Le piège classique
L'article 10 est l'un des plus restrictifs du RGPD et pourtant l'un des plus violés en silence. La CNPD et la CNIL sanctionnent régulièrement les employeurs qui demandent un extrait de casier judiciaire (bulletin n°3) sans base légale explicite en droit luxembourgeois ou français, qui le conservent dans le dossier RH au-delà du recrutement, ou qui le scannent dans un ATS cloud hébergé hors UE. Les cabinets de recrutement, les compliance officers AML, les acteurs du gardiennage et les structures travaillant avec des mineurs sont les premiers concernés. La règle est binaire : sans texte légal autorisant explicitement le traitement et sans garanties appropriées, vous êtes en infraction, même avec le consentement du candidat.
Les pièges opérationnels qui déclenchent un contrôle
- Demande systématique du bulletin n°3 à tous les candidats alors que seules certaines fonctions sensibles le justifient légalement (loi du 23 juillet 2016 au Luxembourg).
- Conservation du bulletin dans le dossier salarié après embauche, alors qu'il doit être détruit dès la vérification effectuée.
- Stockage dans un ATS (Workday, Greenhouse, SmartRecruiters) sans chiffrement dédié et sans restriction d'accès au seul recruteur habilité.
- Traitement par un sous-traitant (cabinet de chasse, agence d'intérim) sans clause article 28 spécifique aux données pénales.
- Screening automatisé via bases OFAC, World-Check, Dow Jones qui mélangent sanctions économiques et antécédents pénaux sans distinction de base légale.
- Enquête de moralité interne dans une fintech ou un cabinet d'avocats sans procédure documentée ni information préalable du candidat.
Le test 'autorité publique ou loi nationale' : la clé d'argumentation devant la CNPD
Au Luxembourg, seules quelques lois sectorielles autorisent explicitement le traitement de données pénales hors contrôle de l'autorité publique : LCB-FT (loi du 12 novembre 2004) pour les professionnels financiers, loi sur le gardiennage, loi sur les jeux de hasard, professions de santé, fonction publique. Hors de ces cadres, demander un bulletin n°3 expose à une sanction directe. La CNPD vérifie systématiquement la finalité précise, la nécessité documentée poste par poste, et la durée de conservation minimale.
Comment Luxgap automatise ce risque
Notre outil Luxgap Criminal Data Gatekeeper est un module de contrôle préalable intégré à votre processus RH et compliance. Il se connecte à votre ATS (Workday, SuccessFactors, BambooHR, Greenhouse, Teamtailor), à votre KYC/AML stack (ComplyAdvantage, Refinitiv World-Check, Dow Jones RiskCenter) et à votre Active Directory pour bloquer toute collecte de données pénales sans validation juridique préalable.
- Module Legal Basis Validator : mappe chaque poste à la loi luxembourgeoise ou européenne qui autorise (ou pas) la demande de bulletin n°3.
- Module Purge Engine : déclenche la destruction automatique du bulletin après vérification, avec preuve horodatée et journal d'audit.
- Module AML Screening Splitter : sépare les hits 'sanctions' (base légale LCB-FT) des hits 'antécédents pénaux' (article 10) dans vos rapports World-Check.
- Module DPA Article 10 : génère les clauses sous-traitant spécifiques aux données pénales pour vos cabinets de chasse et agences d'intérim.
- Rapport PDF 'Article 10 - preuve par recrutement' exportable à la demande de la CNPD, avec score de conformité sur 100.
Disponible en SaaS (Starter jusqu'à 50 recrutements/an, Pro jusqu'à 500, Enterprise illimité multi-entités), ou inclus dans le mandat DPO externe Luxgap. Demander une démo avec audit gratuit de votre processus RH actuel sous 48h.
