Votre entretien d’embauche se passe bien, puis le recruteur vous demande votre bulletin numéro 3 du casier judiciaire. Quelques semaines plus tard, un ami vous apprend que l’entreprise a épluché vos publications sur les réseaux sociaux. Et votre candidature non retenue ressurgit deux ans après dans un appel du même employeur. Chacune de ces situations obéit à des règles précises, partagées entre le Code du travail, le règlement général sur la protection des données et les lignes directrices de la CNIL. Les manquements se paient : le 21 novembre 2025, la cour d’appel de Colmar a condamné une association à verser 2 000 euros de dommages-intérêts à un salarié dont la hiérarchie avait consulté quinze fois son casier judiciaire à son insu. Cet article expose ce que l’employeur peut exiger pendant le recrutement, ce qu’il doit détruire ou restituer, et les recours ouverts au candidat comme au salarié quand la collecte dérape.

I. Ce que l’employeur peut exiger et conserver pendant le recrutement

A. Le casier judiciaire : une demande encadrée, une copie interdite

Le Code du travail pose une limite claire à la curiosité de l’employeur dès le stade de l’embauche : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. Le candidat est tenu de répondre de bonne foi à ces demandes d’informations. » Ce texte, l’article L. 1221-6 du Code du travail, s’applique à toute demande, écrite ou orale, y compris la production d’un extrait de casier judiciaire. Une condamnation ancienne sans rapport avec le poste ne présente pas le lien direct et nécessaire exigé : un vol à l’étalage vieux de dix ans ne dit rien de l’aptitude à occuper un poste de comptable, tandis qu’une interdiction d’exercer en contact avec des mineurs intéresse directement un poste d’éducateur.

La CNIL précise le régime pratique dans sa réponse officielle à la question de savoir si l’employeur peut demander et conserver un extrait de casier judiciaire. En l’absence d’un texte spécifique, l’employeur peut demander à un candidat, ou à un salarié, de produire l’extrait de son casier judiciaire, le bulletin numéro 3, lors d’un entretien, par exemple afin de vérifier ses antécédents judiciaires. La demande elle-même n’est donc pas interdite par principe. En revanche, la conservation est verrouillée : l’employeur doit se contenter de cocher, dans le fichier de gestion du personnel, une simple mention de type oui/non attestant de la vérification, sans garder de copie du bulletin ni alimenter un traitement spécifique avec ces données. Autrement dit, l’employeur regarde le document, coche une case, puis le rend. Photocopier le bulletin, le scanner dans le dossier du personnel ou l’enregistrer dans le logiciel de paie constitue un traitement illicite de données relatives aux condamnations pénales.

Ce verrou découle du règlement général sur la protection des données, dont l’article 10 réserve les traitements de données relatives aux condamnations pénales et aux infractions au contrôle de l’autorité publique ou aux cas autorisés par le droit de l’Union ou d’un État membre assortis de garanties appropriées. Le casier judiciaire relève donc d’un régime renforcé : sans texte national qui l’autorise avec des garanties, l’employeur ne stocke rien.

L’exception concerne les fonctions dites sensibles, pour lesquelles des textes prévoient la vérification des casiers : agents de sécurité privée, assistantes maternelles, professionnels intervenant auprès de mineurs ou de personnes vulnérables, certaines fonctions bancaires ou de transport. Selon les cas, la vérification porte sur le bulletin numéro 2 ou le bulletin numéro 3, et elle est parfois assurée directement par l’autorité qui délivre l’agrément : dans ce cas, rappelle la CNIL, l’employeur n’a pas besoin de consulter lui-même le casier, la délivrance de l’agrément suffit à établir la capacité à occuper l’emploi. Quand le texte impose à l’employeur de conserver l’extrait, une durée de trois mois est communément retenue, notamment pour les administrations ; sans précision dans le texte, le document ne doit pas être conservé.

Enfin, la CNIL tranche une idée reçue : une condamnation inscrite au casier ne fait pas obstacle par elle-même à l’exercice d’une fonction, dans le privé comme dans l’administration, et seul un constat d’incompatibilité entre les condamnations et l’emploi visé permet à l’employeur de refuser l’embauche pour ce motif. Un refus d’embauche fondé sur une condamnation compatible avec le poste expose l’employeur à une contestation pour discrimination et à une sanction de la CNIL. Le candidat écarté peut exiger de savoir quel motif a fondé la décision et saisir le juge prud’homal si le casier a servi de prétexte.

B. Candidatures, réseaux sociaux et fichiers conservés : la proportionnalité s’applique à tout

Le bulletin de casier n’est qu’une pièce parmi d’autres. Curriculum vitae, lettre de motivation, résultats de tests, notes d’entretien, références d’anciens employeurs : toutes ces informations constituent des données à caractère personnel soumises au RGPD dès leur collecte. Le guide du recrutement de la CNIL rappelle que le recruteur, employeur direct, cabinet de recrutement ou entreprise de travail temporaire, détermine les finalités et les moyens de ces traitements et doit respecter les principes de minimisation, de loyauté et de limitation de la conservation. Concrètement, chaque donnée collectée doit rester nécessaire à l’appréciation de la capacité à occuper le poste, en application de l’article L. 1221-6 précité.

La fouille des réseaux sociaux illustre cette exigence. Le guide de la CNIL énonce que la collecte par un recruteur d’informations qu’un candidat a publiées sur un réseau social ou, plus largement, sur Internet s’analyse comme un traitement de données personnelles, soumis comme tel à l’ensemble des principes et règles de la réglementation. L’employeur qui consulte le profil d’un candidat traite donc des données personnelles, même lorsque le candidat les a publiées lui-même. Il doit en informer le candidat, limiter sa recherche aux informations présentant un lien direct et nécessaire avec l’emploi, et ne pas utiliser des données sensibles ainsi découvertes : opinions politiques, convictions religieuses, appartenance syndicale, état de santé ou orientation sexuelle ne peuvent fonder une décision de recrutement. Écarter une candidature après avoir découvert sur un réseau social une grossesse, un engagement syndical ou une maladie expose l’employeur à une action pour discrimination, où le juge reconstitue le raisonnement à partir des traces laissées par la consultation.

Les durées de conservation obéissent à une grille précise, fixée par le même guide. Premier cas : le candidat est recruté, et ses données rejoignent le dossier du personnel pour la durée de la relation de travail, puis l’archivage légal. Deuxième cas : la candidature n’est pas retenue mais l’employeur souhaite la garder dans un vivier pour de futurs postes. Cette conservation en CVthèque suppose d’en informer le candidat et de recueillir son accord ; en tout état de cause, la CNIL recommande que la durée n’excède pas deux ans à compter du dernier contact avec la personne, renouvelable une fois avec un nouveau contact. Passé ce délai sans contact, les données doivent être supprimées. Troisième cas : la conservation à des fins probatoires, pour répondre à une éventuelle action en discrimination à l’embauche. L’employeur peut alors archiver certains dossiers en base intermédiaire, avec un accès restreint, pour une durée qui ne devrait pas excéder cinq ans à compter de la clôture du recrutement. Ces trois durées se cumulent mal : garder dix ans de CV « au cas où » sans finalité définie viole le principe de limitation de la conservation et alimente les plaintes devant la CNIL.

L’information des candidats conditionne tout le reste. Le recruteur doit porter à leur connaissance l’identité du responsable du traitement, les finalités poursuivies, les destinataires des données, les durées de conservation et les droits dont ils disposent : accès, rectification, effacement, opposition, limitation. Cette information figure généralement dans l’offre d’emploi, sur le site de candidature ou dans un document remis en entretien. Son absence constitue déjà un manquement, même quand les données ont été collectées loyalement. Le candidat qui découvre tardivement l’existence d’une fiche à son nom, d’une annotation subjective ou d’une liste d’exclusion peut exercer son droit d’accès pour obtenir la copie de tout ce que l’employeur détient sur lui, y compris les notes d’entretien et les échanges internes le concernant. Les listes d’exclusion de candidats, qui interdisent de fait tout réexamen d’une candidature, font l’objet d’une fiche dédiée du guide et ne sont admises que dans des hypothèses étroites, documentées et proportionnées.

Pour le salarié déjà embauché, le Code du travail reprend la même logique avec l’article L. 1222-2 : « Les informations demandées, sous quelque forme que ce soit, à un salarié ne peuvent avoir comme finalité que d’apprécier ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’évaluation de ses aptitudes. Le salarié est tenu de répondre de bonne foi à ces demandes d’informations. » Le contrat de travail, ajoute l’article L. 1222-1, « est exécuté de bonne foi ». Cette exigence de loyauté pèse sur les deux parties : le salarié répond sincèrement aux demandes légitimes, et l’employeur collecte loyalement, en informant au préalable le salarié des dispositifs mis en place. C’est sur ce terrain de la loyauté que les vérifications clandestines du casier judiciaire ont été sanctionnées par les juges, comme le montre l’affaire jugée à Colmar.

II. Quand la vérification devient une faute : l’exemple du casier consulté en secret et les recours

A. Quinze consultations à l’insu du salarié : la condamnation de Colmar du 21 novembre 2025

Les faits jugés par la cour d’appel de Colmar, chambre sociale section A, le 21 novembre 2025, sous le numéro de répertoire général 23/02249, méritent une lecture attentive car ils condensent toutes les fautes possibles. Un homme employé par une association gestionnaire d’établissements médico-sociaux, d’abord en contrat aidé puis en contrat de professionnalisation pour préparer le diplôme d’accompagnant éducatif et social, découvre en consultant son dossier, en juin 2022, que sa hiérarchie a demandé quinze fois le bulletin numéro 3 de son casier judiciaire entre le 27 juin 2019 et le 24 mars 2022. La cheffe de service avait reconnu avoir donné pour instruction à une subordonnée de « sortir le casier judiciaire » de l’intéressé tous les mois, après qu’il eut confié une altercation et adopté des comportements jugés inadaptés au public accueilli, des mineurs présentant une déficience.

L’association se défendait en invoquant son obligation de vérifier les casiers des salariés au contact de mineurs vulnérables, et soutenait ne pas répondre des infractions pénales commises par ses propres salariées, deux d’entre elles ayant été sanctionnées pénalement pour le délit d’obtention du casier judiciaire d’un tiers à l’aide d’un faux nom ou d’une fausse qualité. La cour écarte cette ligne de défense sur le terrain civil : l’association ne démontre pas que la cheffe de service et son adjointe ont agi hors de leurs fonctions et à des fins étrangères à leurs attributions. Dès lors, les demandes du salarié fondées sur la violation de sa vie privée, par l’obtention à son insu de son casier judiciaire, caractérisant une exécution déloyale du contrat de travail, sont jugées fondées. Le jugement des prud’hommes de Colmar, qui s’était déclaré incompétent sur la vie privée, est infirmé sur ce point.

La réparation reste mesurée mais nette : 2 000 euros de dommages-intérêts pour le préjudice moral résultant de l’obtention à quinze reprises du bulletin numéro 3, outre 1 000 euros au titre des frais irrépétibles. En revanche, la cour refuse de lier ces consultations à la dégradation de l’état de santé et à l’inaptitude du salarié : les extraits obtenus frauduleusement ne permettent pas au salarié de soutenir que ces faits sont à l’origine de ses conditions de travail et de son inaptitude, et les demandes fondées sur la rupture du contrat, le harcèlement moral et le préjudice de carrière sont rejetées. La leçon est double. D’une part, même lorsque la vérification du casier répond à une obligation sectorielle réelle, la méthode clandestine et répétée, à l’insu de l’intéressé, constitue une exécution déloyale du contrat et une atteinte à la vie privée qui se répare par des dommages-intérêts. D’autre part, l’indemnisation suppose un préjudice démontré : le salarié n’obtient pas la résiliation judiciaire ni la requalification de son inaptitude sur ce seul fondement.

Cette décision s’articule avec la jurisprudence sur la preuve déloyale. Le 22 décembre 2023, l’Assemblée plénière de la Cour de cassation, pourvoi numéro 20-20.648, a cassé partiellement un arrêt qui écartait systématiquement des enregistrements clandestins produits par un employeur, et renvoyé l’affaire devant la cour d’appel de Paris pour un nouvel examen. Depuis cet arrêt, une preuve obtenue de manière déloyale n’est plus automatiquement irrecevable : le juge vérifie qu’elle est indispensable à l’exercice du droit à la preuve, proportionnée au but poursuivi et soumise à la discussion contradictoire. Appliquée au casier judiciaire, cette grille joue dans les deux sens. L’employeur qui produit un bulletin obtenu frauduleusement s’expose à son écart pur et simple, car la consultation régulière et loyale du salarié aurait suffi : la condition d’indispensabilité fait défaut. Le salarié qui rapporte la preuve des consultations secrètes, relevés du casier national, attestations, mentions du dossier, voit au contraire sa démonstration accueillie dès lors qu’elle respecte le contradictoire.

B. Refuser, faire effacer et saisir la CNIL ou les prud’hommes

Face à une demande de casier ou à une collecte suspecte, le candidat comme le salarié disposent d’une gradation de réponses. Le premier réflexe consiste à qualifier la demande. L’employeur invoque-t-il un texte qui impose la vérification pour le poste, ou se contente-t-il d’une habitude interne ? S’agit-il du bulletin numéro 3, seul accessible à l’intéressé, ou exige-t-il un bulletin numéro 2 qu’aucun candidat ne peut produire lui-même ? La demande présente-t-elle un lien direct et nécessaire avec l’emploi, au sens de l’article L. 1221-6 ? Quand la réponse à l’une de ces questions est négative, le candidat peut refuser de produire le document en motivant son refus par écrit, en demandant le fondement textuel de la vérification et la finalité du traitement. Ce courrier, conservé précieusement, servira de preuve en cas de contentieux sur le motif réel du refus d’embauche. Le refus ne doit jamais s’accompagner de fausses déclarations : le candidat reste tenu de répondre de bonne foi aux demandes légitimes, et un mensonge sur ses diplômes ou son parcours justifie à lui seul l’échec du recrutement.

Le deuxième niveau consiste à exercer ses droits sur les données déjà collectées. Toute personne peut demander à l’employeur la copie de l’ensemble des données qu’il détient sur elle : dossier de candidature, notes d’entretien, résultats de tests, échanges internes, mentions du fichier du personnel. Si vous soupçonnez que l’entreprise conserve une copie de votre casier, exigez sa suppression en visant l’interdiction posée par la CNIL et l’article 10 du RGPD ; si votre CV dort dans une CVthèque depuis plus de deux ans sans contact, exercez votre droit à l’effacement et demandez la confirmation écrite de la suppression. L’employeur dispose d’un mois pour répondre. Son silence, son refus non motivé ou sa réponse incomplète ouvrent la voie de la plainte devant la CNIL, qui peut contrôler l’entreprise, la mettre en demeure et prononcer des sanctions financières. Pour une vision d’ensemble de cette procédure d’accès face à un employeur, une banque ou un site qui refuse de transmettre les données, notre analyse dédiée au droit d’obtenir la copie complète de vos données en un mois et aux recours devant la CNIL et le juge détaille les étapes et les délais.

Le troisième niveau est judiciaire. Devant le conseil de prud’hommes, le salarié dont le casier a été consulté en secret demande réparation du préjudice moral sur le fondement de l’exécution déloyale du contrat et de l’atteinte à la vie privée, comme dans l’affaire de Colmar. Le candidat écarté en raison d’une donnée découverte en ligne bénéficie en outre de l’arsenal anti-discrimination : l’article L. 1132-1 du Code du travail interdit d’écarter une personne d’une procédure de recrutement en raison de son origine, de son sexe, de ses mœurs, de son âge, de son état de santé, de ses opinions politiques, de ses activités syndicales ou de ses convictions religieuses, parmi une liste étendue de motifs prohibés, tandis que l’article 225-1 du Code pénal définit la discrimination comme toute distinction opérée entre les personnes physiques sur le fondement de ces mêmes critères. Conjugée avec l’exigence d’un lien direct et nécessaire et le test de proportionnalité, cette prohibition prive d’effet toute décision de recrutement fondée sur une information intime pêchée sur Internet. Le candidat discriminé à l’embauche agit sur le fondement des textes prohibant les discriminations et de l’article L. 1221-6 : il lui faut démontrer, par un faisceau d’indices, que la condamnation, l’origine, l’état de santé ou l’activité syndicale découverte en ligne a motivé l’éviction. Les annotations du recruteur, les captures de recherches, les témoignages et les statistiques d’embauche nourrissent ce faisceau. L’article L. 1121-1 du Code du travail fournit la grille d’analyse : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Une collecte massive de données pour un poste qui n’en exige aucune échoue à ce test de proportionnalité.

Du côté de l’entreprise, la mise en conformité suit le chemin inverse. Cartographier les données collectées à chaque étape du recrutement, supprimer les copies de casiers conservées sans texte, limiter les habilitations d’accès, paramétrer la purge automatique des CVthèques à deux ans, documenter l’information des candidats et former les managers à l’interdiction des consultations clandestines : ces mesures, inscrites au registre des traitements, démontrent la diligence de l’employeur en cas de contrôle de la CNIL. L’affaire de Colmar montre que l’argument de l’obligation sectorielle ne protège pas quand la méthode est déloyale et que les préposés agissent dans le cadre de leurs fonctions : l’employeur répond de ses salariés. Pour les postes sensibles, la bonne pratique consiste à demander au candidat de produire lui-même son bulletin numéro 3 en entretien, à cocher « oui/non » dans le fichier, à restituer le document et à tracer cette vérification, sans jamais interroger le casier national à sa place.

Reste la question des réseaux sociaux après l’embauche. La consultation du profil public d’un salarié dans le cadre d’une procédure disciplinaire obéit aux mêmes principes : loyauté, information préalable sur les dispositifs de contrôle, proportionnalité et respect de la vie personnelle. Un élément extrait d’un compte accessible aux seuls contacts agréés relève de la vie privée et ne peut fonder une sanction, tandis qu’une publication ouverte à tous peut, selon les circonstances, être discutée contradictoirement. Dans tous les cas, la collecte doit être portée à la connaissance du salarié avant d’être utilisée contre lui, et le juge contrôle la loyauté de la preuve en appliquant la grille dégagée par l’Assemblée plénière en 2023.

En définitive, le recrutement concentre en quelques semaines l’ensemble du droit des données personnelles : finalité, minimisation, information, durée limitée, sécurité et droits des personnes. Le casier judiciaire en est le révélateur le plus net, parce qu’il touche au passé pénal et à la réinsertion : la loi autorise l’employeur à regarder, elle lui interdit de garder, et elle sanctionne celui qui espionne. Candidats et salariés qui connaissent ces trois verbes disposent déjà de l’essentiel pour faire valoir leurs droits.

Besoin d’un avis rapide sur votre dossier

Vous êtes candidat ou salarié et un employeur exige votre casier judiciaire, fouille vos données en ligne ou conserve votre dossier sans droit ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique les recours adaptés, de la demande d’effacement à la saisine de la CNIL et des prud’hommes. Consultation téléphonique au 06 46 60 58 22. Écrivez au cabinet via la page formulaire de contact.