Toute personne qui fonde son screening pré-embauche uniquement sur le § 26 al. 1 phrase 1 BDSG (loi fédérale allemande sur la protection des données) s’appuie sur une disposition que la CJUE a renversée : dans son arrêt du 30 mars 2023 (C-34/21), la Cour a jugé qu’une telle clause générale ne satisfait pas aux exigences de l’art. 88 al. 2 RGPD. Le screening devient juridiquement solide lorsque chaque catégorie de contrôle repose directement sur une base juridique de l’art. 6 al. 1 RGPD — lit. b, c ou f, selon la catégorie. Cet article montre le rattachement et les points où il échoue en pratique.
Ce que la CJUE a décidé — et ce qui reste
L’art. 88 RGPD permet aux États membres d’adopter des « règles plus spécifiques » pour la protection des données des salariés. Dans l’affaire C-34/21, la CJUE a précisé : une disposition nationale qui ne fait pour l’essentiel que répéter le critère général de nécessité n’est pas une telle règle plus spécifique et ne satisfait pas à l’art. 88 al. 2 RGPD. C’est précisément la critique adressée au § 26 al. 1 phrase 1 BDSG — la disposition n’est donc que d’une utilité limitée comme base juridique exclusive du screening. Le projet de loi sur les données des salariés (Beschäftigtendatengesetz) qui devait combler cette lacune est au point mort et, à la date de juillet 2026, n’a pas été adopté.
Pour la pratique, cela ne signifie pas une interdiction du screening, mais un déplacement du niveau de justification : les bases juridiques générales du RGPD portent le screening — à condition qu’elles soient proprement assignées à chaque catégorie de contrôle.
Rattachement des bases juridiques : art. 6 RGPD par catégorie de contrôle
Une formule générale « nous contrôlons sur la base du BDSG » ne suffit plus. Ce qui tient est un rattachement qui assigne à chaque catégorie sa propre base juridique :
- Vérification de l’identité et du CV — art. 6 al. 1 lit. b RGPD : vérifier les informations que le candidat a lui-même fournies relève des mesures précontractuelles.
- Sanctions et listes de surveillance — art. 6 al. 1 lit. c RGPD pour les entités assujetties : lorsqu’il existe une obligation légale de contrôle (par exemple dans le secteur financier), le traitement est nécessaire au respect d’une obligation légale.
- Recherches dans les registres et sur les médias négatifs — art. 6 al. 1 lit. f RGPD : intérêt légitime avec une mise en balance documentée, justifiée au regard du poste spécifique.
Le rattachement est plus qu’une formalité : il détermine les informations que vous devez fournir à la personne concernée et la profondeur du contrôle admissible pour chaque poste. Pour les institutions relevant du champ d’application du GwG (loi allemande sur le blanchiment d’argent), nous avons examiné l’interaction avec le contrôle de fiabilité dans notre article sur le screening pré-embauche dans les banques.
Le problème particulier de l’art. 10 RGPD : les données relatives aux condamnations pénales
Un obstacle distinct s’applique aux données relatives aux condamnations pénales et aux infractions : l’art. 10 RGPD n’en autorise le traitement que sous le contrôle de l’autorité publique ou sur le fondement d’une disposition légale assortie de garanties appropriées. Quiconque, par exemple, évalue des reportages de presse sur des procédures pénales dans le cadre d’un screening évolue dans ce régime particulier et a besoin d’une base solide et de garanties documentées. C’est précisément là que le screening structuré par catégories se distingue des recherches informelles sur Google par les RH — ces dernières ne connaissent ni base juridique ni garanties.
Transparence selon les art. 13 et 14 RGPD
Quelle que soit la base juridique, le principe suivant s’applique : la personne concernée doit être informée — en vertu de l’art. 13 RGPD lorsque les données sont collectées directement auprès d’elle, et en vertu de l’art. 14 RGPD lorsqu’elles proviennent d’autres sources (registres, médias, réseaux). Un screening qui serait matériellement licite devient vulnérable si cette information fait défaut. Concrètement : des notices d’information dans le processus de candidature qui désignent les catégories de contrôle, les types de sources et les bases juridiques. Les limites qui s’appliquent spécifiquement aux réseaux sociaux sont traitées dans notre article sur le screening des candidats sur les réseaux sociaux ; dans les entreprises à codétermination, s’ajoute l’implication du comité d’entreprise.
Conduite recommandée : la mise en balance en quatre étapes
Pour les catégories fondées sur la lit. f, une mise en balance des intérêts modèle et documentée est recommandée, travaillée pour chaque poste :
- Nommer l’intérêt légitime : protection de l’intégrité, attentes réglementaires, protection des clients et des actifs — rattachés concrètement au poste.
- Tester la nécessité : existe-t-il un moyen moins intrusif que la catégorie de contrôle concernée ? Pourquoi serait-il insuffisant ?
- Mettre en balance : peser la gravité de l’ingérence (type de sources, catégories de données, pertinence au regard de l’art. 10) contre l’intérêt du contrôle — plus le poste est proche de l’argent, des données et des fonctions de contrôle, plus la balance penche en faveur du contrôle.
- Documenter et informer : consigner le résultat par écrit, adapter les notices d’information et fixer le périmètre du contrôle par classe de risque.
Un rapport auditable avec sources datées et examen final humain (art. 22 RGPD) reproduit exactement cette structure — voir le rapport logiciel Indicium pour les secteurs réglementés.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.