Ce que le juge a décidé
L'autorité espagnole avait sanctionné à hauteur de deux millions d'euros la demande, adressée aux candidats du programme Amazon Flex — des livreurs utilisant leur propre véhicule — de produire un extrait de casier judiciaire. Par l'arrêt n° 359/2026 du 8 juillet 2026, l'Audiencia Nacional a annulé la sanction : l'art. 10 du RGPD régit les données « relatives aux condamnations pénales et aux infractions », et obtenir un extrait attestant l'absence de condamnation n'équivaut pas à connaître une condamnation. Un pourvoi devant le Tribunal Supremo reste possible.
En lisant le titre, la tentation est de conclure que l'extrait peut désormais être demandé. Ce n'est pas ce que dit l'arrêt. Le juge a levé UN obstacle — la qualification automatique en donnée de l'art. 10, qui impose une base renforcée — et a laissé tout le reste debout. L'extrait demeure une donnée à caractère personnel, et le demander demeure un traitement qui exige une base légale et doit passer le test de nécessité.
- Le document contient de toute façon des données personnelles : nom, date de naissance, et le fait même que cette personne a fait l'objet d'une vérification.
- Une base au titre de l'art. 6 est nécessaire, et pour un employeur privé le consentement du candidat ne tient pas : dans une relation de recrutement, il n'est pas libre.
- Le test de nécessité subsiste : pour un poste déterminé l'extrait peut être proportionné ; pour tous les postes indistinctement, non.
- Le droit national pèse davantage que l'arrêt : en Italie, l'art. 2-octies du décret législatif 196/2003 exige une disposition légale pour les données de l'art. 10, et demander l'extrait aux candidats n'est admis que là où une loi le prévoit.
Et il y a le revers, qu'un DPO doit garder à l'esprit. La position inverse existe et a été défendue avec force : un extrait vierge dit tout de même quelque chose de la personne — précisément, qu'elle n'a pas de condamnation — et c'est une information sur son passé judiciaire, même lorsque la case est vide. C'est la position d'où est née la sanction espagnole, et celle qui oriente aujourd'hui la pratique dans plusieurs ordres juridiques, l'Italie comprise.
Comment se sert-on d'un arrêt non définitif
Pas comme d'un feu vert. Une décision de première instance, encore susceptible de pourvoi et rendue sous un autre droit national, n'est pas une base pour changer la pratique d'un client. C'est en revanche une excellente raison de relire les demandes d'extrait que le client formule déjà : s'il les formule parce que « on a toujours fait ainsi », cet arrêt ne les sauve pas ; s'il les formule parce qu'une norme l'impose, il n'en avait pas besoin.
La question pratique à poser au client est la même qu'avant l'arrêt, et il n'y en a qu'une : pour quel poste, et sur quel fondement. Si les deux ont une réponse écrite, la demande tient sous toute lecture de l'art. 10. Si la réponse est qu'on le demande à tout le monde parce que c'est plus prudent, la prudence se trouve précisément de l'autre côté.
Source officielle:Federprivacy — Amende de 2 millions contre Amazon annulée : demander un casier judiciaire vierge ne viole pas le RGPDSource officielle:Federprivacy — Le casier judiciaire contient des données personnelles même lorsqu'il n'y est rien écritVous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
