Demander un extrait de casier judiciaire à un candidat/travailleur : quelles sont les obligations des employeurs publics ?

Le concept de « vie privée » est difficile à cerner même si, dans le langage courant, tout le monde pense savoir immédiatement de quoi il s’agit. La gestion et la sécurité des données à caractère personnel des citoyens européens sont régies par le Règlement général sur la protection des données (RGPD) ou General Data Protection Regulation (GDPR) du 25 mai 2018. Chaque organisation doit pouvoir démontrer quelles données à caractère personnel elle collecte et comment ces données sont utilisées et sécurisées. Tous les services publics qui traitent, utilisent, enregistrent ou conservent des données à caractère personnel doivent également se conformer à cette directive. Les principes de ce règlement ont été intégrés dans la loi du 30 juillet 2018. 

Généralités 

Un certain nombre de principes sont au cœur de la réglementation RGPD :

• Un traitement légitime, convenable et transparent des données.
• Les données doivent être exactes et rectifiées si nécessaire. 
• Les données doivent être traitées selon un niveau de sécurité adéquat en utilisant des mesures techniques et organisationnelles appropriées.
• Les données à caractère personnel sont obtenues pour une finalité déterminée, explicite et légitime, et ne peuvent pas être traitées de manière incompatible avec cette finalité. Dans de grandes organisations, un DPO (Data Protection Officer) doit être désigné pour y veiller. Il doit s’agir d’une personne possédant de bonnes connaissances juridiques en matière de législation sur la protection des données, mais aussi en matière de droit administratif. 
• Seules les données nécessaires aux finalités fixées peuvent être traitées.
• Le délai de conservation des données est limité et clairement établi. 

Données judiciaires : interdiction de principe de traitement 

La législation RGPD prévoit des conditions particulières pour certains types de données à caractère personnel, qui sont plus strictes que celles pour des données à caractère personnel « ordinaires ». Les raisons en sont la nature sensible des données et les risques importants que peut comporter le traitement de ces catégories de données pour les droits et libertés des personnes concernées.  Cela inclut les données à caractère personnel qui ont trait aux condamnations pénales et aux faits répréhensibles. Ces données font l’objet d’une interdiction de principe de traitement.  On entend par traitement : « toute opération effectuée sur ces données à caractère personnel, telle que la collecte, l’utilisation, la gestion ou la communication ».  Un simple accusé de réception suffit pour pouvoir parler de traitement.

Exceptions à l’interdiction de principe 

Il existe toutefois de nombreuses exceptions à l’interdiction de principe. Par exemple, le traitement est bel et bien autorisé lorsqu’il est nécessaire pour des motifs d’intérêt public important en vue de l’accomplissement de tâches d’intérêt public fixées par la loi.

Le responsable du traitement (la personne désignée pour traiter les données) est tenu de dresser une liste des catégories de personnes ayant accès aux données à caractère personnel ; elles sont tenues par une disposition légale, statutaire ou contractuelle équivalente de respecter la confidentialité de ces données. 

En pratique 

S’il n’existe pas de réglementation globale, il est possible et, dans certains cas, obligatoire de prendre en compte une réglementation fragmentaire. 

• En règle générale, il n’est pas permis de demander des informations sur le casier judiciaire d’un travailleur. La demande d’un extrait de casier judiciaire doit donc être abordée avec une extrême prudence ; le travailleur n’étant effectivement pas tenu de produire cet extrait. Toutefois, dans certains cas, il peut être utile pour un candidat/travailleur de produire spontanément son extrait de casier judiciaire. Pensez par exemple aux candidats souhaitant accéder à une fonction nécessitant de présenter un comportement conforme aux exigences de la fonction pour laquelle ils postulent et de démontrer qu’ils jouissent de leurs droits civils et politiques. Cette preuve pourra être fournie en produisant un extrait de casier judiciaire. Toutefois, l’employeur ne fera qu’en prendre connaissance ; cet extrait est lu et restitué immédiatement (sans traitement ultérieur). 
   
• Les exceptions à cette interdiction doivent par ailleurs être prescrites par la loi et offrir des garanties appropriées pour les droits et libertés des personnes concernées (par exemple, pour certaines professions réglementées comme un agent SAC ou un gardien de la paix ; la liste des activités réglementées les plus courantes peut être consultée sur le site web du SPF Justice).  Extrait de casier judiciaire | Service public fédéral Justice

En vertu de la réglementation flamande, les membres du personnel et les administrateurs de maisons de repos et de soins doivent pouvoir produire un extrait de casier judiciaire attestant qu’ils n’ont pas encouru de condamnations pénales pour des infractions déterminées par le gouvernement flamand. Cette obligation s’inscrit dans le cadre des normes d’agrément et de subventionnement. 

Les activités qui relèvent de l’éducation, de l’accompagnement psycho-médico-social, de l’aide à la jeunesse, de la protection de l’enfance, de l’animation ou de l’accompagnement des mineurs, comme un accompagnateur dans une structure d’accueil extrascolaire, relèvent également des exceptions. 

La Wallonie impose des obligations similaires aux membres du personnel employés dans des secteurs s’occupant de personnes vulnérables (tel que les personnes handicapées et les personnes âgées). 

L’organisation ne doit par ailleurs pas conserver l’extrait de casier judiciaire plus longtemps que nécessaire au contrôle. Une fois le contrôle effectué et la décision prise, l’organisation doit détruire l’extrait.  Il est également interdit de conserver des notes internes reprenant le contenu de l’extrait.

L’organisation doit également s’assurer de prendre des mesures appropriées pour assurer la sécurité et la confidentialité des données.

Ainsi, l’organisation doit dresser une liste des catégories de personnes ayant accès aux données à caractère personnel, en décrivant leur qualité à l’égard du traitement des données visées. L’organisation doit tenir cette liste à la disposition de l’autorité chargée de la protection des données (APD). L’organisation doit s’assurer que les personnes désignées sont tenues de respecter la confidentialité des données concernées par une obligation légale ou statutaire, ou par une clause équivalente de leur contrat.

L’organisation doit finalement veiller à faire preuve de transparence sur le traitement à destination des personnes concernées. Ainsi, les personnes concernées doivent savoir clairement à quelle fin elles doivent produire l’extrait de casier judiciaire et que les données à caractère personnel seront détruites dans leur intégralité après le contrôle. Elles doivent aussi savoir clairement à qui s’adresser pour exercer leurs droits concernant la protection de leurs données à caractère personnel.

Conclusion

La question de savoir si l’employeur peut demander et conserver un extrait de casier judiciaire d’un candidat ou d’un travailleur doit être traitée avec prudence. 

L’employeur ne peut traiter l’extrait de casier judiciaire par la suite que si, entre autres, ce traitement est nécessaire pour des motifs d’intérêt public important. Si, dans certains secteurs, la réglementation est très stricte, dans d’autres, il convient de s’interroger sur la pertinence de la demande d’un extrait de casier judiciaire au regard de la nature de la fonction.