Traitement des données: Les obligations d'information liées au dossier personnel
Cornelia Mattig
Cornelia Mattig, avocate, MLaw, LL.M., chez Roesle Frick & Partner. Elle est spécialisée dans le droit de la protection des données et le droit des technologies de l'information, ainsi que dans les domaines de l'ESG, de la technologie et du droit des sociétés.
Aides de travail appropriées
EN BREF
Les employeurs suisses doivent informer leurs collaborateurs de manière transparente sur le traitement de leurs données personnelles, notamment celles figurant dans le dossier personnel. Cette obligation repose à la fois sur le Code des obligations et la loi sur la protection des données. Elle couvre les données collectées, leur finalité et les éventuels destinataires. Une documentation écrite et accessible est essentielle pour garantir la conformité.
À retenir :
→ Les informations contractuelles essentielles doivent être communiquées par écrit dans un délai d’un mois
→ Seules les données nécessaires à la relation de travail peuvent être traitées
→ Le dossier personnel doit contenir des données pertinentes, exactes et justifiées
→ Les collaborateurs doivent être informés de la finalité et des destinataires des données
→ L’obligation d’information s’applique dès la collecte des données
Tant le droit du travail tel qu’il est défini dans le Code suisse des obligations (CO) que la loi suisse sur la protection des données (LPD) prévoient des obligations claires pour les employeurs afin de garantir le traitement des données et la transparence qui en découle vis-à-vis des collaborateurs. Parallèlement, la tenue d’un dossier personnel est courante en Suisse et nécessaire pour enregistrer et gérer de manière systématique les informations relatives au contrat de travail.
1. Obligations d’information liées à la relation de travail
Conformément à l’article 330b, alinéa 1, du CO, un employeur est tenu de communiquer par écrit certaines informations à ses collaborateurs lorsque la relation de travail est conclue pour une durée indéterminée ou pour une durée supérieure à un mois. Cette communication écrite, qui peut également prendre la forme d’un contrat de travail écrit, doit être effectuée au plus tard un mois après le début du travail et être versée au dossier personnel. Elle doit comporter les éléments suivants :
- les noms de l’employeur et du salarié ;
- la date de début du contrat de travail ;
- la fonction du salarié ;
- le salaire, y compris les éventuelles majorations ; et
- la durée hebdomadaire du travail.
Ces informations permettent de clarifier la situation et d’éviter les malentendus. Si des modifications devaient intervenir au cours de la relation de travail concernant ces éléments contractuels essentiels, l’article 330b, alinéa 2, du CO prévoit que celles-ci doivent également être notifiées par écrit dans un délai d’un mois à compter de l’entrée en vigueur de la modification. Les employeurs doivent donc veiller à une documentation et à une communication rigoureuses non seulement au début du contrat, mais également tout au long de la relation de travail. La documentation correspondante doit être versée au dossier personnel.
2. Protection des données dans le cadre de la relation de travail : les limites du traitement des données relatives au dossier personnel
L’article 328b CO régit le traitement autorisé des données personnelles dans le cadre de la relation de travail. En vertu de cette disposition, seules peuvent être traitées les données qui se rapportent à l’aptitude à exercer la fonction ou qui sont nécessaires à l’exécution du contrat de travail. Cela signifie que seuls ces données à caractère personnel peuvent figurer dans le dossier personnel.
Un dossier personnel contient généralement divers documents. Il s’agit notamment des données de base du collaborateur concerné (par exemple, nom, adresse, date de naissance, nationalité, numéro AVS, état civil et autres données pertinentes pour la relation de travail), les documents contractuels relatifs à la relation de travail en question (par exemple, candidature, curriculum vitae, contrat de travail, y compris ses modifications, et permis de travail) ainsi que d’autres données à caractère personnel nécessaires au traitement des questions salariales et d’assurance sociale (par exemple, coordonnées bancaires et informations relatives à l’assurance). Par ailleurs, des évaluations de performance, telles que les accords sur les objectifs et les notes relatives aux entretiens d’évaluation, sont régulièrement intégrées au dossier personnel. Sont également conservés dans ce dossier les absences, les mesures disciplinaires relevant du droit du travail, les informations concernant la formation professionnelle continue et toute autre correspondance pertinente. La licéité de ces documents découle de la nécessité d’exécuter le contrat de travail ou, s’il s’agit de données relatives aux performances, de l’aptitude à occuper le poste. Il est toutefois interdit, en tant qu’employeur, de traiter et d’enregistrer dans le dossier personnel des informations privées sans lien direct avec la relation de travail. Les informations privées comprennent notamment les données concernant les loisirs ou la vie familiale du salarié. Les rumeurs non vérifiées ou les plaintes non étayées n’ont pas non plus leur place dans le dossier personnel, car le traitement de telles données est généralement disproportionné et pourrait donc porter atteinte à la personnalité.
3. L’obligation d’information
La personne concernée a le droit de savoir qui traite quelles données et à quelles fins, afin de pouvoir exercer efficacement ses droits. L’article 19 de la LPD régit l’obligation d’information du responsable du traitement lors de la collecte de données à caractère personnel. Cela inclut également les informations relatives aux données à caractère personnel contenues dans le dossier personnel.
Conformément à l’article 19, alinéa 2, de la LPD, le responsable du traitement – en l’occurrence l’employeur – doit fournir au moins les informations suivantes, notamment concernant les données contenues dans le dossier personnel :
- l’identité et les coordonnées du responsable du traitement (en l’occurrence, l’employeur) ;
- la finalité du traitement des données ; et
- le cas échéant, les destinataires ou les catégories de destinataires auxquels les données sont communiquées.
Ces derniers peuvent concerner, par exemple, des prestataires informatiques externes ou des sociétés de gestion de la paie, qui agissent en tant que sous-traitants. Il est impératif de mentionner ces tiers dans les informations fournies aux collaborateurs, au moins en tant que catégorie. Si les données à caractère personnel concernées n’ont pas été collectées auprès du collaborateur, il convient en outre d’indiquer quelles catégories de données à caractère personnel sont traitées. En cas de transfert vers l’étranger, il convient de mentionner le pays destinataire et, le cas échéant, les garanties de protection des données mises en place ou les dispositions dérogatoires.
Cette obligation d’information est liée au droit du collaborateur de pouvoir consulter l’intégralité de son dossier personnel, bien que certaines exceptions puissent s’appliquer à cet égard.
Recommandations de produits
4. Moment de l’information
Les collaborateurs doivent être informés au plus tard au moment de la collecte des données, dans la mesure où celles-ci sont obtenues directement auprès de la personne concernée. Les collaborateurs doivent être informés dans un délai d’un mois à compter de la réception des données à caractère personnel, dans la mesure où celles-ci ont été collectées par l’intermédiaire de tiers. Toutefois, l’information concernant les données collectées par des tiers peut également avoir lieu plus tôt et, en cas de communication de ces données à caractère personnel, elle doit intervenir au plus tard au moment de ladite communication.
5. Forme et présentation de l’information
Même si la LPD ne prescrit aucune forme particulière pour la présentation de l’information, il est recommandé, notamment pour des raisons de preuve, de consigner par écrit les informations relatives au traitement des données et, en particulier, à la tenue du dossier du personnel. Les informations destinées aux collaborateurs doivent en outre être formulées de manière compréhensible et mises à disposition de façon facilement accessible. On peut par exemple envisager des systèmes d’information à plusieurs niveaux, dans lesquels un premier niveau offre un aperçu général et un deuxième niveau permet d’accéder à des détails supplémentaires. À cet égard, les employeurs peuvent également s’inspirer des recommandations relatives aux déclarations de confidentialité sur les sites web ou d’autres supports.
Lorsque les informations sont mises à disposition sous forme exclusivement numérique (par exemple via un site web ou l’intranet), l’employeur doit veiller à ce que les salariés sachent où trouver ces informations. Dans le cas de modes de collecte spécifiques – par exemple au moyen de caméras vidéo –, des mentions visibles sont également nécessaires du point de vue de la protection des données.
6. Conclusion : privilégier une communication claire
En résumé, les dispositions légales présentées montrent à quel point une communication structurée, documentée et transparente concernant les données à caractère personnel traitées par l’employeur dans le cadre de la relation de travail est importante. Les employeurs sont non seulement tenus de communiquer par écrit les conditions contractuelles fondamentales, mais doivent également, lors du traitement des données à caractère personnel, indiquer quelles données sont collectées et traitées, ainsi que les finalités de ce traitement. Cette obligation inclut impérativement la tenue du dossier personnel.
Ces exigences légales ne visent pas seulement à protéger les collaborateurs, mais favorisent également la confiance envers l’employeur et la sensibilisation générale à la protection des données. En garantissant des processus clairs et des moyens de communication facilement accessibles, ces obligations peuvent être remplies d’une manière susceptible de renforcer la réputation de l’entreprise.
Checklist : obligations d’information et dossier personnel
→ Vérifier que les informations contractuelles obligatoires sont documentées par écrit
→ Mettre à jour toute modification contractuelle dans un délai d’un mois
→ Limiter les données du dossier personnel à ce qui est nécessaire et pertinent
→ Exclure toute donnée privée sans lien avec la relation de travail
→ Informer clairement les collaborateurs sur :
→ l’identité du responsable du traitement
→ les finalités du traitement
→ les destinataires des données
→ Documenter les traitements de données de manière traçable
→ Informer les collaborateurs au moment de la collecte ou dans les délais légaux
→ Garantir l’accessibilité des informations (intranet, document écrit, etc.)
→ Identifier et mentionner les sous-traitants (ex. prestataires IT, payroll)
→ Vérifier les obligations spécifiques en cas de transfert de données à l’étranger
FAQ – Traitement des données
Quels types de données peuvent figurer dans le dossier personnel ?
Uniquement les données nécessaires à l’exécution du contrat de travail ou liées à l’aptitude professionnelle.
Un employeur peut-il conserver des informations privées ?
Non, sauf si elles ont un lien direct avec la relation de travail.
Quand faut-il informer les collaborateurs ?
Au moment de la collecte des données ou dans un délai d’un mois si elles proviennent de tiers.
Les collaborateurs peuvent-ils consulter leur dossier personnel ?
Oui, sous réserve de certaines exceptions prévues par la loi.
Les informations doivent-elles être écrites ?
Ce n’est pas obligatoire légalement, mais fortement recommandé pour des raisons de preuve.
