CJUE 21/04/2026: casier judiciaire et article 10 RGPD

Résumé — La CJUE, le 21 avril 2026 (affaire C‑769/22), juge illégale une loi hongroise ouvrant largement l’accès au casier judiciaire sans garanties adéquates, violant l’article 10 RGPD et l’article 8(2) de la Charte. Conséquence immédiate au Luxembourg: tout accès aux données pénales par des tiers doit reposer sur une base légale précise, sous contrôle public et avec des garanties concrètes. Voir le communiqué de presse, la page d’affaire et le texte intégral sur EUR‑Lex. Un résumé figure aussi dans le Monthly case‑law digest.

L’affaire

La Cour censure un mécanisme permettant à des «personnes autorisées» d’accéder électroniquement au casier de personnes condamnées pour infractions sexuelles contre des mineurs, sur simple auto‑déclaration de nécessité. La notion de «personne autorisée» est jugée trop vague et l’absence de contrôle ex ante contraire aux exigences de prévisibilité et de proportionnalité. Le principe rappelé: «tout registre complet des condamnations pénales ne peut être tenu que sous le contrôle de l’autorité publique», et tout accès tiers requiert une base légale claire avec garanties appropriées (voir résumé EUR‑Lex).

Le raisonnement juridique

• Norme applicable. L’article 10 RGPD impose que le traitement de données relatives aux condamnations pénales/infractions soit effectué sous le contrôle de l’autorité publique ou autorisé par le droit de l’UE/d’un État membre assorti de garanties «appropriées». La CJUE lit cet article à la lumière des principes de l’article 5 RGPD et de l’article 6(1)(e) RGPD, mais exige des garanties matérielles et procédurales concrètes (voir texte intégral).
• Garanties requises. Vices relevés: définition indéterminée des «personnes autorisées», absence de contrôle ex ante par une autorité compétente, et mesures insuffisantes pour limiter l’ingérence au strict nécessaire (cf. digest d’avril 2026).
• Art. 6(1)(e) RGPD. Un accès peut relever d’une mission d’intérêt public, à condition que la loi cadre clairement finalités, acteurs, conditions et contrôles, et intègre des garanties au sens de l’article 10 RGPD. À défaut, l’accès de tiers demeure illicite, même poursuivant un objectif légitime (protection des mineurs, prévention des infractions).
• Convergence avec la CNPD. Au Luxembourg, la CNPD rappelle que les données pénales ne peuvent être traitées que sous contrôle public ou sur base d’une loi avec garanties appropriées; elle insiste sur le registre des activités pour ces traitements. Voir RGPD – Chapitre II et Registre des activités.

Ce que ça change concrètement

• Recrutement et RH. Un employeur privé ne peut consulter ni stocker des informations pénales sans base légale spécifique et précise prévoyant des garanties (finalités, acteurs, traçabilité, durée, droits). À défaut, la vérification d’un «extrait B3» doit rester strictement minimisée (contrôle visuel, pas de copie, conservation ultra‑courte) et documentée, en s’alignant sur la documentation RGPD et les pages CNPD.
• Partenaires et fournisseurs. Un accès systématique par un sous‑traitant (vérifications d’honorabilité) exige une base légale claire, un contrôle ex ante, un périmètre limité, une journalisation et une information des personnes. La logique «auto‑déclarative» d’un tiers s’estimant «autorisé» sans contrôle public est écartée par la CJUE.
• Secteurs régulés. Lorsque la loi sectorielle impose des vérifications (p. ex. fonctions sensibles, finance/AML), l’accès peut reposer sur l’article 6(1)(c) ou (e) RGPD, uniquement si la loi prévoit des garanties conformes à l’article 10. Une politique interne ne peut suppléer un vide légal.
• Gouvernance et preuve. Inscrivez chaque opération liée aux données pénales dans votre registre (art. 30), décrivez la base légale, les finalités, les destinataires autorités, les durées et les contrôles, en cohérence avec la CNPD. Un mandat DPO peut piloter cette conformité et la preuve continue.

Pièges fréquents

1. Confondre intérêt légitime et sésame. L’article 6(1)(f) ne suffit pas: pour l’article 10, il faut contrôle public ou loi avec garanties (voir CJUE C‑769/22).
2. Auto‑autorisation d’un prestataire. Déléguer l’évaluation de nécessité/proportionnalité sans contrôle par une autorité compétente reproduit l’illégalité constatée en Hongrie (cf. digest CJUE).
3. Flou sur les «personnes autorisées». Des catégories vagues, sans habilitations ni traçabilité, contreviennent aux exigences de prévisibilité et de minimisation.
4. Copies inutiles. Conserver des scans d’extraits B3 «au cas où» excède le nécessaire: privilégiez la vérification in situ, l’horodatage et la purge immédiate, sauf obligation légale contraire, en vous référant aux pages CNPD (article 10).
5. Oublier l’information et les droits. Même avec une base légale, respectez les articles 13/14, 15, 16–18 et 21 RGPD; votre mention d’information doit préciser base légale, destinataires autorités, durées et voies de recours (CNPD/tribunaux). Un DPO Luxembourg peut structurer ces mentions.

Sources officielles

• Cour de justice de l’Union européenne, Communiqué de presse, 21 avril 2026, C‑769/22. curia.europa.eu
• CURIA – Page d’affaire C‑769/22. curia.europa.eu
• EUR‑Lex – Texte intégral de l’arrêt (EN). eur-lex.europa.eu
• CURIA – Monthly case‑law digest, April 2026. curia.europa.eu
• CNPD Luxembourg – RGPD Chapitre II. cnpd.public.lu
• CNPD Luxembourg – Registre des activités. cnpd.public.lu

Remarque opérationnelle — À la date du 22 octobre 2026, l’arrêt C‑769/22 est définitif. Les organisations luxembourgeoises doivent vérifier, traitement par traitement, l’existence d’une base légale sectorielle précise avec garanties (article 10 RGPD). À défaut, restreindre l’accès au strict nécessaire, sous contrôle public, et documenter la preuve.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.