CJUE C‑312/24 — Effacement vs obligation légale: un droit relatif

CJUE C‑312/24 (4 juin 2026) — Effacement vs. obligation légale. La Cour confirme que le « droit à l’oubli » (art. 17 RGPD) est relatif: si une conservation est nécessaire pour respecter une obligation légale claire, prévisible et proportionnée, l’effacement peut être écarté. Au‑delà de la durée nécessaire, il redevient exigible. Voir l’arrêt intégral (CJUE, 4 juin 2026, C‑312/24, ECLI:EU:C:2026:449) sur EUR‑Lex — 62024CJ0312.

L’affaire

Dans l’arrêt C‑312/24, CL c/ Prokuratura na Republika Bulgaria (« Darashev »), des informations d’une enquête pénale (statut de suspect) ont été versées au dossier personnel d’un policier. L’intéressé a demandé l’effacement au titre de l’article 17 RGPD.

• Stocker en dossier RH des informations issues d’une enquête pénale est un « traitement » au sens RGPD, dans un « système de classement » (art. 4). Lorsque la finalité devient RH/discipline, le RGPD s’applique plutôt que la directive 2016/680.
• Ces données sont des « données relatives aux condamnations pénales et aux infractions » (art. 10 RGPD), même sans condamnation définitive.
• L’effacement (art. 17, §1) peut être écarté si la conservation est nécessaire pour respecter une obligation légale (art. 17, §3, b), laquelle doit reposer sur l’art. 6, §1, c) et §3 RGPD et satisfaire aux exigences de clarté, prévisibilité et proportionnalité.
• Au‑delà de la durée nécessaire, l’effacement redevient exigible (art. 5, §1, e) et 17, §1, a)).

Source officielle: EUR‑Lex — 62024CJ0312. Voir notamment les points 81, 84, 89 et 106‑109, et le dispositif.

Le raisonnement juridique

1) Qualification des données et régime applicable

• La Cour confirme que des mentions de « statut de suspect » sont des données d’infractions au sens de l’article 10 RGPD, « indépendamment » de l’absence de condamnation (pt 106). Conséquence: un socle légal spécifique est requis (sous contrôle d’une autorité publique, ou habilitation par le droit de l’UE/d’un État membre assortie de garanties appropriées).
• Lorsque ces informations, initialement collectées par une autorité d’enquête, sont versées au dossier RH pour des finalités d’emploi/discipline, le traitement relève du RGPD (finalité RH) et non de la directive 2016/680, d’où l’applicabilité pleine des art. 5, 6, 10 et 17 RGPD.

2) Base légale: l’obligation légale (art. 6(1)(c) et 6(3) RGPD)

• Pour conserver ces données pénales en RH, l’autorité‑employeur doit démontrer une obligation légale claire et précise, prévisible pour la personne concernée, poursuivant un objectif d’intérêt public et proportionnée (pt 109). À défaut, l’effacement s’impose (art. 17(1)(d)).
• Références RGPD: principes et bases légales, texte consolidé. Pour vos obligations et registres, voir nos pages « Articles 5, 6, 10 et 17 du RGPD » et l’accompagnement mandat DPO.

3) Droit à l’effacement et exceptions (art. 17)

• L’exception de l’art. 17(3)(b) s’applique seulement si la conservation est nécessaire pour respecter une obligation légale répondant aux critères ci‑dessus. Même alors, l’art. 5(1)(e) (limitation de conservation) impose une borne: une fois l’obligation éteinte ou le besoin dépassé, l’effacement redevient exigible.
• Positions des régulateurs: la CNPD rappelle que le droit à l’effacement n’est pas absolu et liste les cas d’exclusion; fiches pratiques et modèle de lettre (MAJ 25/03/2026) — CNPD — Le droit à l’effacement. L’EDPB (CEF 2026) relève des difficultés à qualifier les exceptions et insiste sur la traçabilité — EDPB — CEF 2026 « Right to be forgotten ».

Ce que ça change concrètement

Pour les dirigeants, DPO et CISO au Luxembourg, y compris secteur public et entités privées avec obligations sectorielles, l’arrêt Darashev implique:

• Dossiers RH et discipline: les mentions d’enquête pénale (statut de suspect, mise en cause) relèvent de l’art. 10 RGPD. Conservation en RH uniquement si un texte « clair et précis » l’impose et si c’est proportionné à un objectif d’intérêt public. Sinon, l’effacement est dû.
• Durées de conservation dynamiques: même avec une obligation légale, la durée doit être strictement limitée. Prévoyez des purges automatiques et des revues manuelles alignées sur l’art. 5(1)(e) et 17(1)(a).
• Procédure d’effacement outillée: la CNPD attend des décisions motivées, traçables et sans délai indu; l’EDPB pointe des lacunes récurrentes. Structurez des workflows RH/Légal/DPO (ticketing, preuves d’exécution, registres). Pour un cadrage local, voir nos ressources « DPO Luxembourg ».

Cas d’usage au Luxembourg

• Banques/PSF: gestion d’alertes internes et soupçons (AML/CFT) pouvant recouper la discipline. Si un texte impose une conservation pour l’honorabilité, cadrez le périmètre, la durée et les accès.
• Secteur public/para‑public: obligations déontologiques ou de sécurité (port d’armes, accès infrastructures critiques). La conservation d’un « statut de suspect » en RH doit reposer sur une base légale explicite, proportionnée et bornée dans le temps.
• Grandes entreprises privées: lorsque des informations d’enquête interne/pénale remontent en RH, l’usage pour la gestion de carrière exige une base légale robuste; à défaut, privilégiez la limitation (art. 18) et l’effacement à échéance contrôlée, avec journalisation.

Pièges fréquents

1. Tout verser au dossier RH « pour mémoire »: l’article 10 RGPD s’applique et requiert une base légale renforcée; « suspect ≠ condamné ». Sans texte clair et proportionné, effacement requis.
2. Confondre « obligation légale » et « intérêt de l’employeur »: l’art. 6(1)(c) suppose un fondement précis au sens de l’art. 6(3) — pas une politique interne.
3. Oublier la contrainte de durée: même s’il existe une obligation aujourd’hui, quand elle cesse, l’effacement redevient exigible. Programmez la purge et documentez les revues.
4. Répondre tard ou sans motivation à une demande d’effacement: la CNPD publie un modèle et des attentes procédurales (accusé, décision motivée, voies de recours). Sans outillage, les refus non prouvés sont sanctionnables.
5. Négliger la traçabilité: l’EDPB CEF 2026 pointe l’insuffisance des politiques et preuves internes sur l’art. 17. Conservez journaux de purge/retention et décisions d’arbitrage.

Sources officielles

• CJUE, 4 juin 2026, C‑312/24 — texte intégral EUR‑Lex
• RGPD (texte consolidé) — Articles 5, 6, 10, 17
• CNPD (Luxembourg) — Le droit à l’effacement
• EDPB — Rapport CEF 2026

Message clé pour les dirigeants

Auditez immédiatement le traitement des « informations d’enquête » dans les dossiers RH. Sans base légale explicite et proportionnée, vous devrez effacer; avec base légale, fixez une durée minimale nécessaire et prouvable. Besoin d’un appui opérationnel? N’hésitez pas à nous contacter.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.