Vous demandez la copie de votre dossier personnel et vous y découvrez, glissées entre deux évaluations, des copies de votre extrait de casier judiciaire, mois après mois, que vous n’avez jamais fourni. Personne ne vous a rien demandé, personne ne vous a rien dit. Votre supérieure hiérarchique a consulté votre passé pénal dans votre dos, à quinze reprises, pendant près de trois ans. Cette situation n’est pas une invention : c’est exactement ce qu’a jugé la cour d’appel de Colmar le 21 novembre 2025, en condamnant l’employeur pour exécution déloyale du contrat de travail et en relevant que deux salariées avaient été sanctionnées pénalement pour s’être fait délivrer ces bulletins. La question n’est donc plus seulement de savoir si l’employeur peut exiger votre casier à l’embauche. Elle est de savoir ce qu’il peut en faire une fois que vous êtes en poste, combien de temps il peut le garder, s’il peut le vérifier à nouveau sans vous prévenir, et ce que vous pouvez obtenir quand il a franchi la ligne. La première partie expose les règles applicables en cours d’emploi : demande ponctuelle possible, conservation et surveillance interdites, sauf texte spécial. La seconde décrit la conduite à tenir quand des vérifications clandestines sont découvertes : preuves à réunir, arrêt de Colmar, poursuites pénales, plainte devant la CNIL, action devant le conseil de prud’hommes et réparation du préjudice.

I. En cours d’emploi, votre casier judiciaire ne se surveille pas

A. Un extrait demandé au salarié, une fois, pour un motif précis : la règle

Le casier judiciaire national automatisé est tenu sous l’autorité du ministre de la justice, selon l’article 768 du code de procédure pénale, et ses relevés sont hiérarchisés : le bulletin n° 1, relevé intégral délivré aux seules autorités judiciaires, le bulletin n° 2, soumis à ses propres exclusions, puis le bulletin n° 3, qui est le relevé le moins fourni : il ne comporte, selon l’article 777 du code de procédure pénale, que « le relevé des condamnations suivantes prononcées par une juridiction nationale pour crime ou délit, lorsqu’elles ne sont pas exclues du bulletin n° 2 ». Le service public précise que ce bulletin ne retient que les condamnations les plus graves. Surtout, ce bulletin n’est délivré qu’à l’intéressé lui-même : l’employeur ne peut pas le réclamer directement au casier judiciaire national. S’il veut le voir, il doit vous le demander, à vous, et c’est vous qui décidez de le lui remettre. Celui qui contourne cette règle en prenant un faux nom ou une fausse qualité pour se faire délivrer l’extrait du casier d’un tiers commet un délit puni, selon l’article 781 du code de procédure pénale, de « 7 500 euros d’amende ». La loi pénale protège donc directement la confidentialité de votre bulletin.

La CNIL admet qu’en l’absence d’un texte spécifique prévoyant cette vérification, l’employeur peut demander au candidat, ou au salarié déjà en poste, de produire lui-même son extrait de bulletin n° 3, par exemple lors d’un entretien destiné à vérifier ses antécédents judiciaires. Mais cette tolérance s’arrête là : l’employeur ne peut ni conserver une copie de l’extrait ni créer un traitement de données spécifique à partir de ces informations. Dans le fichier de gestion du personnel, une simple mention du résultat de la vérification, de type oui ou non, suffit. Autrement dit, l’employeur peut cocher une case, il ne peut pas classer votre extrait dans votre dossier ni constituer un fichier des condamnations de ses salariés. Toute copie conservée, tout tableau de suivi, toute vérification mensuelle systématique sort de ce cadre.

Le droit européen renforce cette lecture. L’article 10 du règlement général sur la protection des données réserve le traitement des données relatives aux condamnations pénales et aux infractions à l’autorité publique ou aux traitements autorisés par le droit de l’Union ou le droit national avec des garanties appropriées pour les droits des personnes. Un employeur privé n’est ni l’autorité publique ni le teneur du casier judiciaire : il ne peut donc traiter des données de condamnations que si un texte l’y autorise, avec des garanties, et dans la stricte mesure de cette autorisation. S’y ajoutent les principes généraux de l’article 5 du même règlement : les données doivent rester adéquates, pertinentes et limitées au nécessaire au regard des finalités annoncées, et leur conservation sous une forme identifiante ne peut excéder la durée nécessaire à ces finalités. Relever votre casier tous les mois pendant trois ans, sans finalité précise et sans vous en informer, ne satisfait ni à la minimisation ni à la limitation de la conservation. Quant au fondement du traitement, l’article 6 du règlement n’admet l’intérêt légitime du responsable du traitement que s’il ne cède pas devant les intérêts et les droits fondamentaux de la personne concernée : la curiosité d’un supérieur hiérarchique ou une rumeur extérieure mettant en cause votre comportement, comme dans l’affaire jugée à Colmar, ne constituent pas un intérêt légitime.

En droit du travail, le filtre est identique. L’article L1221-6 du code du travail dispose que « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. » Il ajoute que « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. » Ce texte vise le recrutement, mais son esprit gouverne toute la relation de travail : une fois embauché, vous n’avez plus à démontrer votre aptitude, et une vérification sans lien avec une exigence précise de votre poste perd sa justification. Si votre condamnation est sans rapport avec vos fonctions, l’employeur ne peut en tirer aucune conséquence : la CNIL rappelle que seule une incompatibilité entre les condamnations inscrites et l’emploi postulé permet d’écarter une candidature pour ce motif. La mention d’une condamnation ne fait pas obstacle par elle-même à l’exercice d’une fonction dans le secteur privé. Et toute décision prise en raison de vos antécédents, sans lien avec l’emploi, expose l’employeur au grief de discrimination : l’article L1132-1 du code du travail énonce qu’« aucun salarié ne peut être sanctionné, licencié ou faire l’objet d’une mesure discriminatoire, directe ou indirecte », en dehors des motifs qu’il énumère limitativement.

B. Les seules vérifications répétées admises : les fonctions sensibles prévues par un texte

Il existe des emplois où la vérification du casier n’est pas seulement permise mais imposée : agents de sécurité privée, assistantes maternelles, personnes travaillant auprès de mineurs, personnels soumis à habilitation de sûreté aéroportuaire, conducteurs de transport public. La CNIL vise précisément ces hypothèses : pour l’accès à des fonctions dites sensibles, des textes spéciaux peuvent organiser la vérification des bulletins n° 2 ou n° 3, par l’employeur ou par l’autorité qui délivre l’agrément. Dans ce cas, ces textes peuvent fixer la durée pendant laquelle l’employeur doit conserver l’extrait, communément de trois mois dans les administrations. La conservation a donc une durée, courte, fixée par le texte, et sans précision du texte sur ce point, l’extrait ne doit pas être conservé. Surtout, quand une autorité assure elle-même la vérification, l’employeur n’a plus rien à consulter : l’agrément délivré suffit à établir l’aptitude à l’emploi proposé. Pour le bulletin n° 2, le service public confirme que l’employeur doit impérativement passer par l’autorité administrative correspondant à son secteur d’activité, et que ce bulletin ne peut lui être communiqué que vierge de toute mention. Le salarié, lui, ne peut pas obtenir copie de son bulletin n° 2, mais il peut le consulter sur demande adressée au procureur de la République de son domicile.

L’illustration la plus parlante de ces emplois réglementés vient de la sûreté aéroportuaire : pour obtenir le badge permettant de travailler en zone réservée, le salarié doit fournir un extrait de casier judiciaire de son pays de résidence, en application de la réglementation européenne sur la sûreté de l’aviation civile. La cour d’appel de Paris, le 26 janvier 2023, a eu à connaître du cas d’une salariée d’une société de restauration à bord laissée sans planning ni salaire pendant que l’employeur tardait à lui réclamer cette pièce : la cour a relevé qu’informé dès le mois d’avril des nouvelles exigences préfectorales, l’employeur n’avait réclamé l’extrait qu’au mois d’août, soit près de quatre mois plus tard. Même quand la vérification est légalement requise, la manière et les délais de l’employeur sont contrôlés par le juge.

Mais l’existence d’un public vulnérable ne donne pas carte blanche. Dans l’affaire jugée à Colmar, l’employeur était une association prenant en charge des mineurs présentant une déficience, qui faisait valoir que la vérification du casier de ses salariés s’imposait à elle. La cour n’a pas contesté qu’une vérification initiale puisse se justifier dans ce contexte. Elle a jugé en revanche que rien n’autorisait la cheffe de service à ordonner à une gestionnaire d’éditer chaque mois l’extrait du salarié, soit quinze demandes de bulletin n° 3 entre 2019 et 2022, à l’insu de l’intéressé et par des moyens pénalement sanctionnés. La sensibilité du poste justifie une vérification prévue par un texte, avec information du salarié et durée de conservation limitée ; elle ne justifie jamais une surveillance pénale clandestine et illimitée. C’est toute la différence entre un contrôle prévu par la loi et un fichage : le premier est annoncé, borné et contrôlable, le second est caché, répété et sanctionné.

II. Des vérifications clandestines découvertes : prouver et agir

A. L’arrêt de Colmar du 21 novembre 2025 : quinze bulletins, deux condamnations pénales, 2 000 euros

Les faits retenus par la cour d’appel de Colmar méritent d’être exposés précisément, car ils dessinent le mode opératoire à repérer dans votre propre dossier. Un salarié en contrat de professionnalisation dans une association d’aide aux personnes handicapées découvre, en consultant son dossier, des copies de son extrait de casier qui y ont été insérées mois après mois. L’enquête établit que sa cheffe de service avait donné pour instruction à une gestionnaire d’éditer l’extrait de l’intéressé chaque mois, ce qui a produit quinze demandes de bulletin n° 3 entre 2019 et 2022. Alertée par une rumeur extérieure sur le comportement du salarié, la cheffe de service a reconnu devant les enquêteurs consulter son casier judiciaire chaque mois. Le salarié dénonçait une surveillance ciblée et une atteinte à sa vie privée par des demandes répétées de son bulletin n° 3. La cour constate qu’une procédure pénale pour obtention du casier d’un tiers par faux nom ou fausse qualité avait abouti, et que deux salariées de l’association avaient été effectivement sanctionnées pénalement pour ces faits. L’employeur, qui n’avait pas été poursuivi en tant que personne morale, plaidait que sa cheffe de service avait agi de sa propre initiative et qu’il avait réagi en sanctionnant disciplinairement les deux salariées dès qu’il avait eu connaissance des faits.

La cour écarte cette défense sur le terrain civil. Elle juge que, s’agissant d’agissements commis par une supérieure hiérarchique dans l’exercice de ses fonctions, l’association ne démontrait pas que ces salariées avaient agi en dehors de leurs fonctions ni à des fins étrangères à leurs attributions. Puis elle tranche : elle déclare fondé le manquement de l’employeur tenant à l’atteinte à la vie privée par l’obtention du casier à l’insu du salarié, constitutif d’une exécution déloyale du contrat de travail, et infirme le jugement de première instance sur ce point. Sur la réparation, la cour tient compte du préjudice moral résultant d’une quinzaine d’obtentions du bulletin n° 3 par la supérieure hiérarchique jusqu’en avril 2022, et condamne l’association à 2 000 euros de dommages-intérêts. En revanche, la cour refuse de lier ces faits au surplus des demandes : elle constate que le salarié n’a eu connaissance de ces agissements qu’en juin 2022, soit bien après la dégradation de ses conditions de travail et de son état de santé qu’il datait de mars 2022, de sorte que les bulletins obtenus frauduleusement ne pouvaient expliquer ni cette dégradation ni son inaptitude. La leçon est double : la violation de la vie privée par vérifications clandestines est sanctionnée en elle-même, sans qu’il soit besoin de démontrer un harcèlement moral global, mais chaque préjudice doit être rattaché à des faits datés, et le juge vérifie la chronologie.

Cet arrêt s’inscrit dans une jurisprudence constante sur la loyauté de la collecte des données des salariés. La chambre sociale de la Cour de cassation, le 13 juin 2018, a rejeté le pourvoi du syndicat des pilotes d’Air France qui contestait l’application de suivi interne de la compagnie : elle a validé le fichier parce que les pilotes étaient informés depuis 2005 de l’existence du traitement, de sa finalité, de ses destinataires et de leurs droits d’accès, de rectification et de suppression, et parce que l’outil ne recueillait que des appréciations pertinentes et des informations objectives liées à l’exploitation des vols. Le contraste avec une vérification mensuelle du casier à l’insu du salarié est total : là où la compagnie informait depuis des années et limitait la saisie à des données objectives liées à son activité, la cheffe de service de Colmar collectait en secret des données pénales sans lien démontré avec une finalité annoncée. L’information préalable et la proportionnalité font la licéité du fichier ; leur absence fait la déloyauté. Concrètement, si vous découvrez des copies de votre bulletin dans votre dossier, commencez par dater et figer la preuve : demandez par écrit la copie intégrale de votre dossier personnel et de vos données, conservez les bulletins litigieux avec leurs dates, notez qui vous a révélé la pratique et quand, et gardez toute trace des sanctions ou menaces qui auraient suivi la découverte de vos antécédents. C’est cette chronologie documentée qui a permis au salarié de Colmar d’obtenir gain de cause sur la violation de sa vie privée, et c’est l’absence de lien temporel qui lui a fait perdre le surplus.

B. Les quatre voies d’action : pénal, CNIL, prud’hommes et réparation

La première voie est pénale. L’article 781 du code de procédure pénale punit de 7 500 euros d’amende quiconque s’est fait délivrer l’extrait du casier d’un tiers en prenant un faux nom ou une fausse qualité. Dans l’affaire de Colmar, ce sont bien deux salariées, et non l’association elle-même, qui ont été sanctionnées pénalement, ce qui montre que la plainte vise d’abord les personnes physiques qui ont manipulé le système. Si vous êtes dans cette situation, vous pouvez déposer plainte pour ces faits en joignant les copies découvertes dans votre dossier, et signaler que les demandes ont été faites à votre insu et de manière répétée. L’enquête établira qui a demandé quoi, quand et sous quelle qualité, comme l’audition de la gestionnaire l’a fait à Colmar.

La deuxième voie est la plainte devant la CNIL. L’employeur qui conserve des copies de votre bulletin ou qui fait vérifier votre casier de manière répétée sans texte qui l’y autorise méconnaît les principes de minimisation et de limitation de la conservation, ainsi que la position expresse de la Commission selon laquelle l’employeur ne peut pas conserver de copie. Vous pouvez saisir la CNIL en ligne en décrivant les faits, en joignant votre demande d’accès restée sans réponse ou incomplète, et en rappelant qu’une simple mention du résultat dans le fichier du personnel aurait suffi. La CNIL peut contrôler l’entreprise, la mettre en demeure de supprimer les copies et d’organiser la conformité, et prononcer des sanctions. Cette voie ne vous indemnise pas directement, mais elle fait cesser le traitement illicite et produit des constats utiles pour la suite.

La troisième voie est l’action devant le conseil de prud’hommes. Le fondement naturel est l’exécution déloyale du contrat de travail, comme à Colmar : l’employeur qui fait surveiller votre passé pénal dans votre dos manque à son obligation de loyauté, et le juge peut l’indemniser par des dommages-intérêts pour le préjudice moral subi, sans que vous ayez à démontrer un harcèlement moral caractérisé. Selon les conséquences tirées par l’employeur de ce qu’il a découvert, d’autres fondements s’ajoutent : si une mise à pied, une mutation, un refus de promotion ou un licenciement a suivi la découverte d’une condamnation sans lien avec vos fonctions, contestez la mesure en invoquant l’absence de lien direct et nécessaire avec l’emploi et, le cas échéant, la discrimination. Attention toutefois à la prescription disciplinaire : l’article L1332-4 du code du travail dispose qu’« Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales. » La cour d’appel d’Amiens, le 25 septembre 2025, l’a rappelé dans une affaire où une société reprochait à une gestionnaire paie de lui avoir caché une condamnation de septembre 2020 découverte après son embauche : la cour a jugé les faits fautifs visés dans la lettre de licenciement prescrits et le licenciement dépourvu de cause réelle et sérieuse, tout en rejetant la demande de nullité présentée par la salariée. Un casier découvert tardivement ne permet donc pas à l’employeur de sanctionner hors délai, et un licenciement motivé par une dissimulation ancienne peut être jugé sans cause réelle et sérieuse, avec indemnisation : dans cette espèce, plus de 10 000 euros de dommages-intérêts pour licenciement sans cause réelle et sérieuse, outre préavis et indemnité de licenciement. Vérifiez donc toujours les dates : date de la condamnation, date de sa connaissance par l’employeur, date de la sanction.

La quatrième voie est la réparation du préjudice lié à la violation du règlement européen. L’article 82 du règlement ouvre à toute victime d’un dommage matériel ou moral causé par une violation du texte le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le préjudice moral tiré de la surveillance clandestine de votre passé pénal, de l’angoisse de la découverte et de l’atteinte à votre vie privée entre dans ce champ, comme les 2 000 euros alloués à Colmar l’illustrent sur le fondement du droit interne. Si votre situation a commencé par une exigence formulée dès l’embauche, les règles applicables à ce premier stade sont exposées dans l’analyse consacrée à l’employeur qui exige le casier judiciaire à l’embauche et le conserve : la vérification initiale et la surveillance mensuelle qui suit sont deux temps distincts, soumis aux mêmes principes mais à des contrôles différents, et c’est leur articulation qui fait la force du dossier prud’homal.

Votre employeur peut vous demander une fois de produire votre bulletin n° 3 pour un poste qui le justifie, et il doit se contenter d’une simple mention du résultat dans votre dossier. Il ne peut ni conserver votre extrait, ni le redemander chaque mois, ni se le procurer seul en se faisant passer pour vous, ni tirer de vos antécédents une sanction sans lien avec vos fonctions et hors délai. Quand ces lignes sont franchies, le droit répond sur quatre plans : la sanction pénale de ceux qui ont obtenu vos bulletins par fraude, l’intervention de la CNIL pour faire cesser et sanctionner le traitement illicite, le juge prud’homal pour constater l’exécution déloyale et indemniser votre préjudice moral, et la prescription disciplinaire qui prive d’effet les sanctions tardives fondées sur un passé découvert après coup. La découverte de copies mensuelles de votre casier dans votre dossier n’est donc pas une simple maladresse administrative : c’est le point de départ d’un dossier contentieux documenté, daté et chiffré, dont l’arrêt de Colmar montre qu’il peut prospérer.