Dans la plupart des entreprises, les managers intérimaires, consultants et collaborateurs de prestataires de services échappent à tous les maillages de contrôle : ils ne passent par aucune intégration RH, aucun processus de candidature et aucun contrôle de fiabilité — et reçoivent pourtant souvent un accès bien plus étendu que les salariés permanents. Juridiquement, il y a un point supplémentaire : le § 26 BDSG (loi fédérale allemande sur la protection des données) ne s’applique régulièrement pas à eux — le § 26 al. 8 BDSG définit la notion de salarié, et les externes n’en relèvent régulièrement pas. Le screening des externes repose donc sur l’art. 6 al. 1 lit. b et f RGPD — et dans les secteurs réglementés, il n’est plus une option depuis longtemps ; il fait partie des obligations vis-à-vis des tiers.
Pourquoi les externes échappent au maillage
Le constat a des causes organisationnelles : les externes entrent dans l’entreprise par les achats ou l’unité opérationnelle, et non par les RH. Le contrat de prestation régit la performance et la responsabilité, mais rarement l’intégrité des personnes déployées. Et comme le CFO intérimaire ou l’administrateur externe est formellement employé par l’entreprise d’envoi, personne ne se sent responsable de les vérifier — l’entreprise d’envoi renvoie au client, le client s’appuie sur l’entreprise d’envoi. Le résultat : la personne disposant d’un accès illimité à l’ERP, aux paiements ou au contrôle de production est souvent la personne la moins contrôlée de tout le bâtiment. Les managers intérimaires accentuent encore le schéma : ils arrivent précisément dans des situations de bouleversement — vacance de poste, restructuration, crise — donc à des moments où les contrôles internes sont de toute façon affaiblis. Pour le dire crûment : l’accès le plus coûteux à l’entreprise est celui qui n’a pas été vérifié.
Base juridique : art. 6 al. 1 lit. b et f RGPD
Que le § 26 BDSG ne s’applique pas n’est pas un obstacle mais une clarification — les bases juridiques générales du RGPD portent le screening :
- Art. 6 al. 1 lit. b RGPD : vérifier les informations avec lesquelles l’externe ou son entreprise d’envoi se présentent (qualifications, parcours professionnel, projets de référence) relève des mesures précontractuelles et de l’exécution du contrat.
- Art. 6 al. 1 lit. f RGPD : les contrôles de registres, de sanctions et de médias négatifs reposent sur l’intérêt légitime à n’accorder un accès critique qu’à des personnes intègres — avec une mise en balance documentée et fondée sur le rôle.
Les obligations de transparence et le principe de proportionnalité s’appliquent également ici ; nous avons développé le cadre général dans notre article sur les bases juridiques RGPD du screening.
Ce qui oblige en outre les secteurs réglementés
Dans les secteurs réglementés, le screening des externes est de plus en plus explicitement exigé :
- Secteur financier : le règlement DORA (règlement (UE) 2022/2554, art. 28 et suiv.) impose une diligence raisonnable sur les prestataires tiers de services TIC avant la signature du contrat — la responsabilité reste à l’entité financière. Détails dans notre article sur DORA et le facteur humain.
- Infrastructures critiques : la BSIG (loi allemande sur l’Office fédéral de la sécurité de l’information) oblige les entités concernées à adopter des concepts de sécurité du personnel et de la chaîne d’approvisionnement — personnel externe inclus.
- Entités assujetties au GwG : les obligations de diligence au titre du § 10 GwG (loi allemande sur le blanchiment d’argent) couvrent les relations d’affaires — y compris celle avec le prestataire de services.
Cadre de screening : évaluer ensemble la personne et l’entreprise d’envoi
La particularité du screening des externes : il y a deux objets d’évaluation. Un cadre robuste couvre les deux —
- La personne : vérification de l’identité, du CV et des qualifications, registres pertinents pour le poste, listes de sanctions, médias négatifs, conflits d’intérêts (mandats, participations).
- L’entreprise d’envoi : extrait de registre et données de base, bénéficiaires effectifs ultimes (BÉ), contrôle des sanctions et des médias négatifs de l’entreprise, interconnexions identifiables.
- L’accès : classification fondée sur le rôle — plus les systèmes et données sont critiques, plus le contrôle est approfondi et plus tôt une répétition intervient au cours de la mission ; le moment où un monitoring continu a du sens est montré dans notre comparaison contrôle unique ou monitoring continu.
La profondeur du contrôle suit le même critère de nécessité que pour les salariés permanents — ce qui compte, c’est l’accès, pas le statut contractuel. L’ancrage contractuel est également important : inscrire le screening comme condition dans le contrat de prestation — y compris l’obligation de l’entreprise d’envoi d’informer la personne concernée et de signaler les changements de personnel.
Conduite recommandée
Faites d’abord l’inventaire des externes qui détiennent quel accès aujourd’hui — l’expérience montre que cette liste est plus longue que prévu. Définissez ensuite une obligation de contrôle au-dessus d’un seuil de criticité clair, ancrez-la dans le processus d’achat et évaluez ensemble la personne et l’entreprise d’envoi. Indicium reproduit exactement cela dans son rapport combiné personne et entreprise, avec sources datées et examen final humain (art. 22 RGPD) — nous serions heureux de vous montrer à quoi cela ressemble pour votre secteur lors d’une démo.
Cet article fournit des informations générales et ne constitue pas un conseil juridique.