Vous venez de passer un entretien qui se déroulait bien, puis le recruteur vous tend une liste : extrait de casier judiciaire à fournir avant la fin de la semaine, copie de votre carte d’identité, relevés de vos réseaux sociaux, et quelques questions qui dérangent sur votre santé, votre grossesse éventuelle ou vos opinions. Quelques semaines plus tard, alors que vous n’avez pas été retenu, vous découvrez que votre dossier circule encore : un autre service du groupe vous appelle pour un poste que vous n’avez jamais sollicité. Cette situation, fréquente, soulève trois questions distinctes que le droit traite séparément : l’employeur pouvait-il exiger votre casier judiciaire, pouvait-il vous poser ces questions et conserver votre curriculum vitae, et quels recours vous appartiennent quand la réponse est négative.
Le cadre applicable combine le code du travail, le règlement général sur la protection des données et les positions de la Commission nationale de l’informatique et des libertés. Chacun de ces textes pose une limite précise : les informations demandées au candidat doivent présenter un lien direct et nécessaire avec l’emploi, les données relatives aux condamnations pénales obéissent à un régime fermé, et les données de recrutement ne peuvent être conservées indéfiniment. Quand ces limites sont franchies, le candidat dispose d’une palette d’actions graduées, de la simple demande d’effacement à la saisine de la Commission et des tribunaux, avec une réparation possible du préjudice subi.
Cet article décrit d’abord ce que l’employeur peut exiger et ce qui lui est fermé, en matière de casier judiciaire puis de questions et de documents de recrutement. Il expose ensuite la méthode pour faire valoir vos droits : obtenir l’accès et l’effacement, constituer la preuve, saisir la Commission nationale de l’informatique et des libertés, le conseil de prud’hommes et le juge judiciaire, et demander réparation. L’ensemble vaut pour les recrutements privés en France, y compris à Paris et en Île-de-France où siègent la plupart des directions des ressources humaines des grands groupes.
I. Ce que l’employeur peut exiger du candidat, et les limites posées par la loi
A. Le casier judiciaire : une demande encadrée, une conservation presque toujours interdite
Le point de départ est un principe d’interdiction : le traitement des données relatives aux condamnations pénales et aux infractions ne peut, en principe, être effectué que sous le contrôle de l’autorité publique, sauf autorisation prévue par le droit de l’Union ou le droit national assortie de garanties appropriées (article 10 du règlement 2016/679). Un employeur privé ne tient donc pas d’un intérêt général le droit de collecter lui-même vos antécédents judiciaires. La Commission nationale de l’informatique et des libertés en tire une conséquence nette pour le recrutement : sans texte spécial, un recruteur ne peut en principe pas obtenir l’extrait de casier judiciaire d’un candidat (guide du recrutement de la CNIL).
Il existe toutefois des emplois pour lesquels un texte spécial organise la vérification. Tel est le cas des fonctions dites sensibles : agents de sécurité privée, assistantes maternelles, professionnels en contact habituel avec des mineurs, conducteurs soumis à agrément, agents aéroportuaires, convoyeurs, et certains emplois publics. Dans ces hypothèses, la vérification passe le plus souvent par un bulletin n° 2 consulté par l’employeur habilité ou par une autorité qui délivre un agrément, et le texte prévoit alors la durée de conservation du document, trois mois étant une durée couramment retenue. Hors de ces cas prévus par un texte, l’employeur peut demander au candidat de produire lui-même l’extrait de son casier, c’est-à-dire le bulletin n° 3, par exemple au cours d’un entretien, afin de vérifier ses antécédents. Mais cette présentation ne lui ouvre aucun droit de conservation : l’employeur ne peut ni en garder copie ni constituer un traitement spécifique à partir de ces données, et il lui suffit de consigner la vérification dans le fichier de gestion du personnel sous la forme d’une mention binaire, oui ou non (position de la CNIL sur l’extrait de casier judiciaire).
Cette architecture s’explique par le régime des bulletins. Le bulletin n° 3, qui relève les condamnations pour crime ou délit les plus graves non exclues du bulletin n° 2, « peut être réclamé par la personne qu’il concerne, il ne doit, en aucun cas, être délivré à un tiers » (article 777 du code de procédure pénale). L’employeur ne peut donc pas l’obtenir directement du casier judiciaire national ; seule la personne concernée peut le demander, gratuitement, auprès du service compétent (demande de bulletin n° 3). Les trois bulletins ont des destinataires distincts, le premier aux seules autorités judiciaires, le deuxième à un cercle restreint d’administrations et d’employeurs habilités par un texte, le troisième à l’intéressé lui-même (présentation des bulletins n° 1, n° 2 et n° 3). Exiger systématiquement le bulletin n° 3 de tous les candidats, pour tous les postes, sans texte et sans lien avec l’emploi, méconnaît à la fois le principe de minimisation, qui impose de limiter la collecte au strict nécessaire au regard des finalités poursuivies (article 5 du règlement 2016/679), et la règle du code du travail selon laquelle « Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles » (article L1221-6 du code du travail).
Reste la question du refus d’embauche fondé sur les condamnations révélées. La Commission admet qu’une condamnation mentionnée ne fait pas nécessairement obstacle à l’exercice d’une fonction, dans le privé comme dans l’administration : seul un lien d’incompatibilité entre les condamnations et l’emploi sollicité peut justifier un refus d’embauche fondé sur le casier (position de la CNIL sur l’extrait de casier judiciaire). Une condamnation ancienne pour des faits sans rapport avec le poste, par exemple une infraction routière pour un emploi de comptable, ne caractérise pas une telle incompatibilité. À l’inverse, une interdiction judiciaire d’exercer une activité impliquant des opérations de comptabilité rend objectivement impossible l’affectation durable à un poste de gestionnaire de paie. Les juges du fond illustrent ce raisonnement : dans un arrêt du 25 septembre 2025, la cour d’appel d’Amiens a examiné le licenciement pour faute grave d’une gestionnaire des ressources humaines et de la paie, après la découverte de condamnations pour abus de confiance, faux et usage de chèques falsifiés, assorties par le tribunal correctionnel d’une interdiction d’exercer toute activité impliquant des opérations de comptabilité ; l’employeur reprochait à la salariée d’avoir tu ces condamnations et cette interdiction alors que son poste supposait précisément de telles opérations (CA Amiens, 5e ch. prud’homale, 25 sept. 2025, RG 24/03729). L’affaire portait sur une salariée déjà en poste et sur un manquement à l’obligation de loyauté, non sur un simple candidat, mais elle montre le critère que les tribunaux appliquent : le lien entre la nature des faits, la mesure d’interdiction prononcée et les tâches effectives du poste. Un autre arrêt récent, rendu le 15 octobre 2025 par la cour d’appel de Reims à propos du licenciement d’un surveillant de baignade, rappelle que le juge prud’homal contrôle concrètement le motif invoqué par l’employeur avant de dire si la rupture repose sur une cause réelle et sérieuse (CA Reims, ch. sociale, 15 oct. 2025, RG 24/01059). Pour le candidat, la conséquence pratique est double : une condamnation sans rapport avec l’emploi ne peut fonder un refus de recrutement, et un refus fondé sur le casier doit pouvoir s’expliquer par une incompatibilité précise avec les fonctions proposées, vérifiable pièce par pièce.
B. Les questions posées et les documents exigés : le filtre du lien direct et nécessaire
Au-delà du casier, l’entretien et le dossier de candidature donnent lieu à des demandes variées : pièce d’identité, justificatif de domicile, diplômes, relevés de notes, références d’anciens employeurs, photographie, numéro de sécurité sociale, relevé d’identité bancaire avant même l’embauche, état de santé, situation de famille, projets de grossesse, opinions politiques ou religieuses, activités syndicales, extraits de comptes sur les réseaux sociaux. Le code du travail soumet toutes ces demandes à un double filtre. D’une part, « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles » (article L1221-6 du code du travail). D’autre part, le candidat doit être « expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard », et ces méthodes « doivent être pertinentes au regard de la finalité poursuivie » (article L1221-8 du code du travail). Tests de personnalité, mises en situation, jeux de rôle, analyses graphologiques, algorithmes de tri des candidatures, prises de références téléphonées : chaque technique doit être annoncée avant sa mise en oeuvre et rester pertinente pour le poste.
Le règlement européen ajoute un filtre propre aux données. Tout traitement doit reposer sur l’une des bases légales prévues par le texte européen (article 6 du règlement 2016/679), parmi lesquelles le consentement, la nécessité précontractuelle à la demande de la personne, ou l’obligation légale. Or le consentement du candidat, en position de faiblesse face à un employeur potentiel, est rarement regardé comme libre, et la nécessité précontractuelle ne couvre que les données objectivement indispensables à l’examen de la candidature pour ce poste. Concrètement, l’exigence d’un relevé d’identité bancaire ou d’un numéro de sécurité sociale avant la promesse d’embauche échoue à ce test : ces données ne servent qu’après l’embauche, pour la paie et les déclarations sociales. De même, la collecte systématique des profils de réseaux sociaux privés, des opinions ou de la vie familiale ne présente pas de lien direct et nécessaire avec l’évaluation des aptitudes.
Certaines questions sont en outre prohibées par le droit des discriminations. « Aucune personne ne peut être écartée d’une procédure de recrutement » en raison de l’un des motifs protégés (article L1132-1 du code du travail), qui couvrent notamment l’origine, le sexe, la situation de famille, la grossesse, l’âge, l’état de santé, le handicap, les caractéristiques génétiques, les opinions politiques, les convictions religieuses, les activités syndicales, l’apparence physique, le nom de famille ou le lieu de résidence. Interroger une candidate sur sa grossesse ou ses projets de maternité, conditionner l’embauche à un test de grossesse, écarter un candidat en raison de son domicile ou de son patronyme, exiger un certificat médical d’aptitude pour un poste de bureau sans risque particulier : chacune de ces pratiques expose l’employeur à une contestation pour discrimination, avec un régime probatoire aménagé en faveur du candidat, sur lequel nous revenons. La violation de ces règles n’est pas théorique : « Toute disposition ou tout acte pris à l’égard d’un salarié en méconnaissance des dispositions du présent chapitre ou du II de l’article 10-1 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique est nul » (article L1132-4 du code du travail). La nullité prive la mesure de tout effet juridique et ouvre la voie indemnitaire.
Le candidat n’est pas pour autant autorisé à mentir sur tout. Le code du travail dispose que « Le candidat est tenu de répondre de bonne foi à ces demandes d’informations » (article L1221-6 du code du travail), mais cette bonne foi ne joue que pour les demandes licites, c’est-à-dire celles qui présentent le lien direct et nécessaire avec l’emploi. Face à une question illicite, sur la grossesse, la santé ou les opinions, le candidat peut refuser de répondre sans que ce refus puisse lui être opposé, et un mensonge sur un point que l’employeur n’avait pas le droit d’explorer ne constitue pas un manquement. En revanche, la dissimulation d’une condamnation ou d’une interdiction d’exercer rendant impossible l’occupation du poste, ou la production d’un faux diplôme pour un emploi qui l’exige, expose à la rupture de la relation de travail une fois la fraude découverte, comme l’illustre l’affaire amiénoise citée plus haut. La ligne de partage est donc claire : transparence sur ce qui conditionne objectivement l’aptitude au poste, refus ferme et tracé sur le reste.
II. Faire valoir ses droits : effacement, preuve, CNIL, juges et réparation
A. Exiger l’accès et l’effacement, constituer la preuve dès le premier jour
Le premier réflexe consiste à demander des comptes par écrit au recruteur, en distinguant trois demandes que le droit traite différemment : l’information sur ce qui est conservé, la copie des données, et l’effacement. Le règlement européen impose une conservation limitée : les données doivent être conservées sous une forme identifiante seulement pendant la durée nécessaire à ces finalités (article 5 du règlement 2016/679). La Commission en déduit que les données collectées pour un recrutement ne peuvent être gardées sans limite de temps, et qu’une durée de conservation cohérente et justifiée doit être définie avant même la collecte (guide du recrutement de la CNIL). Une fois le poste pourvu, le dossier des candidats non retenus n’a plus de finalité de recrutement actif : il doit être supprimé ou, avec l’accord exprès du candidat, placé dans une CVthèque à finalité définie et à durée bornée, avec une information claire sur cette seconde finalité. La conservation du bulletin n° 3, elle, est exclue dans tous les cas hors texte spécial, comme rappelé plus haut.
Le candidat dispose pour cela de deux droits d’action directe. Le droit d’accès permet d’obtenir la confirmation qu’un traitement existe, la copie des données et les informations sur les finalités, les destinataires et la durée de conservation. Le droit à l’effacement permet d’obtenir la suppression : la personne concernée peut obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais (article 17 du règlement 2016/679), notamment quand les données ne sont plus nécessaires au regard des finalités, quand le consentement est retiré, ou quand le traitement est illicite. Ces demandes se forment auprès du responsable du traitement, c’est-à-dire l’entreprise qui recrute ou le cabinet mandaté, par lettre recommandée avec accusé de réception ou par courriel avec preuve de dépôt, en joignant une copie de pièce d’identité strictement limitée à la vérification d’identité. Le responsable doit fournir les informations sur les mesures prises dans les meilleurs délais et au plus tard sous un mois à compter de la réception de la demande, délai pouvant être prolongé de deux mois pour les demandes complexes moyennant information du demandeur (article 12 du règlement 2016/679). En l’absence de réponse ou en cas de réponse incomplète, ce silence écrit constitue la première pièce du dossier de plainte et de recours. Les lecteurs qui se heurtent plus largement à un organisme refusant toute copie de leurs données trouveront la même méthode d’accès et de mise en demeure détaillée dans notre analyse du refus de copie des données personnelles et des recours devant la CNIL et le juge.
La preuve se constitue en parallèle, car le contentieux du recrutement se joue souvent sur des échanges oraux. Conservez l’offre d’emploi, l’annonce, la description du poste, les courriels échangés avec le recruteur, les convocations, les questionnaires écrits, les tests passés, les accusés de réception de vos demandes, et tout message comportant une question illicite ou une exigence disproportionnée. Notez avec dates les questions posées en entretien, l’identité des interlocuteurs et les témoins éventuels. Si un tiers, agence d’intérim ou cabinet, intervient, conservez ses écrits : il peut être responsable conjoint ou sous-traitant, et ses documents éclairent la chaîne de traitement. N’enregistrez pas clandestinement vos interlocuteurs à des fins probatoires sans analyse préalable, car la loyauté de la preuve est contrôlée par le juge ; privilégiez les écrits, les confirmations par courriel après entretien, et les demandes de précision formulées poliment et par écrit, qui conduisent souvent le recruteur à confirmer lui-même ses exigences. En matière de discrimination, l’effort probatoire du candidat est allégé : « le candidat à un emploi […] présente des éléments de fait laissant supposer l’existence d’une discrimination directe ou indirecte », et « il incombe à la partie défenderesse de prouver que sa décision est justifiée par des éléments objectifs étrangers à toute discrimination » (article L1134-1 du code du travail). Des éléments précis et concordants, une question sur la grossesse suivie d’un refus immédiat alors que le profil correspondait au poste, une exigence de casier sans texte pour un emploi sans sensibilité particulière, suffisent à faire basculer la charge de la justification sur l’employeur.
B. Saisir la CNIL, le conseil de prud’hommes et le juge judiciaire, obtenir réparation
Quand la démarche amiable échoue, trois voies se complètent sans s’exclure. La première est la plainte devant la Commission nationale de l’informatique et des libertés, qui se dépose en ligne après une demande préalable restée sans réponse satisfaisante auprès du recruteur. La Commission peut instruire, mettre en demeure, prononcer des sanctions pécuniaires publiques et ordonner la mise en conformité, y compris l’effacement. Son intervention pèse d’autant plus que le manquement est documenté : copie de vos demandes et des réponses, conservation d’un bulletin n° 3 démontrée par un écrit, questions discriminatoires retranscrites, CVthèque non consentie. La plainte ne procure pas à elle seule des dommages-intérêts, mais elle établit un constat utile pour la suite et peut obtenir rapidement la suppression des données litigieuses.
La deuxième voie est le conseil de prud’hommes, compétent pour les litiges nés du recrutement dès lors qu’ils touchent à l’accès à l’emploi salarié. Le candidat écarté en raison d’un motif prohibé peut demander que la discrimination soit reconnue, que le refus soit sanctionné et que son préjudice soit réparé. La nullité prévue par le code du travail prive la décision discriminatoire de tout effet et fonde l’indemnisation, dont le montant dépend du préjudice démontré : perte de chance d’obtenir l’emploi, préjudice moral lié à l’atteinte portée à la dignité et à la vie privée, temps consacré à un processus déloyal. Le régime probatoire aménagé joue ici pleinement : au candidat les éléments de fait laissant supposer la discrimination, à l’employeur la preuve d’une justification étrangère à toute discrimination, sous le contrôle du juge qui peut ordonner toute mesure d’instruction utile. Pour les litiges parisiens, la demande se porte devant le conseil de prud’hommes du lieu d’embauche ou du siège de l’entreprise, avec une attention particulière aux délais : agir vite permet de solliciter en référé la communication des données ou la cessation d’un traitement en cours, quand un concurrent francilien conserve et exploite indûment des centaines de dossiers.
La troisième voie est le juge judiciaire statuant sur la protection des données elle-même. Le tribunal judiciaire peut ordonner l’accès, la rectification ou l’effacement sous astreinte, et allouer des dommages-intérêts sur le fondement du règlement européen : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant (article 82 du règlement 2016/679). La jurisprudence européenne et nationale admet la réparation du seul préjudice moral, dès lors qu’il est établi : anxiété liée à la conservation d’un casier par un tiers non habilité, sentiment d’humiliation après des questions intrusives sur la grossesse ou la santé, crainte d’être fiché dans une CVthèque occulte. Le montant reste fonction des pièces : gravité et durée du manquement, sensibilité des données, nombre de destinataires, attitude du responsable après la mise en demeure, conséquences concrètes sur la recherche d’emploi. Cumuler les voies est souvent pertinent : plainte à la Commission pour obtenir l’effacement et la sanction administrative, action prud’homale pour la discrimination d’accès à l’emploi, action devant le tribunal judiciaire pour l’injonction de suppression et la réparation intégrale du préjudice lié aux données. Chaque action a son office, et leurs décisions se renforcent mutuellement sans se confondre.
En pratique, la séquence utile tient en cinq gestes. D’abord, exiger par écrit la base juridique de chaque demande : quel texte impose la vérification du casier pour ce poste, quel lien direct et nécessaire justifie chaque document et chaque question. Ensuite, refuser par écrit ce qui est illicite, en visant les textes, et fournir uniquement ce qui conditionne objectivement l’aptitude. Puis demander l’accès et l’effacement de tout ce qui a été collecté sans base valable, avec un délai de réponse d’un mois. À défaut de régularisation, déposer plainte devant la Commission avec le dossier complet. Enfin, saisir le conseil de prud’hommes en cas de discrimination d’embauche et le tribunal judiciaire pour l’effacement sous astreinte et la réparation, en joignant les décisions de la Commission quand elles existent. Les entreprises avisées, elles, ont intérêt à purger leurs processus avant tout litige : mention oui/non sans copie du bulletin, information préalable des candidats, durées de conservation définies et respectées, suppression des questions prohibées des grilles d’entretien.
Conclusion
Un employeur ne peut pas exiger votre casier judiciaire par principe, ne peut pas le conserver en copie, et ne peut refuser votre embauche en raison de condamnations que si celles-ci sont incompatibles avec l’emploi précis proposé. Il ne peut vous interroger et vous demander des documents que dans la mesure du lien direct et nécessaire avec le poste, après vous avoir informé des méthodes utilisées, et jamais sur les motifs prohibés par la loi. Vos données de recrutement ne peuvent être gardées indéfiniment : une fois le poste pourvu, elles doivent être effacées ou, avec votre accord éclairé, versées pour une durée bornée dans une CVthèque identifiée. Quand ces règles sont méconnues, le droit organise une réponse graduée : demande d’accès et d’effacement avec réponse dans un délai d’un mois, plainte devant la Commission nationale de l’informatique et des libertés, action prud’homale contre la discrimination d’embauche avec un régime de preuve aménagé, et action devant le juge judiciaire pour l’effacement sous astreinte et la réparation du préjudice matériel et moral. Gardez chaque écrit, exigez la base juridique de chaque demande, refusez par écrit l’illicite et agissez sans attendre : en matière de recrutement, la trace que vous constituez aujourd’hui conditionne la réparation que le juge pourra prononcer demain.