Dans le cadre de leur activité d’agent commercial des trains nationaux, les employés des Chemins de fer fédéraux suisses CFF sont tenus de porter un badge nominatif sur lequel figurent le logo de l’entreprise, la fonction de ceux-ci ainsi que la première lettre de leur prénom, accolée à leur nom de famille complet (ci-après : badge nominatif). Cette obligation est prévue par le document « Uniforme 2016 – Prescriptions pour la Gestion du trafic », avec la possibilité de requérir des dérogations.

Le document « Uniforme 2016 – Prescriptions pour la Gestion du trafic » (ci-après : document Uniforme 2016) contient plusieurs règles en lien avec la manière de se vêtir ou le port du badge par les employés de l’autorité inférieure. Le ch. 4.4 dudit document prescrit que le badge nominatif pour contrôle sporadique doit être clairement visible pour le client et porté sur l’habit extérieur. Il ne doit pas être modifié. Le badge comprend ainsi l’initiale du prénom, le nom entier et la désignation de la fonction (ndlr : badge nominatif).

Le nouveau ch. 4.4 de ce document cite les critères pour qu’une telle dérogation soit admise. L’employé doit ainsi démontrer avoir vécu une expérience négative en lien avec le fait que son nom figure sur la plaquette nominative. Il doit également avoir déposé une plainte à ce sujet (concrétisation du sentiment subjectif de mise en danger). La dérogation reste valable pour autant que l’intérêt à l’anonymisation (motivation) subsiste.

Dans le cadre de la fonction publique, l’art. 4 al. 2 let. g LPers et le ch. 26 CCT CFF 2015 régissent les obligations de protection de la personnalité et des données du travailleur par l’employeur public. La convention prévoit une obligation de protection de la personnalité des employés par l’autorité inférieure (cf. ch. 26 al. 1). La protection des données concernant les collaborateurs est garantie (cf. ch. 26 al. 3).

L’art. 328 CO s’applique par analogie aux relations de travail de droit public (selon l’art. 6 al. 2 LPers et le ch. 1 al. 3 CCT CFF 2015). Il prévoit également les obligations de l’employeur, notamment la protection de la personnalité du travailleur. Le premier cité est ainsi chargé de protéger et de respecter la personnalité de l’employé. Il manifeste les égards voulu pour la santé de ce dernier et veille au maintien de la moralité (cf. al. 1). En outre, il prend, pour protéger la vie, la santé et l’intégrité personnelle du travailleur, les mesures commandées par l’expérience, applicables en l’état de la technique, et adaptées aux conditions de l’exploitation ou du ménage, dans la mesure où les rapports de travail et la nature du travail permettent équitablement de l’exiger de lui (cf. al. 2). Aux termes de l’art. 328b CO, l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où celles-ci portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail. Cet article renvoie d’ailleurs aux dispositions de la LPD.

La portée de l’art. 328 CO dépasse de loin celle de l’art. 28 du Code civil suisse du 10 décembre 1907 (CC, RS210), car elle impose à l’employeur non seulement le respect, par abstention, de la personnalité du travailleur, mais aussi la prise de mesures concrètes en vue de la protection de sa vie, de sa santé et de son intégrité personnelle. L’employeur doit s’abstenir de toute intervention non couverte par le contrat de travail en lien avec la personnalité du collaborateur. Il doit par ailleurs éviter le même type d’intervention de la part des supérieurs, des salariés ou des tiers. Un aspect essentiel de cette protection de la personnalité dans la relation de travail est la protection des données personnelles de l’employé.

Avec l’entrée en vigueur de la loi sur la protection des données le 1er juillet 1993, les dispositions relatives au contrat de travail ont été complétées par l’art. 328b CO. Le législateur a estimé que cet ajout était nécessaire parce que pratiquement aucun autre rapport juridique ne donne lieu à un traitement de données à caractère personnel aussi étendu et de longue durée. Ainsi, le salarié doit être spécialement protégé en raison de sa dépendance légale et réelle vis-à-vis de l’employeur. L’art. 328b CO précise donc le devoir de diligence de l’employeur dans le domaine du traitement des données.

L’art. 328b CO définit la finalité et les limites du traitement de données autorisé et concrétise ainsi, en tant que lex specialis, les principes de proportionnalité et de limitation de la finalité du traitement énoncés à l’article 4 al. 2 et 3 LPD ; l’employeur doit avoir un intérêt légitime dans le traitement des données et ne peut traiter celles-ci que dans la mesure nécessaire et pour la finalité pour laquelle elles ont été obtenues. En raison du renvoi général à la LPD, l’employeur doit également respecter les autres principes de traitement (cf. art. 4 ss LPD), les dispositions relatives au droit à l’information (cf. art. 8 et 9 LPD) et les dispositions relatives au traitement des données à caractère personnel par des personnes privées (cf. art. 12 à 15 LPD).

L’art. 4 LPD dispose que tout traitement de données doit être licite et effectué conformément aux principe de la bonne foi et de la proportionnalité (al. 1 et al. 2).

Le principe de la proportionnalité au sens de l’art. 5 al. 2 Cst. exige qu’une mesure soit apte à produire les résultats escomptés (règle de l’aptitude) et que ceux-ci ne puissent être atteints par une mesure moins incisive (règle de la nécessité) ; en outre, il interdit toute limitation allant au-delà du but visé et il exige un rapport raisonnable entre celui-ci et les intérêts publics ou privés compromis (principe de la proportionnalité au sens étroit, impliquant une pesée des intérêts). En matière de protection des données, quiconque traite des données est obligé de ne collecter et de ne traiter que les seules données qui lui sont nécessaires et aptes à atteindre un but déterminé. De plus, il faut toujours procéder à une pondération des intérêts entre le but du traitement et l’atteinte nécessaire à la personnalité.

De ce principe de proportionnalité généralement applicable, on peut en effet déduire, pour le traitement des données, que l’entité effectuant ce dernier ne peut obtenir et traiter que les données dont elle a objectivement et effectivement besoin pour une finalité déterminée et qui présentent un rapport raisonnable avec la finalité du traitement et l’atteinte à la personnalité. En particulier, la question devrait toujours être posée de savoir si la finalité n’est pas atteinte en traitant les données sous une forme anonyme, c’est-à-dire de telle manière qu’une personne ne puisse être identifiée, même en les reliant à d’autres facteurs.

Sur le vu ce qui précède, il convient de retenir que le port du badge, dans sa forme actuelle, implique un traitement de données des employés de l’autorité inférieure, dans la mesure où le nom de ceux-ci y apparaît en toutes lettres. Comme le relève à juste titre le PFPDT dans sa recommandation, le fait de rendre public l’identité de l’employé peut porter atteinte à sa sécurité.

En revanche, le Tribunal ne saurait, pour les raisons suivantes, suivre l’argumentation du recourant (et du PFPDT), lorsqu’il affirme que le système mis en place et le document y relatif violent le droit supérieur.

En premier lieu, le Tribunal considère que les agents de train sont liés à l’autorité inférieure par un contrat de travail de droit public. Ce faisant, lors de la signature, ils acceptent d’être soumis à la LPers, à la CCT CFF, ainsi qu’aux directives de l’autorité inférieure. L’obligation de porter un badge, en tant que « vêtement » ou accessoire, fait partie des règles contraignantes auxquelles sont soumis les employés (cf. art. 18 al 1 et art. 21 al. 1 let. c LPers, ch. 156 CCT CFF 2015). Elle peut donc être imposée aux collaborateurs conformément à leur devoir de loyauté, ceux-ci en étant d’ailleurs conscients lors de leur engagement.

Concernant la conformité du port d’un badge nominatif au principe de la proportionnalité, le Tribunal relève ce qui suit.

Il convient d’abord de tenir compte des particularités de la relation de travail de droit public par rapport aux relations de travail de droit privé. D’une part, comme il a été rappelé, l’autorité inférieure doit, en tant qu’employeur public, veiller à respecter pleinement la personnalité de ses employés. D’autre part, ce respect doit nécessairement se concilier avec les exigences propres au service public, en particulier si les agents sont en contact avec des usagers privés. Ces exigences peuvent ainsi justifier des contraintes particulières liées à la manière dont l’employeur public conçoit ses relations avec les usagers privés.

L’autorité inférieure justifie le port du badge nominatif par sa philosophie en matière de relation entre les agents de train et les clients. Pour rappel, il favoriserait ainsi le respect tout en encourageant la courtoisie. Ce rapport de confiance entre les collaborateurs et la clientèle est l’une des orientations stratégiques de l’entreprise. Le Tribunal souligne de prime abord qu’il ne peut substituer son appréciation en matière de politique d’entreprise à celle de l’autorité inférieure, qui est mieux placée pour connaître la situation au cas d’espèce, et juger de la stratégie à mettre en place. En second lieu, le fait d’imposer à l’employé de présenter son nom permet effectivement de responsabiliser celui-ci dans ses relations avec la clientèle, l’obligeant ainsi à assumer un comportement respectueux et à modérer ses actes et ses paroles envers les voyageurs. Il s’est d’ailleurs déjà avéré, dans le cadre de recours traités par le Tribunal, que des agents de trains adoptent des comportements inadéquats. Le port du badge nominatif permet ainsi de limiter ces incidents dans une certaine mesure. L’intérêt de l’autorité inférieure à imposer le port d’un badge nominatif – et le traitement des données qui en découle – est ainsi légitime. En soi, le système de badge nominatif adopté est une mesure apte à remplir les objectifs visés vu le devoir d’exemplarité de l’autorité inférieure dans ses relations avec les particuliers. Le Tribunal ne saurait ainsi suivre l’avis du PFPDT lorsqu’il prétend que l’intérêt de l’autorité inférieure est purement commercial.

Le Tribunal doit en outre examiner si une mesure moins incisive permettrait d’atteindre le même but et pourrait ainsi être mise en place par l’entité responsable du traitement des données (nécessité). S’il est vrai que le badge est envisageable sous plusieurs formes (par exemple : badge prénominatif ou sous forme de code), celles-ci ne permettent pas d’atteindre les buts recherchés par l’autorité inférieure avec la même efficacité. Le recourant a certes raison lorsqu’il prétend que l’identification des agents de train peut également être réalisée au moyen d’autres formes de badge. En revanche, le fait pour la clientèle de connaître le nom de la personne de référence contribue à renforcer la courtoisie, et vise à établir un lien de confiance et de respect envers les agents eux-mêmes. Cela permet également d’éviter le tutoiement et d’imposer une certaine « distance » entre les agents de train et les clients. Vu les objectifs légitimes poursuivis par l’autorité inférieure, une anonymisation généralisée n’est pas possible en l’espèce. La mesure actuellement prévue est ainsi nécessaire, sous l’angle de la proportionnalité.

Il reste à examiner la proportionnalité au sens étroit, qui implique une pesée entre les intérêts de l’autorité inférieure et de ses employés. L’intérêt de ces derniers consiste en la protection de leurs données personnelles – du nom notamment -, de leur personnalité ainsi que de leur vie privée. Le Tribunal relève que le port du badge nominatif peut, dans certains cas, porter atteinte à leur sécurité et aux intérêts précités. Cet élément ressort clairement du dossier et n’est pas contesté par les parties.

Cependant, dans la majeure partie des cas, le badge porté par l’employé ne joue pas un rôle déterminant. En effet, les incidents sont susceptibles de se dérouler de la même manière, en cas de port d’un badge prénominatif ou anonymisé. Ainsi, il arrive souvent que des voyageurs sans titre de transport valable se montrent agressifs envers les agents de train, sans pour autant que l’incident soit en lien avec le badge porté par eux. Les risques d’atteinte à la personnalité ou à la sécurité des agents de train découlent donc souvent de l’activité de ceux-ci, plutôt que du port du badge. Le Tribunal précise qu’il ne minimise pas la gravité des cas dans lesquels, par exemple, un agent de train est suivi à son domicile ou contacté par des voyageurs qu’il a contrôlés dans le cadre de son service (incidents en lien direct avec le nom affiché sur la plaquette de l’employé). Cependant, l’autorité inférieure a prévu la possibilité d’obtenir des dérogations, par le biais d’une décision contestable au sens de l’art. 5 al. 1 PA. Cette possibilité permet justement, dans les cas où cela s’avère nécessaire, de pallier à une éventuelle atteinte à la personnalité ou à la vie privée des employés. L’intérêt public de l’autorité inférieure doit être considéré comme l’emportant ici sur l’intérêt des employés à empêcher le traitement de leurs données.

En l’espèce, le Tribunal retient donc que le système mis en place et imposant aux employés le port d’un badge nominatif est conforme au principe de la proportionnalité.

Par souci d’exhaustivité, le Tribunal constate encore que l’autorité inférieure a édicté une multitude de mesures, visant à la protection de la personnalité de ses employés. On ne saurait suivre le raisonnement du recourant lorsque celui-ci prétend le contraire. En effet, si le port du badge nominatif implique une atteinte possible à la personnalité et à la vie privée des agents de train, l’autorité inférieure a, comme indiqué précédemment, prévu la possibilité de requérir une dérogation. Par ailleurs, elle accompagne ses employés dans le dépôt de plaintes, via son Centre de sinistres et de droit pénal. Il ressort des éléments du dossier que les employés sont également formés pour faire face aux incidents liés au métier d’agent de train, avec pour recommandation de battre en retraite lorsque la situation s’envenime. Il est donc injustifié de prétendre que l’autorité inférieure ne met rien en œuvre pour assurer la protection de ses employés.

En définitive, il y a lieu de retenir que le système de badge nominatif instauré dans le document « Uniforme 2016 – Prescriptions pour la Gestion du trafic » respecte le droit supérieur.

(Arrêt du Tribunal administratif fédéral A-6331/2018 du 1 2 n o v e m b r e 2 0 2 0, consid. 3)

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)