nLPD et dossier du personnel — ce que vous pouvez (et ne pouvez pas) conserver

Votre dossier personnel contient probablement des données illégales

Sophie, responsable RH dans une PME genevoise de 60 collaborateurs, a fait un audit de ses dossiers du personnel le mois dernier. Résultat : dans 40% des dossiers, elle a trouvé des données qui n'auraient jamais du y figurer. Un questionnaire d'embauche demandant la religion. Des notes manuscrites sur l'état de santé mentale d'un collaborateur. L'historique de navigation Internet d'une employée.

Depuis l'entrée en vigueur de la nLPD (nouvelle Loi sur la Protection des Données) le 1er septembre 2023, les règles sont claires — et les sanctions, concrètes. Voici ce que vous devez savoir.

Ce que vous POUVEZ conserver

L'Art. 328b CO (Code des Obligations) pose le principe fondamental : l'employeur ne peut traiter des données du travailleur que dans la mesure ou elles portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat de travail.

Concrètement, les données suivantes sont légitimes dans un dossier du personnel :

Données d'identification et de contact

- Nom, prénom, date de naissance, adresse, nationalité - Numéro AVS (indispensable pour les assurances sociales) - Etat civil (nécessaire pour les allocations familiales et l'imposition à la source) - Permis de travail et sa validité (pour les ressortissants étrangers)

Données contractuelles

- Contrat de travail et avenants - Taux d'activité, fonction, cahier des charges - Historique des salaires et des augmentations - Certificats de travail et attestations

Données liées à la performance

- Evaluations annuelles et objectifs - Formations suivies et certifications obtenues - Avertissements formels et mesures disciplinaires

Données administratives

- Fiches de salaire et décomptes de charges sociales - Relevés d'absences (jours de vacances pris, jours de maladie) - Certificats médicaux (uniquement la durée et le taux d'incapacité — jamais le diagnostic)

L'Art. 6 nLPD ajoute que le traitement doit respecter les principes de proportionnalité et de finalité : vous ne collectez que ce dont vous avez besoin, pour le but annoncé.

Ce que vous NE POUVEZ PAS conserver

Voici les données qui n'ont rien à faire dans un dossier du personnel — sauf exception justifiée et documentée :

Données de santé détaillées

Marc, directeur d'une fiduciaire à Berne, conservait les rapports complets du médecin-conseil dans les dossiers RH. Le diagnostic exact, les traitements en cours, les antécédents médicaux — tout y était.

C'est interdit. Vous n'avez droit qu'au certificat médical indiquant la durée et le taux d'incapacité de travail. Le diagnostic ne vous regarde pas. Les données de santé sont des données sensibles au sens de l'Art. 5 let. c nLPD et nécessitent un niveau de protection renforcé.

Opinions politiques et syndicales

L'appartenance syndicale ou politique d'un collaborateur est une donnée sensible (Art. 5 let. c nLPD). Sauf si le collaborateur exerce une fonction de représentation syndicale dans l'entreprise, cette information n'a aucune raison d'apparaitre dans son dossier.

Orientation sexuelle et vie privée

Aucune pertinence pour le rapport de travail. L'état civil (marié, célibataire, partenariat enregistré) est légitime pour les questions fiscales et d'assurance. Aller au-delà ne l'est pas.

Convictions religieuses

Exception : si la religion a un impact concret sur le travail (jours de repos spécifiques, interdits alimentaires pour la restauration collective), une mention peut se justifier — avec le consentement du collaborateur.

Historique de navigation Internet

Fatima, responsable IT dans une entreprise zurichoise, archivait les logs de navigation de tous les employés "au cas ou". Sans politique d'utilisation d'Internet signée par les collaborateurs, et sans motif concret de surveillance, c'est une violation de l'Art. 328b CO et de l'Art. 26 OLT 3 (Ordonnance sur la Loi sur le travail).

Données biométriques non justifiées

Empreintes digitales pour la pointeuse ? Possible, mais uniquement si aucune alternative moins intrusive n'existe, et avec le consentement explicite (Art. 5 let. c et Art. 6 al. 7 nLPD).

Combien de temps conserver chaque document ?

La loi ne fixe pas un délai unique. Les durées varient selon le type de document et la base légale applicable :

Attention : une fois le délai écoulé, les données doivent être détruites ou anonymisées. Les garder "au cas ou" est une violation du principe de proportionnalité.

Le droit d'accès de vos collaborateurs (Art. 25 nLPD)

Chaque collaborateur — actif ou ancien — a le droit de savoir quelles données vous détenez sur lui. C'est le droit d'accès, et il est absolu.

Comment un collaborateur exerce son droit

1. Le collaborateur fait une demande écrite (email, lettre, formulaire interne) 2. Vous devez prouver son identité avant de répondre 3. Vous avez 30 jours pour fournir une réponse complète 4. La communication est gratuite (Art. 25 al. 6 nLPD)

Ce que vous devez communiquer

- L'ensemble des données personnelles que vous détenez - La finalité du traitement - La durée de conservation prévue - L'origine des données (si elles ne viennent pas du collaborateur) - Les destinataires à qui les données ont été transmises

Marc, comptable dans une PME lausannoise, a demandé l'accès à son dossier. Son employeur a répondu en envoyant uniquement le contrat de travail et les 3 dernières fiches de salaire. Ce n'est pas suffisant — le droit d'accès couvre toutes les données, y compris les notes internes, les évaluations, et les échanges email le concernant.

Droit de rectification et de suppression

L'Art. 32 nLPD donne au collaborateur deux droits complémentaires :

Rectification : si une donnée est inexacte, le collaborateur peut exiger sa correction. Exemple : une évaluation mentionne "absences fréquentes non justifiées" alors que le collaborateur avait fourni des certificats médicaux. Il est en droit d'exiger la rectification.

Suppression (effacement) : le collaborateur peut demander la suppression de données qui ne sont plus nécessaires au but pour lequel elles ont été collectées. Si Sophie, qui a quitté l'entreprise il y a 3 ans, demande la suppression de ses évaluations annuelles, l'employeur doit s'exécuter — le délai de conservation raisonnable est dépassé.

Exception : l'employeur peut refuser la suppression si une obligation légale impose la conservation (exemple : les fiches de salaire pendant 10 ans pour les obligations comptables).

Les catégories particulières de données (Art. 5 let. c nLPD)

La nLPD distingue les données "ordinaires" des données sensibles qui bénéficient d'une protection renforcée :

- Données sur la santé (certificats médicaux, incapacité de travail) - Données sur les opinions politiques ou les activités syndicales - Données sur les convictions religieuses, philosophiques ou politiques - Données sur l'origine raciale ou ethnique - Données génétiques et biométriques - Données sur la sphère intime (orientation sexuelle) - Données sur les poursuites ou sanctions pénales et administratives

Pour traiter ces données, vous devez : 1. Avoir une base légale ou un consentement explicite 2. Mettre en place des mesures de sécurité renforcées (accès restreint, chiffrement) 3. Documenter le traitement dans votre registre des activités de traitement (Art. 12 nLPD)

Checklist pratique pour les DRH — 10 points

1. Auditez vos dossiers existants — vérifiez chaque dossier et supprimez les données non nécessaires au rapport de travail 2. Créez une politique de conservation — documentez les durées par type de document et affichez-la dans votre règlement interne 3. Séparez les données médicales — stockez les certificats médicaux dans un sous-dossier à accès restreint, séparé du reste du dossier 4. Limitez les accès — seuls les responsables RH et le supérieur hiérarchique direct devraient avoir accès au dossier complet 5. Formez vos managers — les chefs d'équipe ne doivent pas collecter de données informelles (notes sur la vie privée, observations personnelles) sans cadre 6. Préparez un formulaire de droit d'accès — anticipez les demandes avec un processus clair et un modèle de réponse 7. Planifiez la destruction — mettez en place un calendrier annuel de purge des documents dont le délai de conservation est échu 8. Documentez vos traitements — tenez un registre des activités de traitement conforme à l'Art. 12 nLPD 9. Vérifiez vos sous-traitants — votre logiciel RH, votre fiduciaire, votre assureur : tous doivent respecter la nLPD (Art. 9 nLPD) 10. Nommez un responsable — désignez une personne de référence pour la protection des données dans votre entreprise

Ce que Sophie a fait

Après son audit, Sophie a supprimé les questionnaires d'embauche contenant des questions sur la religion. Elle a déplacé tous les certificats médicaux dans un sous-dossier chiffré accessible uniquement par elle et le directeur. Elle a détruit les dossiers de candidatures rejetées datant de plus de 3 mois. Et elle a envoyé une note à tous les managers pour rappeler les règles.

Total du temps investi : deux jours. Coût : zéro. Risque évité : jusqu'à 250'000 CHF d'amende par infraction, pour la personne physique responsable (Art. 60-63 nLPD).

Le mot de la fin

La protection des données n'est pas un exercice bureaucratique. C'est une question de respect — respect de la vie privée de vos collaborateurs, et respect du cadre légal suisse. Avec la nLPD, le législateur a donné des outils concrets aux employés. En tant que DRH, votre rôle est de garantir que votre entreprise les utilise correctement.

Commencez par ouvrir un dossier du personnel au hasard. Si vous y trouvez quelque chose qui ne devrait pas y être, vous savez ce qu'il vous reste à faire.