Un background check est un instantané : il atteste les constats à la date du contrôle — rien de plus. Les listes de sanctions changent quotidiennement, l’adverse media émerge en continu, et la situation financière d’une personne peut se retourner en quelques mois. Pour les entités assujetties à la GwG (la loi allemande sur le blanchiment d’argent), la surveillance continue de la relation d’affaires est de toute façon obligatoire (§ 10 al. 1 n° 5 GwG) ; pour votre propre personnel, en revanche, les principes du RGPD fixent des limites au screening permanent sans discernement. La bonne réponse n’est donc pas un choix binaire, mais une matrice de décision : ponctuel, événementiel ou continu — selon le poste et le régime juridique.
Pourquoi l’instantané vieillit
Le contrôle ponctuel répond à la question « Savait-on quelque chose à la date de référence ? » — pas à la question « Sait-on quelque chose aujourd’hui ? ». Trois exemples montrent à quelle vitesse un résultat de contrôle devient obsolète :
- Listes de sanctions : Les règlements de sanctions de l’UE (dont le règlement (UE) n° 269/2014) sont continuellement élargis de personnes et d’organisations — une occurrence peut survenir un jour après le contrôle.
- Adverse media : Les reportages sur des enquêtes, des insolvabilités ou des conflits d’intérêts émergent en continu et sont par nature imprévisibles.
- Circonstances personnelles : Les activités secondaires, les participations et les difficultés financières se développent après l’embauche — c’est-à-dire après la seule date de contrôle que beaucoup d’entreprises utilisent jamais.
Ce que la loi exige — et où elle différencie
Pour les relations d’affaires, la position juridique des entités assujetties est claire : le § 10 al. 1 n° 5 GwG exige une surveillance continue, y compris la tenue à jour des documents et informations sous-jacents. Quiconque ne contrôle les clients et partenaires commerciaux qu’à l’entrée en relation ne remplit pas les obligations de due diligence.
Pour le personnel, le tableau est plus nuancé : la fiabilité des salariés des entités assujetties doit être garantie non seulement à l’embauche mais de manière continue — ce que cela signifie concrètement est expliqué dans notre article sur les contrôles de fiabilité des salariés selon la GwG. En même temps, il n’existe pas d’obligation générale de contrôler en permanence chaque salarié — et en droit de la protection des données, cela ne serait pas non plus tenable. Pour l’audit interne et les superviseurs, ce qui compte est moins l’occurrence individuelle que la preuve que votre modèle de screening a été choisi consciemment, justifié par écrit et appliqué de manière cohérente.
Où le RGPD fixe des limites
Le screening permanent sans discernement de l’ensemble des effectifs entre en collision avec les principes de l’art. 5 al. 1 RGPD : la limitation des finalités (let. b), la minimisation des données (let. c) et la limitation de la conservation (let. e) exigent que les contrôles répétés aient une finalité définie, un périmètre limité et un concept de suppression. Comme bases juridiques, l’art. 6 al. 1 let. c RGPD (obligations légales de screening des entités assujetties) et la let. f (intérêt légitime avec test de mise en balance) entrent en considération — plus le poste est risqué, plus la mise en balance soutient volontiers un cycle plus court. Le système sous-jacent est exposé dans notre article sur les bases juridiques RGPD du screening.
Matrice de décision : ponctuel, événementiel, continu
En pratique, un modèle à trois niveaux a fait ses preuves :
- Ponctuel (embauche) : Tous les postes — identité, CV, registres pertinents pour le poste. Le contrôle de base reste le fondement de toute décision de personnel.
- Événementiel : Changements de fonction vers des postes sensibles, indices concrets, déclencheurs réglementaires (comme une prochaine notification de nomination). Les travailleurs externes en font également partie — pourquoi est montré dans notre article sur le screening des managers intérimaires et des prestataires externes.
- Continu : Les fonctions clés avec accès à l’argent, aux données clients ou aux systèmes critiques, ainsi que les constellations soumises à une obligation légale de surveillance — ici surtout la surveillance des listes de sanctions et de l’adverse media, c’est-à-dire les catégories qui peuvent changer quotidiennement.
Ce qui compte, c’est l’affectation documentée : quel poste relève de quel niveau, avec quelle justification et quel cycle ? Le cycle lui-même doit aussi être justifié — un rythme annuel pour les fonctions clés est régulièrement défendable, un rythme plus court seulement pour les sources qui changent quotidiennement, comme les listes de sanctions.
Conduite à tenir recommandée
Classez vos fonctions selon les trois niveaux, justifiez l’affectation par écrit et définissez pour chaque niveau le périmètre du screening, le cycle et les délais de suppression. Commencez par les fonctions clés — c’est là que l’écart entre un contrôle ponctuel et la réalité est le plus coûteux. Indicium fournit des rapports vérifiables avec des sources datées et une relecture finale humaine (art. 22 RGPD) dès 79 € par rapport ; la promesse de satisfaction de 6 mois fait le pont entre les deux mondes — vous commencez par des contrôles individuels et les développez en programme récurrent sans engagement préalable. Les détails sur les modèles se trouvent sous tarifs, le périmètre du screening dans le rapport logiciel.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.