La protection des données dans les rapports de travail

Le respect des dispositions légales doit permettre de réglementer le traitement des données personnelles dans le contexte du travail de manière à protéger la vie privée des employés. Nos questions et réponses vous éclairent sur les principaux aspects de ce domaine.

Quelles sont les principales bases légales ?

Selon l'article 328 al. 1 CO, les employeurs doivent respecter et protéger la personnalité de leurs employé·e·s dans le cadre des rapports de travail. La protection de la personnalité est expressément réglementée en ce qui concerne le traitement de leurs données personnelles. Ainsi, l'article 328b CO n'autorise que le traitement des données qui concernent les aptitudes à remplir le contrat de travail ou qui sont nécessaires à l'exécution de celui-ci. Cette disposition est relativement contraignante et ne peut donc pas être modifiée au détriment du travailleur (art. 362 CO).

La norme renvoie aussi expressément aux dispositions de la loi sur la protection des données, qui s'applique bien entendu aussi à la relation employeur-employé·e et qui énonce les principes de la licéité de la collecte des données, de la bonne foi, de la reconnaissabilité et de la finalité du traitement des données, ainsi que du principe de proportionnalité. Ces principes doivent garantir que les données personnelles ne soient traitées que de manière nécessaire et légitime.

L'article 26 de l'ordonnance 3 de la Ltr, qui interdit la surveillance du comportement des travailleurs, contient d'autres dispositions relatives à la protection des données. Ainsi, les systèmes de surveillance et de contrôle destinés à épier le comportement des employé·e·s sur le lieu de travail ne doivent pas être utilisés. Si de tels systèmes sont nécessaires à d’autres fins, ils doivent être conçus de manière à ne pas porter atteinte à la santé et à la liberté de mouvement des travailleurs.

Quelles données personnelles l'employeur a-t-il le droit de traiter ou non ?

Les données personnelles relatives à l'aptitude du personnel concernent le parcours professionnel, les certificats de formation et de formation continue, les certificats de travail, les évaluations des collaborateur·ice·s, les certificats de compétences en matière de gestion, etc. Le terme « exécution du contrat de travail » désigne quant à lui les questions administratives, c'est-à-dire l'exécution des prestations contractuelles (paiement du salaire, allocations familiales, etc.), les obligations envers les assurances sociales et les autorités fiscales, les données relatives à l'établissement d'un certificat de travail, à la fourniture de renseignements de référence et aux mesures de gestion nécessaires.

Les dossiers du personnel contiennent donc en principe les documents de candidature, le contrat de travail, les données personnelles, les adresses d'urgence, les documents relatifs aux examens d’aptitude, les arrêts de travail et les vacances, le salaire et l'assurance, les évaluations des performances, les informations sur la formation continue et la planification de la carrière, les mesures disciplinaires, les données relatives à l'assurance invalidité et accidents, les extraits de registres, les certificats de travail, etc. Les dispositions de la LPD en matière de transparence interdisent les « dossiers gris », c'est-à-dire la collecte de données sur les collaborateurs en dehors du dossier personnel. Les employés ont les droits prévus par la LPD en ce qui concerne leur propre dossier, à savoir le droit à l’accès, à la rectification, à la suppression des données erronées et à des mesures de protection appropriées. Il n'est pas nécessaire d’argumenter le droit à consulter son dossier personnel et les restrictions ne sont autorisées que dans des cas justifiés. Toutefois, en cas de secrets industriels et commerciaux, l'intérêt prépondérant de l'employeur prévaut.

Les informations qui relèvent de la sphère privée de l'employé et qui ne sont pas pertinentes pour le rapport de travail telles que la vie privée, les hobbies, les croyances ou les opinions politiques, ne sont pas autorisées.

Protection des données dans la procédure de candidature

Bien qu'il n'y ait pas encore de rapport de travail lors d'une procédure de candidature, l'article 328b CO a un effet préalable selon la jurisprudence du Tribunal fédéral (ATF 2C_103/2008 du 30.06.2008). Les questions sur la situation personnelle du candidat qui n'ont rien à voir avec le travail ou le poste à pourvoir ne sont pas autorisées. Cela inclut généralement des questions sur les opinions politiques, le désir d'enfant d'une femme, la situation familiale, le cercle d'amis et de connaissances du candidat ou son orientation sexuelle. Des questions sur la santé peuvent être posées si elles servent objectivement à évaluer l'aptitude au poste de travail. Le médecin-conseil éventuellement consulté ne peut se prononcer que sur l'aptitude et non sur le diagnostic. Les recherches en ligne sur les réseaux sociaux privés (p. ex. Facebook) sont à proscrire, mais sont régulièrement autorisées sur les réseaux sociaux professionnels (p. ex. LinkedIn). Les sites web privés peuvent également être consultés si le candidat les mentionne dans son dossier de candidature. La question de savoir si une recherche Google est également autorisée demeure sujette à controverse, bien que cette discussion, dans les faits, soit plus théorique que pratique, une interdiction formelle demeurant peu réaliste.

Conservation et effacement des données personnelles

Conformément à l'article 6, paragraphe 4, de la LPD, les données personnelles doivent être effacées dès lors qu'elles ne sont plus nécessaires à leur but initial. Dans le cas où elles devraient être stockées et/ou utilisées plus longtemps, un motif justificatif est nécessaire. Cela peut être le cas si par exemple l’employeur doit remplir des obligations comptables, ou d'autres obligations vis-à-vis des assurances sociales et des autorités fiscales. Ce dernier a également un intérêt légitime à conserver les données aussi longtemps que des droits peuvent être exercés contre lui en vertu de la relation de travail sous-jacente. Les données personnelles sont donc généralement conservées pendant dix ans après le départ du collaborateur concerné. Des exceptions sont possibles (voir par exemple l'art. 128a CO). Les données de candidature doivent être supprimées - si aucune relation de travail n'est établie - à la fin de la campagne de recrutement, ou au plus tard trois mois après la réponse négative du potentiel employeur.

Recommandation relative à la déclaration de confidentialité

Il est recommandé aux employeurs de rédiger une déclaration de protection des données détaillée pour leur personnel. Cette déclaration devrait régler en détail le traitement des données personnelles et informer les employés de leurs droits et obligations. Une telle déclaration favorise la transparence et renforce la confiance des employé·e·s dans le traitement consciencieux de leurs données personnelles.

Cet article ne donne qu'un très bref aperçu des bases juridiques et des particularités de la protection des données dans les relations de travail selon le droit suisse. Il n'est en aucun cas exhaustif ni même définitif. Pour de plus amples informations, nous vous invitons à consulter, entre autres, l'excellent document « Traitement des données par les employeurs » du Préposé fédéral à la protection des données et à la transparence (PFPDT).