudice. Sollicitez par écrit les motifs du refus et la restitution ou la destruction de votre bulletin ; en cas de réponse évasive, la plainte CNIL et l’action judiciaire avancent de front. Le préjudice se compose de la perte de chance d’obtenir l’emploi, des frais engagés pour la candidature et du préjudice moral lié à l’utilisation de vos données pénales hors cadre légal. Chiffrez chaque poste avec des pièces : échanges avec le recruteur montrant que votre profil convenait avant la découverte du casier, niveau de rémunération du poste visé, durée de la recherche d’emploi qui a suivi. Enfin, n’oubliez pas le volet pénal dans les cas les plus graves : la mention de votre condamnation dans un fichier d’entreprise hors des cas prévus par la loi et le détournement de vos données de leur finalité relèvent des incriminations rappelées plus haut, et un dépôt de plainte peut accompagner l’action civile et la saisine de la CNIL lorsque l’employeur a diffusé votre bulletin ou refusé obstinément de le détruire.

Conclusion

Un casier judiciaire n’est pas un document administratif comme les autres, et votre employeur n’en est pas le destinataire naturel. Retenez trois règles simples. Premièrement, aucune vérification sans fondement : hors texte prévoyant le contrôle pour une fonction sensible, l’employeur doit justifier d’un lien direct et nécessaire entre votre condamnation et le poste, et la demande systématique adressée à tous les candidats reste illicite. Deuxièmement, aucune conservation : le bulletin présenté à l’embauche se regarde et se rend, sans copie, sans scan, sans recopie, avec une simple mention de vérification dans le dossier. Troisièmement, aucune exploitation hors cadre : un refus d’embauche ou un licenciement fondé sur une condamnation compatible avec l’emploi expose l’employeur à la sanction de la CNIL, à la censure du juge et à la réparation de votre préjudice matériel et moral. Face à une demande abusive, écrivez, exigez l’effacement, saisissez la CNIL et faites vérifier vos délais par un avocat avant qu’ils ne se referment.