Le screening pré-embauche dans les banques est licite lorsque le traitement des données est nécessaire à la décision relative à la conclusion de la relation de travail — c’est la norme fixée par le § 26 al. 1 phrase 1 BDSG (loi fédérale allemande sur la protection des données), et le § 26 al. 8 BDSG place expressément les candidats sur un pied d’égalité avec les salariés. Pour les banques, il s’y ajoute une couche supplémentaire : le contrôle de fiabilité du personnel est une mesure de sauvegarde interne définie par la loi au titre du § 6 al. 2 n° 5 GwG (loi allemande anti-blanchiment). Il n’existe donc pas de contradiction entre la prévention du blanchiment d’argent et la protection des données — seulement une norme de nécessité qu’un processus de screening structuré peut transposer proprement.
L’obligation GwG et la protection des données suivent la même norme
De nombreux services RH traitent le screening et la protection des données comme des opposés : la conformité exige un contrôle, le délégué à la protection des données freine. Juridiquement, la relation est plus simple. Une entité assujettie à la GwG qui doit garantir la fiabilité de son personnel dispose d’un motif matériel solide pour traiter les données des candidats — mais uniquement dans la mesure nécessaire au poste spécifique. Aux côtés du § 26 BDSG, les bases légales générales du RGPD entrent en jeu ; nous avons exploré les détails dans notre article sur les bases légales du screening pré-embauche selon le RGPD.
La nécessité n’est pas un chèque en blanc mais une mise en balance : plus un poste est proche de l’argent, des données clients et des fonctions de contrôle, plus il peut — et doit — être contrôlé.
Ce que permet le § 26 BDSG
Est permis tout ce qui présente un lien démontrable avec la décision d’embauche et provient de sources légalement accessibles. En pratique, des catégories de screening clairement définies ont fait leurs preuves, par exemple :
- Vérification de l’identité et des documents — la personne, le CV et les pièces justificatives correspondent-ils ?
- Sources de registres — registre du commerce, publications d’insolvabilité et annuaires publics comparables, dans la mesure où ils sont pertinents pour le poste.
- Sanctions et listes de surveillance — régulièrement indispensables pour les entités assujetties à la GwG.
- Recherche de médias négatifs — reportages liés à la profession issus de médias publiquement accessibles.
- Références et certificats — au su du candidat.
Ce qui importe, c’est moins la source individuelle que le processus : une procédure de screening définie, par catégories, avec une justification documentée par catégorie, est considérablement plus sûre du point de vue de la protection des données que le « googler » informel du responsable du recrutement, qui ne connaît ni base légale ni documentation.
Où passe la ligne rouge
Les limites sont tout aussi claires. Ne sont pas nécessaires — et donc régulièrement illicites — en particulier :
- le contrôle de routine, sans cause, des profils de réseaux sociaux manifestement privés,
- les recherches sans lien avec le poste spécifique, comme la situation familiale ou la conception du monde,
- les méthodes clandestines qui contournent délibérément la personne concernée,
- la constitution de stocks de données « pour plus tard » sans finalité de screening concrète.
Franchir ces lignes ne procure aucune sécurité mais crée de nouveaux risques : les résultats issus de sources illicites ne peuvent pas être utilisés dans la décision d’embauche et peuvent être retenus contre l’établissement en cas de litige. Dans les organisations dotées d’une codétermination, le comité d’entreprise doit également être associé à la table dès le début ; comment mener à bien cette implication est traité dans notre article sur la codétermination dans les background checks.
Proportionnalité : profondeur du screening selon le poste
La mise en œuvre pratique passe par une gradation fondée sur le risque. Un poste dans les paiements, la gestion d’actifs ou disposant de droits d’administrateur justifie un contrôle plus approfondi qu’un rôle sans accès client ou système. Les banques qui classent leurs postes en deux ou trois classes de risque et assignent à chaque classe un catalogue fixe de catégories de screening satisfont aux deux exigences à la fois : l’obligation de sauvegarde de la GwG et la norme de nécessité du BDSG. La classification elle-même devrait être justifiée par écrit — c’est le document avec lequel vous expliquerez plus tard à l’autorité de protection des données et aux personnes concernées pourquoi chaque poste a été contrôlé à quelle profondeur. Ce à quoi ressemble concrètement le contrôle de fiabilité selon la GwG est expliqué dans notre article de fond sur le contrôle des salariés selon le § 6 al. 2 n° 5 GwG.
Conduite recommandée
Si vous souhaitez placer votre screening pré-embauche sur une base juridiquement solide, une démarche en trois étapes est recommandée :
- Classez les postes : définissez des classes de risque et assignez à chaque classe un périmètre de screening fixe — documenté, et non ad hoc.
- Cartographiez les sources et les bases légales : pour chaque catégorie de screening, consignez pourquoi elle est nécessaire pour le poste.
- Le processus plutôt que le cas par cas : effectuez les contrôles de manière standardisée et documentez les résultats de façon vérifiable.
Un rapport structuré avec des sources datées et un examen final humain (art. 22 RGPD) vous décharge du travail le plus délicat — Indicium fournit exactement cela sous forme de rapport logiciel prêt pour l’audit, adapté aux secteurs réglementés.
Cet article ne constitue pas un conseil juridique.