Vous sortez d’un entretien qui se passait bien et le recruteur vous demande d’envoyer « juste » votre casier judiciaire par courriel. Un ami vous apprend ensuite que l’entreprise a épluché votre profil Facebook et appelé votre ancien chef sans vous prévenir. Puis vient le silence, ou un refus poli sans explication. Cette séquence, banale dans les recrutements de 2026, pose trois questions de droit précises : le recruteur avait-il le droit de collecter ces informations, pouvez-vous exiger leur effacement, et le refus d’embauche peut-il être jugé puis réparé ? Cet article répond dans l’ordre, en s’appuyant sur le code du travail, le règlement général sur la protection des données, la loi du 6 janvier 1978, le guide de la CNIL dédié au recrutement et quatre décisions rendues entre 2020 et 2026.
La règle qui commande tout le raisonnement tient en une phrase du code du travail : « Les informations demandées, sous quelque forme que ce soit, au candidat à un emploi ne peuvent avoir comme finalité que d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles. Ces informations doivent présenter un lien direct et nécessaire avec l’emploi proposé ou avec l’évaluation des aptitudes professionnelles. Le candidat est tenu de répondre de bonne foi à ces demandes d’informations. » (art. L. 1221-6 du code du travail). Chaque collecte du recruteur — casier, réseaux sociaux, références, justificatifs — se mesure à ce double critère du lien direct et nécessaire avec le poste, et chaque refus d’embauche fondé sur ces données se juge à l’aune de la discrimination et de la réparation.
I. Ce que le recruteur peut exiger et vérifier avant de vous embaucher
A. Votre casier judiciaire : un extrait consulté, jamais conservé, et seulement si le poste l’exige
Le casier judiciaire national automatisé recense les condamnations pénales et se décline en trois bulletins aux contenus et aux destinataires différents. Le bulletin n° 1, le plus complet, est réservé aux magistrats et aux établissements pénitentiaires. Le bulletin n° 2, expurgé de certaines décisions, n’est délivré qu’aux autorités et organismes habilités par la loi pour des motifs précis. Le bulletin n° 3, le plus restreint, ne comporte que les condamnations les plus graves, notamment les condamnations supérieures à deux ans d’emprisonnement sans sursis et certaines déchéances ou incapacités en cours d’exécution, et il n’est délivré qu’à la personne concernée, sur sa demande. Cette architecture, rappelée par la CNIL dans la fiche n° 16 de son guide du recrutement mis à jour en mai 2026, commande tout le reste : aucun recruteur n’a un accès direct au bulletin n° 1, et l’accès aux bulletins n° 2 et n° 3 obéit à des conditions strictes (CNIL, guide du recrutement, fiche n° 16).
L’interdiction de principe est posée par deux textes. D’abord, le règlement européen : le règlement ne permet le traitement des données relatives aux condamnations pénales et aux infractions que sous le contrôle de l’autorité publique ou lorsqu’il est autorisé par le droit de l’Union ou d’un État membre offrant des garanties appropriées, et réserve à l’autorité publique la tenue de tout registre complet des condamnations (art. 10 du RGPD). Ensuite, la loi française : « Les traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes ne peuvent être effectués que par : 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales » (art. 46 de la loi n° 78-17 du 6 janvier 1978). Un employeur privé n’entre dans aucune de ces catégories par principe, et la CNIL en déduit que les casiers, même vierges, constituent des données relatives aux condamnations encadrées par cette interdiction, de sorte qu’un recruteur ne peut en principe pas obtenir d’extrait de casier judiciaire d’un candidat, selon la CNIL, en l’absence de texte spécifique (CNIL, guide du recrutement, fiche n° 16).
L’exception, étroite, suppose un lien direct et nécessaire avec le poste. Lorsque la vérification est véritablement exigée par la nature des fonctions — la CNIL cite les emplois en lien avec des enfants — le recruteur peut, en justifiant sa pratique au regard du code du travail, demander à consulter l’extrait papier du bulletin n° 3 présenté par le candidat, sans le conserver ni en faire de copie. La position de la CNIL est explicite : La CNIL admet toutefois que, lorsque la vérification est rendue nécessaire par le lien direct avec le poste et justifiée au regard du code du travail, le recruteur demande à voir l’extrait papier du bulletin n° 3 présenté par le candidat, sans le conserver ni le copier (CNIL, guide du recrutement, fiche n° 16). Concrètement, le recruteur qui vous demande d’envoyer votre bulletin n° 3 par courriel, qui le photocopie, qui recopie son contenu dans un autre document ou qui l’exige systématiquement de tous les candidats sans lien avec le poste commet quatre fautes distinctes, chacune prohibée : la CNIL les énumère comme autant de pratiques interdites, et elle ajoute que une simple mention positive ou négative de la vérification dans le dossier de gestion du personnel suffit, selon la CNIL (CNIL, extrait de casier judiciaire : l’employeur peut-il le demander et le conserver ?).
Pour les fonctions dites sensibles, des textes spéciaux organisent la vérification du bulletin n° 2, parfois par une autorité qui délivre un agrément ou une attestation d’honorabilité. C’est le cas des activités auprès de personnes vulnérables — mineurs, patients, personnes âgées, personnes handicapées — prévues notamment par le code de l’action sociale et des familles, le code de l’éducation, le code de la santé publique et le code du sport, avec consultation possible du bulletin n° 2 et du fichier judiciaire automatisé des auteurs d’infractions sexuelles ou violentes. Dans ce circuit, l’employeur n’a pas accès au détail des fichiers : la vérification est effectuée par l’autorité habilitée et pour la CNIL, la vérification de cette attestation par l’employeur suffit à s’assurer de cette capacité (CNIL, guide du recrutement, fiche n° 16). Quant à la conservation, elle n’existe que si le texte spécial la prévoit — trois mois sont communément retenus, notamment pour les administrations en application de l’arrêté du 21 décembre 2012 relatif au dossier individuel des agents publics — et, faute de précisions du texte spécial sur ce point, le document ne doit pas être conservé (CNIL, guide du recrutement, fiche n° 16).
Le contentieux des emplois de sécurité illustre la rigueur du juge sur ces circuits de vérification. Dans un arrêt du 19 octobre 2022, la chambre sociale de la Cour de cassation a jugé le cas d’un agent de sécurité de la RATP licencié au visa d’un avis d’incompatibilité émis par le ministre de l’intérieur après une enquête administrative demandée par l’employeur (Cass. soc., 19 oct. 2022, n° 21-18.248). La Cour rappelle d’abord le texte : « Aux termes du premier alinéa de l’article L. 114-2 du code de la sécurité intérieure, les décisions de recrutement et d’affectation concernant les emplois en lien direct avec la sécurité des personnes et des biens au sein d’une entreprise de transport public de personnes peuvent être précédées d’enquêtes administratives destinées à vérifier que le comportement des personnes intéressées n’est pas incompatible avec l’exercice des fonctions ou des missions envisagées. » Elle précise ensuite la garantie procédurale : « dans le cas d’un avis d’incompatibilité émis par l’autorité administrative à la suite d’une enquête administrative menée sur le fondement du deuxième alinéa de cet article, le salarié peut contester, devant le juge administratif, l’avis de l’autorité administrative dans un délai de quinze jours à compter de sa notification », les juridictions du fond statuant dans un délai de deux mois, et « La procédure de licenciement ne peut être engagée tant qu’il n’a pas été statué en dernier ressort sur ce litige. » (Cass. soc., 19 oct. 2022, n° 21-18.248). Surtout, la Cour pose la sanction : « la saisine de l’administration par l’employeur sur un fondement qui ne correspond pas au statut du salarié, constitutive d’un détournement de procédure privant ce dernier du recours suspensif prévu par le texte susvisé, rend le licenciement nul » (Cass. soc., 19 oct. 2022, n° 21-18.248). L’enseignement pour le candidat est double : les vérifications d’antécédents suivent le circuit légal propre à chaque emploi, et l’employeur qui contourne ce circuit pour obtenir le même résultat s’expose à la nullité de la mesure.
Reste la question que posent la plupart des candidats : une condamnation inscrite au casier peut-elle, à elle seule, justifier un refus d’embauche ? La réponse de la CNIL est nette et mérite d’être citée en entier : la CNIL précise que la seule mention d’une condamnation ne fait pas nécessairement obstacle à l’exercice d’une fonction, dans le privé comme dans l’administration, et que seul un refus fondé sur l’incompatibilité entre les condamnations et l’emploi visé est admis (CNIL, guide du recrutement, fiche n° 16). Une condamnation ancienne pour conduite sans permis n’a rien à voir avec un poste de comptable ; une condamnation pour vol ou abus de confiance pèse autrement sur un poste de caissier. C’est l’incompatibilité concrète entre la nature de la condamnation et les fonctions visées qui compte, jamais l’existence abstraite d’une mention. Le candidat écarté au seul motif d’un casier « non vierge », sans examen de cette incompatibilité, tient là son premier grief utile, à la croisée du droit des données et du droit de la non-discrimination.
B. Vos réseaux sociaux et vos traces en ligne : une collecte encadrée, jamais une filature
Le second réflexe des recruteurs consiste à taper votre nom dans un moteur de recherche et à parcourir vos profils publics, parfois vos profils semi-privés. Cette pratique n’est pas interdite en soi, mais elle constitue juridiquement un traitement de données personnelles à part entière : la CNIL analyse le recueil par un recruteur d’informations publiées par un candidat sur un réseau social ou sur Internet comme un traitement de données personnelles, soumis à l’ensemble des principes et règles de la matière (CNIL, guide du recrutement, fiche n° 14). Tout le régime du RGPD s’applique donc à cette Googling du candidat : finalité déterminée, minimisation, base légale, information, durée de conservation, droits d’accès et d’effacement.
La première limite tient à la finalité. Comme pour toute donnée de recrutement, les informations collectées en ligne doivent présenter un lien direct et nécessaire soit avec l’appréciation de la capacité du candidat à occuper le poste proposé, soit avec l’appréciation de ses aptitudes professionnelles, selon la CNIL (CNIL, guide du recrutement, fiche n° 14). Votre portfolio professionnel, vos publications techniques, vos engagements associatifs en lien avec le poste peuvent entrer dans ce cadre ; vos opinions politiques, votre vie familiale, votre santé ou vos loisirs, non. Le code du travail verrouille cette exigence sous deux formes complémentaires : d’une part, seules les informations en lien direct et nécessaire avec l’emploi peuvent être demandées (art. L. 1221-6 du code du travail) ; d’autre part, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (art. L. 1121-1 du code du travail). Un recruteur qui écarte une candidature après avoir découvert une grossesse annoncée sur Instagram, une pratique religieuse visible sur une photo ou une orientation sexuelle affichée sur un profil ne commet pas seulement une collecte excessive : il s’expose au grief de discrimination, que le code du travail prohibe dès le stade du recrutement (art. L. 1132-1 du code du travail).
La deuxième limite tient à la transparence. Le code du travail dispose que « Le candidat à un emploi est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’aide au recrutement utilisées à son égard. Les résultats obtenus sont confidentiels. Les méthodes et techniques d’aide au recrutement ou d’évaluation des candidats à un emploi doivent être pertinentes au regard de la finalité poursuivie. » (art. L. 1221-8 du code du travail). La CNIL en déduit qu’aucune information personnelle sur un candidat ne peut être collectée au moyen d’un dispositif qui ne lui a pas été préalablement révélé, y compris sur Internet, ce qui inclut expressément les informations collectées sur Internet (CNIL, guide du recrutement, fiche n° 14). Concrètement, l’entreprise doit vous dire qu’elle consulte les réseaux sociaux dans le cadre du recrutement — par exemple dans l’annonce, dans l’accusé de réception de candidature ou dans sa politique de confidentialité — avant de le faire. La consultation clandestine de vos profils, la création d’un faux compte pour contourner vos paramètres de confidentialité ou l’exploitation d’une faille d’accès s’analysent comme des dispositifs non portés à votre connaissance et donc illicites, sans qu’il soit besoin d’invoquer autre chose que ce texte.
Le RGPD ajoute une obligation d’information propre à la collecte indirecte, celle qui ne passe pas par vous : lorsque les données ne sont pas collectées auprès de la personne concernée, le responsable du traitement doit lui fournir l’identité du responsable, les finalités et la base juridique, les catégories de données, la durée de conservation, ses droits d’accès, de rectification, d’effacement, d’opposition et de portabilité, le droit de réclamation et la source des données et leur éventuelle provenance publique (art. 14 du RGPD). Cette information doit intervenir dans un délai raisonnable ne dépassant pas un mois après la consultation, selon la CNIL selon la CNIL, qui n’admet de dispense d’information individuelle que dans des cas exceptionnels, strictement justifiés, avec maintien d’une information collective accessible — par exemple une simple consultation de profils professionnels sans enregistrement, compensée par des mentions publiques (CNIL, guide du recrutement, fiche n° 14). Dès que le recruteur enregistre, copie ou exploite vos données en ligne, l’information individuelle redevient due. Si vous découvrez après coup que vos réseaux ont été fouillés sans que personne ne vous ait rien dit, demandez par écrit quelles données ont été collectées, sur quel fondement et auprès de quelles sources : l’absence de réponse dans le mois constitue déjà un manquement, car le responsable doit répondre aux demandes fondées sur les articles 15 à 22 dans les meilleurs délais et au plus tard sous un mois, délai prolongeable de deux mois selon la complexité et le nombre de demandes (art. 12, paragraphe 3, du RGPD).
La troisième limite protège votre vie privée elle-même : « Chacun a droit au respect de sa vie privée. Les juges peuvent, sans préjudice de la réparation du dommage subi, prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée : ces mesures peuvent, s’il y a urgence, être ordonnées en référé. » (art. 9 du code civil). Le fait qu’un contenu soit accessible en ligne ne le rend pas exploitable à toutes fins : la CNIL rappelle que la CNIL rappelle que l’accessibilité d’un contenu en ligne n’exclut ni son rattachement à la vie privée du candidat ni le régime protecteur de l’article 9 du code civil, et que les règles des plateformes elles-mêmes — clauses contractuelles et conditions d’utilisation qui encadrent l’exploitation des données par les recruteurs — participent à l’appréciation de la licéité (CNIL, guide du recrutement, fiche n° 14).
La Cour de cassation a fixé, en matière de preuve prud’homale, les bornes que tout employeur doit garder à l’esprit avant d’exploiter des contenus issus des réseaux sociaux. Dans l’affaire dite Petit Bateau, une salariée avait été licenciée pour faute grave après la publication sur son compte Facebook privé d’une photographie de la future collection ; l’employeur en avait été informé par le courriel spontané d’une collègue admise parmi les contacts de la salariée sur le réseau (Cass. soc., 30 sept. 2020, n° 19-12.058). La Cour valide la preuve en jugeant que « l’employeur ne peut avoir recours à un stratagème pour recueillir une preuve », et la cour d’appel a pu déduire de la communication spontanée de la publication, par le courriel d’une collègue admise parmi les contacts du compte, que ce procédé d’obtention n’était pas déloyal. Elle ajoute le test applicable à toute production d’éléments privés en justice : « le droit à la preuve peut justifier la production d’éléments portant atteinte à la vie privée à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit proportionnée au but poursuivi » (Cass. soc., 30 sept. 2020, n° 19-12.058). Cet arrêt concerne un contentieux disciplinaire et ne juge pas le recrutement, mais sa logique éclaire le vôtre : ce qui est obtenu par stratagème est déloyal, et ce qui porte atteinte à la vie privée ne passe en justice que s’il est indispensable et proportionné. Le recruteur qui ruserait pour lire vos publications restreintes commettrait le stratagème que la Cour prohibe, et le candidat qui conteste l’usage de ses données en justice bénéficie du même test de proportionnalité. Si votre candidature a été triée par un outil automatisé avant tout regard humain, les règles de l’explication et de l’intervention humaines s’ajoutent à celles-ci, comme l’explique l’analyse du site sur la candidature rejetée par une IA de recrutement.
II. Comment contester une fouille abusive et obtenir réparation
A. Références, justificatifs et données conservées : exiger l’effacement et saisir la CNIL
Le troisième canal de vérification passe par votre entourage professionnel : appels à vos anciens supérieurs, à vos collègues, à vos maîtres de stage, à vos clients ou à vos fournisseurs. Cette prise de références est autorisée, mais à une condition stricte : le recueil de références auprès de l’entourage professionnel du candidat est admis dès lors que le candidat en a été préalablement informé, selon la CNIL (CNIL, guide du recrutement, fiche n° 5). Si votre ancien employeur vous rapporte qu’il a été interrogé sur vous alors que personne ne vous avait annoncé cette démarche, la collecte est illicite pour défaut d’information préalable, sur le fondement de l’article L. 1221-8 déjà cité. Exigez alors par écrit l’effacement des notes ainsi recueillies et la liste de leurs destinataires : toute donnée collectée illicitement remplit la condition d’effacement pour traitement illicite, car la personne concernée peut obtenir du responsable l’effacement de ses données dans les meilleurs délais, selon le règlement, notamment lorsqu’elles ne sont plus nécessaires aux finalités de la collecte ou qu’elles ont fait l’objet d’un traitement illicite (art. 17 du RGPD).
Le même principe de minimisation s’applique aux justificatifs qu’on vous réclame. Un certificat de travail confirmant l’existence, la durée et la nature de vos emplois précédents suffit en principe à attester de votre expérience et peut vous être demandé. En revanche, la collecte des bulletins de paie par un recruteur apparaît à la CNIL disproportionnée et incompatible avec les exigences légales, car ces documents révèlent le montant de vos salaires, d’éventuels arrêts maladie, des événements personnels et vos coordonnées bancaires, sans utilité pour apprécier votre aptitude au poste (CNIL, guide du recrutement, fiche n° 5). La CNIL l’a confirmé dans une mise en demeure rendue publique le 25 avril 2024 à l’encontre d’une société qui exigeait des candidats, dès le stade de la candidature, leur lieu de naissance, leur nationalité, leur situation de famille détaillée — y compris les nom, profession et date de naissance du conjoint, le nombre d’enfants et leur âge — ainsi que l’ensemble de leurs salaires passés (CNIL, 25 avr. 2024, recrutement : mise en demeure de minimiser la collecte). La présidente de la CNIL a rappelé que la collecte de ces informations n’est pas justifiée au stade de la candidature, que la nationalité peut au besoin être approchée de façon agrégée pour les emplois dits de souveraineté, et que le montant des salaires passés, exigé à l’initiative du recruteur, ne présente, selon la CNIL, aucune utilité pour apprécier la capacité à occuper l’emploi — le candidat restant libre de fournir lui-même tout élément utile à ses prétentions salariales. La société s’étant mise en conformité, la procédure a été clôturée, mais l’enseignement demeure : tout ce qui dépasse l’identification, l’expérience, la formation et l’évaluation de vos aptitudes, réclamé avant même que votre candidature soit retenue, est contestable. L’état civil complet, le numéro de sécurité sociale, la domiciliation bancaire et l’adresse postale ne deviennent collectables qu’au stade de l’embauche, pour les formalités obligatoires de l’employeur.
Vient ensuite la question de la conservation. Le cycle de vie de vos données de candidature se découpe en deux phases. En base active, le recruteur conserve vos informations pendant tout le processus jusqu’à la décision d’embauche. Après la décision, l’objectif de la collecte est atteint : le recruteur doit trier et, sauf besoin précis, supprimer. Trois cas de figure seulement autorisent une conservation prolongée. D’abord, l’employeur peut garder quelques mois les candidatures non retenues pour expliquer aux candidats les raisons du rejet. Ensuite, pour alimenter un vivier et vous proposer un autre poste, il s’agit d’un nouveau traitement pour lequel la CNIL recommande au recruteur de demander le consentement du candidat, pour une durée raisonnable selon le poste, sachant qu’la CNIL recommande de ne pas excéder deux ans à compter du dernier échange avec la personne (CNIL, guide du recrutement, fiche n° 9). Enfin, une conservation probatoire en base intermédiaire reste possible pour se prémunir contre un contentieux en discrimination, mais elle n’est ni systématique ni automatique et doit répondre à un objectif précis identifié en amont et se limite aux informations strictement nécessaires (CNIL, guide du recrutement, fiche n° 9). Si vous êtes resté sans réponse pendant des mois puis que vous recevez, deux ans après, un appel commercial fondé sur votre ancien dossier, ou si vos données circulent entre filiales sans que vous ayez jamais consenti au vivier, vous pouvez vous opposer à ce traitement : toute personne peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, et le responsable doit alors cesser sauf à démontrer des motifs légitimes et impérieux qui prévaudraient sur ses droits (art. 21 du RGPD).
Lorsque le recruteur ne répond pas à votre demande d’accès, d’effacement ou d’opposition, ou lorsqu’il maintient une collecte excessive avérée par vos pièces, la plainte devant la CNIL est la voie naturelle : sans préjudice de tout autre recours, toute personne qui estime qu’un traitement viole le règlement peut adresser une réclamation à l’autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation (art. 77 du RGPD). L’autorité saisie vous informe de l’avancement et de l’issue, et son silence de trois mois ouvre lui-même un recours juridictionnel. La démarche pratique est détaillée sur le site dans l’analyse consacrée à la plainte CNIL sans réponse : déposer, relancer, contester et obtenir réparation. Joignez à votre plainte les preuves de la collecte — annonce exigeant le casier, courriel réclamant le bulletin n° 3, captures des formulaires demandant votre situation de famille, témoignage écrit de l’ancien employeur démarché — car la CNIL statue sur pièces et la mise en demeure de 2024 montre qu’une plainte documentée suffit à faire cesser une collecte excessive.
B. Éviction et discrimination : faire juger le refus d’embauche et chiffrer le préjudice
Le refus d’embauche fondé sur des données illicitement collectées s’analyse d’abord sous l’angle de la discrimination. Le code du travail dispose qu’« Aucune personne ne peut être écartée d’une procédure de recrutement ou de nomination ou de l’accès à un stage ou à une période de formation en entreprise » pour l’un des motifs prohibés qu’il énumère — origine, sexe, mœurs, orientation sexuelle, identité de genre, âge, situation de famille, grossesse, opinions, convictions religieuses, apparence physique, nom, lieu de résidence, état de santé, handicap, vulnérabilité économique, appartenance syndicale ou qualité de lanceur d’alerte, entre autres (art. L. 1132-1 du code du travail). Lorsque la fouille de vos réseaux ou de votre entourage a révélé un tel motif et que l’embauche vous est refusée dans la foulée, la chronologie fait présumer le lien : conservez tout — dates de consultation de vos profils, questions posées en entretien après la fouille, message de refus, témoignages — car le régime probatoire vous est favorable. En effet, « Lorsque survient un litige en raison d’une méconnaissance des dispositions du chapitre II, le candidat à un emploi, à un stage ou à une période de formation en entreprise ou le salarié présente des éléments de fait laissant supposer l’existence d’une discrimination directe ou indirecte », et « Au vu de ces éléments, il incombe à la partie défenderesse de prouver que sa décision est justifiée par des éléments objectifs étrangers à toute discrimination », le juge formant sa conviction après avoir ordonné au besoin toutes les mesures d’instruction utiles (art. L. 1134-1 du code du travail). Vous n’avez donc pas à prouver le mobile discriminatoire avec certitude : des éléments de fait qui le laissent supposer suffisent à renverser la charge de la preuve sur l’employeur.
Le pendant de cette protection, côté candidat, est votre devoir de bonne foi. L’article L. 1221-6 vous oblige à « répondre de bonne foi » aux demandes d’informations en lien direct et nécessaire avec le poste, et la jurisprudence récente illustre ce que coûte la dissimulation d’une information déterminante. La cour d’appel de Lyon a ainsi relevé, dans un litige relatif à un moniteur d’équitation engagé sans le diplôme requis pour dispenser des cours : « Il n’est pas contesté que M. [O] n’avait pas le diplôme de moniteur et n’en a pas informé son employeur avant la signature du contrat. Dès lors que l’employeur en a été averti, il ne pouvait plus employer M. [O] en cette qualité sauf à engager sa responsabilité professionnelle. » (CA Lyon, 2 oct. 2026, n° 24/05445). Dans cette affaire, la cour a statué sur la validité de la rupture conventionnelle ultérieure au regard des vices du consentement — « l’erreur, le dol et la violence vicient le consentement lorsqu’ils sont de telle nature que, sans eux, l’une des parties n’aurait pas contracté ou aurait contracté à des conditions substantiellement différentes » (art. 1130 du code civil) — sans prononcer la nullité du contrat pour dol dans son dispositif. L’arrêt ne juge donc pas que toute dissimulation annule l’embauche, mais il établit le fait qui doit guider le candidat : taire une condition réglementaire d’exercice du poste expose à une remise en cause ultérieure de la relation de travail, alors que la mention spontanée d’une condamnation sans lien avec le poste ne peut fonder ni une question licite ni un refus motivé.
La cour d’appel d’Amiens fournit le miroir de cette situation côté employeur. Une comptable avait été licenciée pour faute grave au motif qu’elle n’avait pas déclaré des condamnations, alors que l’extrait de casier n° 3 produit avant son embauche ne les mentionnait pas ; la cour a infirmé le jugement sur la nullité, mais a statué à nouveau en jugeant que « les faits fautifs exposés dans la lettre de licenciement sont prescrits » et que « le licenciement prononcé à l’encontre de Mme [Y] est dépourvu de cause réelle et sérieuse », allouant préavis, indemnité de licenciement et dommages-intérêts (CA Amiens, 25 sept. 2025, n° 24/03729). Cette décision tranche un point de prescription disciplinaire, pas l’étendue générale d’une obligation de révéler des condamnations que l’employeur n’a pas demandées : les décisions consultées ne tranchent pas cette dernière question sur le fond, et il faut le dire clairement plutôt que de la déduire. Ce qu’elles établissent en revanche, c’est que le juge contrôle strictement les licenciements motivés par des antécédents, y compris sur le terrain de la prescription, et que l’employeur qui a lui-même demandé et reçu un bulletin n° 3 vierge avant l’embauche plaide ensuite difficilement la faute du salarié pour des mentions que ce bulletin ne portait pas.
Devant quel juge porter ces griefs, et dans quels délais ? Le candidat évincé avant toute embauche relève du régime de la discrimination : l’action en réparation du préjudice qui en résulte « se prescrit par cinq ans à compter de la révélation de la discrimination », sans aménagement conventionnel possible, et « Les dommages et intérêts réparent l’entier préjudice résultant de la discrimination, pendant toute sa durée » (art. L. 1134-5 du code du travail). Le point de départ — la révélation — mérite attention : c’est le jour où vous comprenez que le refus est lié au motif prohibé, par exemple en découvrant la consultation de vos réseaux ou la prise de références clandestine, qui fait courir le délai, selon les termes mêmes du texte. Une fois le contrat signé puis rompu sur fond d’antécédents, le conseil de prud’hommes entre en jeu pour les différends nés à l’occasion du contrat de travail, qu’il règle d’abord par la conciliation puis, à défaut, par le jugement (art. L. 1411-1 du code du travail). Parallèlement, le RGPD ouvre à toute personne concernée un recours juridictionnel effectif lorsqu’elle estime que ses droits ont été violés par un traitement non conforme (art. 79 du RGPD), et toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir réparation auprès du responsable ou du sous-traitant (art. 82 du RGPD). À défaut de texte spécial applicable, l’action personnelle en réparation se prescrit par cinq ans à compter du jour où vous avez connu les faits permettant de l’exercer (art. 2224 du code civil), et « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (art. 1240 du code civil). Concrètement, chiffrez trois postes : la perte de chance d’obtenir l’emploi, le préjudice moral lié à l’intrusion — d’autant plus caractérisé que la collecte portait sur votre vie privée ou vos condamnations — et, le cas échéant, les frais exposés pour faire valoir vos droits.
En pratique, la séquence utile tient en quatre gestes. D’abord, écrire au recruteur pour demander quelles données ont été collectées, auprès de quelles sources et sur quel fondement, en rappelant l’obligation d’information préalable et le délai de réponse d’un mois. Ensuite, exiger l’effacement des données illicitement collectées — casier conservé en copie, captures de réseaux sociaux, notes de références prises sans information — et l’attestation de cet effacement. Puis, en l’absence de réponse satisfaisante, déposer une plainte à la CNIL avec les pièces, tout en conservant la possibilité du recours juridictionnel. Enfin, si le refus d’embauche est lié à un motif prohibé ou à une condamnation sans incompatibilité avec le poste, faire juger la discrimination dans le délai de cinq ans à compter de sa révélation. Chacune de ces étapes produit une trace écrite, et ces traces font les dossiers qui gagnent.
Face à un recruteur qui exige votre casier judiciaire, fouille vos réseaux sociaux ou appelle vos anciens employeurs, la règle est donc simple à énoncer et exigeante à appliquer : seules les informations en lien direct et nécessaire avec le poste peuvent être collectées, et seulement après que vous en avez été informé ; le bulletin n° 3 se consulte sans jamais se conserver ; les références supposent votre information préalable ; vos données de candidature s’effacent ou se conservent deux ans au plus en vivier avec votre accord ; et le refus fondé sur une condamnation compatible avec l’emploi ou sur un motif discriminatoire se juge et se répare. C’est à cette mesure — collecte justifiée, information donnée, effacement obtenu, préjudice chiffré — que se reconnaît un recrutement régulier.