Votre candidature avance bien, puis le recruteur vous réclame votre casier judiciaire, une photo récente, l’accès à vos comptes sur les réseaux sociaux ou un questionnaire sur votre santé. Vous hésitez entre obéir pour décrocher le poste et refuser pour protéger votre vie privée, sans savoir où passe la limite. Cet article répond à cette question concrète : ce que le recruteur peut exiger, ce qu’il peut seulement vous demander de lui montrer, ce qui lui est interdit, et comment réagir quand la collecte dérape. Vous y trouverez les textes applicables, la position officielle de la Commission nationale de l’informatique et des libertés sur le casier judiciaire, les démarches pour obtenir l’accès à votre dossier de candidature puis son effacement, et les recours devant la CNIL, le Défenseur des droits et le juge, avec la réparation du préjudice. Les règles exposées valent pour un recrutement dans le secteur privé en France, y compris à Paris et en Île-de-France où siègent la CNIL, le Défenseur des droits et de nombreuses juridictions saisies de ces litiges.

I. Ce que le recruteur peut vous demander, et où s’arrêtent ses droits

A. Seules les informations en lien direct et nécessaire avec le poste sont admises

Le Code du travail pose une double limite à tout ce qui se joue avant l’embauche. D’abord, une limite générale : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Ensuite, une règle propre au recrutement : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Et le même article ajoute l’exigence qui sert de test à chaque question du recruteur : « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. » Le texte précise enfin que « Le candidat est tenu de répondre de bonne foi à ces demandes d’informations. », ce qui signifie que la bonne foi joue dans les deux sens : le candidat répond honnêtement aux questions légitimes, et l’employeur ne pose que des questions légitimes.

Concrètement, le recruteur peut vérifier vos diplômes, votre expérience, vos références professionnelles, votre disponibilité, votre permis de conduire pour un poste de livreur, votre niveau de langue pour un poste en contact avec une clientèle étrangère. En revanche, vos opinions politiques, vos convictions religieuses, votre vie de famille, votre état de grossesse, votre état de santé, vos loisirs, votre situation financière ou vos antécédents judiciaires ne présentent, pour la plupart des postes, aucun lien direct et nécessaire avec l’emploi. Les questions posées sur ces terrains sont donc, par principe, excessives. Le Code du travail protège aussi les méthodes : le Code du travail impose d’informer préalablement le candidat des méthodes et techniques d’aide au recrutement utilisées à son égard et de n’employer que des méthodes pertinentes au regard de la finalité poursuivie (Code du travail, art. L. 1221-8) Tests de personnalité, mises en situation, jeux de rôle, prise de références auprès d’anciens employeurs : chacun de ces outils doit être annoncé avant d’être utilisé, et chacun doit rester pertinent pour le poste. Enfin, la collecte cachée est prohibée : aucune information concernant personnellement un candidat ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (Code du travail, art. L. 1221-9) Un recruteur qui enquête sur vous à votre insu, par exemple en activant un outil de surveillance de votre activité en ligne sans vous en avoir informé, méconnaît ce texte.

La photographie jointe au curriculum vitae appelle une réponse nuancée. Aucun texte n’interdit au candidat de joindre sa photo, et aucun texte n’oblige le recruteur à l’exiger. Mais exiger une photo pour un poste sans contact avec le public, puis écarter une candidature sur l’apparence physique, heurte à la fois la règle du lien direct et nécessaire et l’interdiction des discriminations. L’article L. 1132-1 du Code du travail dispose qu’« Aucune personne ne peut être écartée d’une procédure de recrutement » notamment en raison de son apparence physique, de son origine, de son sexe, de son âge, de son état de santé ou de son handicap. Si vous estimez qu’une photo vous est demandée pour des motifs étrangers au poste, vous pouvez adresser un curriculum vitae sans photo et rappeler poliment que votre candidature s’apprécie sur vos compétences. Conservez une copie de l’offre et des échanges : en cas de litige, ces pièces serviront à établir le déroulement de la procédure.

Les réseaux sociaux concentrent les litiges les plus fréquents. Consulter votre profil professionnel public pour vérifier un parcours est une chose ; exiger vos identifiants et mots de passe, vous demander d’ouvrir votre compte privé pendant l’entretien, ou éplucher vos publications familiales, vos engagements, votre vie sentimentale, en est une autre. La deuxième attitude collecte des informations sans lien direct et nécessaire avec le poste, souvent à l’insu du cadre annoncé, et traite des données que le candidat n’avait destinées qu’à un cercle restreint. La Cour de cassation sanctionne les collectes déloyales jusque dans les fichiers internes de l’entreprise : l’exploitation des fichiers de journalisation, qui permettent d’identifier indirectement une personne physique, constitue un traitement de données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978 susvisée », de sorte que la preuve issue d’un traitement mis en oeuvre sans les formalités préalables est jugée illicite, la Cour relevant que « la preuve était illicite » (Soc., 25 novembre 2020, n° 17-19.523). La Commission nationale de l’informatique et des libertés résume ce principe en des termes identiques : « les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Un recruteur qui ratisse vos comptes privés pour y chercher des motifs d’élimination méconnaît cette minimisation. En pratique, verrouillez les paramètres de confidentialité de vos comptes personnels, conservez un profil professionnel public soigné, et si l’on vous demande un accès à vos comptes privés, refusez par écrit en rappelant que ces espaces relèvent de votre vie personnelle et restent sans rapport avec le poste. Ce refus écrit fera preuve de votre position si la candidature est ensuite écartée.

Les questions de santé obéissent au régime le plus strict. le Code du travail prohibe toute éviction d’une procédure de recrutement « en raison de son état de santé, de sa perte d’autonomie ou de son handicap », et les données de santé comptent parmi les données les plus protégées : seul un cadre légalement prévu, comme le suivi par la médecine du travail ou un aménagement demandé par le candidat lui-même, peut justifier leur traitement dans le cadre de l’embauche Les exceptions à cette interdiction sont étroites et ne correspondent pas à la curiosité d’un recruteur : suivi par la médecine du travail, obligations de sécurité, aménagement du poste pour un travailleur reconnu handicapé qui en fait lui-même la demande. Hors de ces cas, un questionnaire sur vos maladies, vos traitements, vos arrêts de travail passés, une grossesse en cours ou envisagée, ou vos antécédents psychologiques est interdit. Seule la médecine du travail, après l’embauche, apprécie l’aptitude médicale, et son avis s’impose dans son champ sans que l’employeur ait accès au détail médical. Si un formulaire de candidature comporte une rubrique santé, laissez-la vide, signalez par écrit que cette rubrique vous paraît sans rapport avec le poste, et gardez une copie du formulaire. Pour un poste exposant à des risques particuliers, l’employeur peut vous orienter vers une visite d’information et de prévention, mais il ne peut pas vous imposer de lui remettre votre dossier médical ni exiger le contenu de vos échanges avec le médecin.

B. Le casier judiciaire : ce que l’employeur peut voir, et ce qu’il doit vous rendre

Le casier judiciaire national comprend trois bulletins aux destinataires différents. Le bulletin n° 1, relevé intégral, est réservé aux autorités judiciaires (Code de procédure pénale, art. 774) et ne concerne jamais le recrutement. Le bulletin n° 2 exclut une partie des condamnations et reste réservé à des destinataires énumérés par la loi ; la page officielle du service public rappelle que Le bulletin n°2 du casier judiciaire est uniquement délivré à certaines autorités publiques et à certains employeurs. Vous-même, candidat, vous ne pouvez pas obtenir une copie de votre bulletin n° 2 : vous pouvez seulement en demander la consultation. Le bulletin n° 3, le plus restreint, « peut être réclamé par la personne qu’il concerne, il ne doit, en aucun cas, être délivré à un tiers ». Retenez donc la première règle pratique : aucun recruteur ordinaire ne peut exiger de vous un bulletin n° 2, puisque ce document ne vous est pas délivré, et aucun recruteur ne peut exiger la remise de votre bulletin n° 3 comme condition d’embauche déguisée, puisque ce bulletin ne doit en aucun cas être délivré à un tiers.

La Commission nationale de l’informatique et des libertés a tranché la question que se posent des milliers de candidats : l’employeur peut-il demander l’extrait de casier judiciaire et le conserver ? Sa réponse distingue la présentation et la conservation : En l’absence d’un texte spécifique prévoyant la vérification des casiers judiciaires des employés, l’employeur peut demander à un candidat ou à un employé de produire l’extrait de son casier judiciaire (B3) lors d’un entretien, par exemple afin de vérifier ses antécédents judiciaires. Vous pouvez donc, en pratique, présenter votre bulletin n° 3 au recruteur qui vous le demande lors de l’entretien. Mais la Commission ajoute aussitôt l’interdit : Toutefois, dans ce cas, l’employeur ne peut pas en conserver une copie ni permettre que ces données fassent l’objet d’un traitement spécifique. Présenter le document, oui ; le laisser photocopier, scanner, classer dans un dossier ou enregistrer dans un logiciel de recrutement, non. La Commission précise le seul enregistrement admis : La mention des vérifications des casiers effectuées dans le fichier de gestion du personnel sous la forme « oui/non » est suffisante. Autrement dit, le dossier du personnel peut indiquer que la vérification a eu lieu, sans conserver le contenu du bulletin.

Certaines fonctions dites sensibles obéissent à un régime particulier prévu par des textes spéciaux : agents de sécurité privée, assistantes maternelles, personnes en contact habituel avec des mineurs, convoyeurs de fonds, personnels habilités à des zones protégées. Pour ces fonctions, des textes peuvent prévoir la vérification, par l’employeur ou par certaines autorités délivrant des agréments, des casiers judiciaires des employés (bulletins B2 ou B3). La Commission ajoute que Ces textes peuvent prévoir la durée pendant laquelle l’employeur est tenu de conserver l’extrait du casier judiciaire (3 mois est communément retenu, notamment pour les administrations). et qu’En l’absence de précisions dans le texte, le document ne doit pas être conservé. Vérifiez donc toujours le texte invoqué : demandez au recruteur la référence exacte du texte qui imposerait la vérification pour le poste proposé, et contrôlez qu’il vise bien cet emploi. Quand la vérification passe par une autorité qui délivre un agrément, l’employeur n’a pas besoin de consulter le casier judiciaire puisque les vérifications sont assurées par une autorité habilitée et que la délivrance de l’agrément est en soi suffisante. L’agrément suffit alors, et aucune pièce judiciaire supplémentaire ne doit circuler.

Reste la question décisive : une condamnation inscrite au casier peut-elle justifier à elle seule un refus d’embauche ? La Commission répond par la négative, sauf incompatibilité réelle : La seule mention d’une condamnation ne fait pas nécessairement obstacle à l’exercice d’une fonction dans le secteur privé ou l’administration. et La seule raison qui autorise un employeur à refuser une embauche du fait de l’existence de condamnations dans le casier judiciaire résulte d’une incompatibilité de celles-ci avec l’emploi auquel prétend la personne. Une condamnation ancienne pour conduite sans permis n’est pas incompatible avec un poste de comptable sédentaire ; une interdiction d’exercer auprès de mineurs est incompatible avec un poste d’animateur. L’employeur qui écarte une candidature au seul motif d’une mention au casier, sans démontrer cette incompatibilité avec les fonctions proposées, s’expose à une contestation pour discrimination et pour collecte excessive. Si vous êtes confronté à un tel refus, demandez-en les motifs par écrit, conservez l’offre d’emploi qui décrit les fonctions, et rapprochez ces pièces de votre bulletin : l’écart entre le poste réel et le motif invoqué fera le coeur de votre recours.

Ajoutez à cela le traitement des données relatives aux condamnations pénales, que le règlement européen réserve aux cas encadrés par le droit national sous contrôle officiel. Un recruteur qui constituerait sa propre base d’antécédents judiciaires des candidats, qui interrogerait des fichiers interdits d’accès ou qui conserverait des copies de bulletins en dehors des textes spéciaux violerait à la fois la position de la Commission et l’exigence d’un traitement fondé sur une base légale : hors des textes spéciaux qui visent les fonctions sensibles et hors l’agrément délivré par une autorité habilitée, aucune curiosité de l’entreprise ne fonde la vérification, et un consentement arraché sous la pression de l’embauche ne constitue presque jamais une base valable. L’autorisation de la loi ou l’agrément d’une autorité, jamais la simple curiosité de l’entreprise, fonde la vérification.

II. Vos recours quand la collecte dérape : refuser, vérifier, effacer, saisir le juge

A. Refuser la collecte excessive, puis reprendre la main sur votre dossier

Refuser une demande excessive pendant un recrutement demande du courage, car le rapport de force penche vers l’employeur. Le droit vous donne pourtant les moyens d’un refus ferme et documenté. Rappelez par écrit, dans un courriel poli et bref, que les informations demandées doivent présenter un lien direct et nécessaire avec le poste, que les méthodes d’évaluation doivent vous être annoncées avant leur mise en oeuvre et rester pertinentes, et qu’aucune information vous concernant ne peut être collectée à votre insu. Proposez aussitôt l’équivalent légitime : présentation du bulletin n° 3 sans remise de copie, visite auprès de la médecine du travail pour l’aptitude médicale, références professionnelles vérifiables, extrait de vos réalisations. Ce courriel remplit trois fonctions : il marque votre bonne foi, il oblige le recruteur à justifier sa demande, et il constitue une preuve datée si votre candidature est écartée juste après votre refus. N’acceptez jamais de remettre vos identifiants de réseaux sociaux, de signer une autorisation générale d’enquête sur votre vie privée, ou de remplir un questionnaire de santé destiné au recruteur plutôt qu’au médecin du travail. Si l’on vous propose un poste à condition de signer de telles autorisations, demandez un exemplaire du document, relisez-le chez vous, et faites-vous assister avant de signer : une fois signée, l’autorisation servira d’argument au recruteur, même si sa valeur juridique reste discutable au regard de l’exigence d’un consentement libre.

Une fois la procédure terminée, que vous soyez embauché ou non, reprenez la main sur vos données. La Commission décrit ainsi ce droit d’accès : Le droit d’accès vous permet de savoir quelles informations les administrations, les organismes publics ou privés ou les sociétés commerciales détiennent sur vous dans leurs fichiers et d’en avoir une copie. L’exercice du droit d’accès permet de savoir si vos données personnelles sont traitées et d’en obtenir la communication dans un format compréhensible. Écrivez au service des ressources humaines ou au délégué à la protection des données de l’entreprise pour demander la copie de votre dossier de candidature : curriculum vitae annoté, comptes rendus d’entretien, résultats de tests, grilles de notation, échanges internes vous concernant, et, le cas échéant, la copie du bulletin de casier conservée en violation des règles. Le responsable du traitement doit vous répondre dans un langage clair : vos données doivent vous être communiquées dans un format compréhensible, ce qui vous permet d’en contrôler l’exactitude et d’en demander la rectification ou l’effacement. Si la réponse est évasive, relancez en rappelant la liste précise des pièces demandées. Les candidats qui découvrent ainsi les annotations portées sur leur dossier y trouvent souvent la preuve d’une collecte excessive : commentaires sur leur vie privée, copies de publications personnelles, mentions sur leur santé ou leur famille.

Vient ensuite l’effacement. Chacun peut exiger l’effacement de ses données : Vous avez le droit de demander à un organisme l’effacement de données à caractère personnel vous concernant. C’est notamment le cas lorsque les données ne sont pas ou plus nécessaires au regard des objectifs pour lesquelles elles ont été initialement collectées ou traitées. Pour un candidat non retenu, les notes d’entretien, les résultats de tests, les copies de pièces d’identité ou les captures de réseaux sociaux ne sont plus nécessaires une fois le poste pourvu et les délais de contestation passés. Exigez donc l’effacement de ces pièces, et en tout état de cause l’effacement immédiat de toute copie de casier judiciaire conservée hors des textes spéciaux, de tout questionnaire de santé rempli pour le recruteur, et de tout accès à vos comptes privés. Cette exigence de limitation vaut dès la collecte : les finalités doivent être explicites et déterminées, les données rester adéquates et pertinentes, et le responsable fixer des délais d’effacement ou de réexamen au lieu de conserver les dossiers indéfiniment. Le guide du recrutement de la Commission décline ces principes pour l’embauche (le recrutement et les cinq questions incontournables) Demandez donc à l’entreprise quelle durée de conservation elle applique à votre dossier et sur quel fondement : l’absence de réponse ou une durée illimitée pour un vivier de candidatures auquel vous n’avez jamais consenti caractérise un manquement. Si l’entreprise souhaite vous maintenir dans sa CVthèque pour de futurs postes, elle doit recueillir votre accord exprès et vous laisser le retirer à tout moment ; à défaut d’accord, vos données doivent être supprimées. Pour suivre l’ensemble de ces démarches, les lecteurs qui ont déjà exercé un droit d’accès auprès d’un autre organisme trouveront des repères pratiques dans notre analyse du refus de copie des données personnelles et des recours devant la CNIL et le juge, et ceux dont un ancien employeur conserve des données après leur départ liront les démarches d’effacement après la fin du contrat de travail.

B. Saisir la CNIL, le Défenseur des droits et le juge, et obtenir réparation

Quand l’entreprise maintient sa collecte ou écarte votre candidature après votre refus, trois voies se complètent au lieu de s’exclure. La première est la plainte devant la Commission nationale de l’informatique et des libertés, par son service de plaintes en ligne. Joignez-y votre demande d’accès ou d’effacement restée sans réponse utile, le formulaire de candidature litigieux, la copie des échanges avec le recruteur, et la description précise des données collectées : copie de casier conservée, questionnaire de santé, captures de réseaux sociaux, tests non annoncés. La Commission peut contrôler l’entreprise, la mettre en demeure de se conformer, puis prononcer des injonctions et des sanctions financières en cas de manquement persistant. Les manquements relevés dans ce type de dossier sont caractéristiques : défaut de minimisation des données, conservation sans fondement d’une copie de casier judiciaire, traitement de données de santé hors des exceptions légales, information incomplète des candidats sur leurs droits et sur les durées de conservation, absence de délégué à la protection des données ou de registre là où ils sont requis. Une mise en demeure ou une sanction de la Commission pèse ensuite lourd dans un litige individuel, car elle constate publiquement le manquement de l’entreprise.

La deuxième voie protège contre la discrimination. Si votre candidature a été écartée après la révélation d’une condamnation sans rapport avec le poste, après un refus de répondre à des questions sur votre santé, votre grossesse, votre âge, votre origine ou votre situation de famille, saisissez le Défenseur des droits, qui peut enquêter, recommander et présenter ses observations devant le juge. Parallèlement, portez le litige devant le conseil de prud’hommes si vous étiez déjà salarié de l’entreprise candidate à un poste interne, ou devant le tribunal judiciaire pour un recrutement externe, afin de faire juger que l’éviction repose sur un motif discriminatoire prohibé par l’article L. 1132-1. La charge de la preuve vous est favorable : il vous suffit de présenter des éléments laissant supposer une discrimination, par exemple la chronologie entre votre refus de produire une donnée excessive et l’arrêt brutal du processus, ou des annotations du dossier qui font référence à un motif prohibé, obtenues grâce à votre droit d’accès. L’employeur doit alors démontrer que sa décision repose sur des éléments objectifs étrangers à toute discrimination. Les dommages et intérêts réparent le préjudice de carrière et le préjudice moral, et le juge peut ordonner des mesures d’instruction pour obtenir la communication du dossier de recrutement.

La troisième voie est l’action en responsabilité pour violation des données personnelles. La violation de ces règles ouvre droit à réparation du préjudice subi, matériel comme moral : perte de chance d’être embauché, anxiété, temps passé à faire valoir ses droits. La cour d’appel de Toulouse illustre symétriquement l’office du juge en matière de discrimination à l’embauche : quand l’employeur « présente des éléments objectifs, étrangers à toute discrimination, justifiant sa décision de ne pas embaucher », la demande de dommages et intérêts est rejetée (Toulouse, 10 mars 2026, RG 24/01074, candidate maître-nageur invoquant une discrimination en raison de sa situation de famille, déboutée après examen comparé des pièces des deux parties) Le candidat dont le dossier médical de recrutement a circulé entre plusieurs managers, dont la copie de casier a été conservée puis diffusée, ou dont les publications privées ont été extraites et commentées dans une grille d’évaluation, subit un dommage moral indemnisable : anxiété, humiliation, perte de chance d’être embauché, temps passé à faire valoir ses droits. Rassemblez les preuves de ce préjudice : attestations de proches, suivi médical si l’épisode a affecté votre santé, échanges montrant la diffusion des données, décisions de la Commission ou du Défenseur des droits qui constatent les manquements. Pour les candidats qui postulent à Paris et en Île-de-France, où se concentrent les sièges sociaux et les cabinets de recrutement, le conseil de prud’hommes compétent est en principe celui du lieu où l’embauche était proposée ou du siège de l’entreprise, et le tribunal judiciaire de Paris connaît de nombreuses actions fondées sur le règlement européen ; vérifiez la clause de juridiction de l’offre et le lieu réel des entretiens avant de saisir, et faites enregistrer vos actes de procédure dans les délais applicables à chaque recours, que votre conseil vérifiera avec vous.

Préparez chaque recours comme un dossier unique : chronologie datée des faits, offre d’emploi, formulaires et tests subis, demandes écrites et réponses de l’entreprise, copie de votre dossier obtenue par le droit d’accès, preuve du préjudice. Adressez vos demandes en recommandé avec accusé de réception ou par tout moyen conférant date certaine aux échanges électroniques, et conservez les originaux des pièces produites. N’effacez pas vos propres messages ni les documents reçus : ce sont vos preuves. Si l’entreprise vous propose un arrangement après vos premières démarches, exigez qu’il comporte l’effacement effectif des données excessives et un engagement écrit de mise en conformité du processus, faute de quoi le manquement se répétera pour les candidats suivants.

Un recrutement exemplaire existe, et les entreprises qui le pratiquent s’y retrouvent : informations limitées au poste, tests annoncés et pertinents, bulletin de casier seulement présenté et jamais copié hors des fonctions sensibles, aucune question de santé avant la médecine du travail, comptes privés jamais exigés, durées de conservation affichées et respectées. Quand le processus s’écarte de ce standard, le candidat n’est pas démuni : le Code du travail lui donne le test du lien direct et nécessaire, le règlement européen lui donne l’accès, l’effacement et la réparation, la Commission le contrôle et le sanctionne, et le juge tranche la discrimination. Utilisez ces outils dans l’ordre, par écrit, et sans attendre que les données se dispersent.