L’employeur, dans le cadre de toute relation de travail, est amené à traiter une vaste quantité de données, dont des données sensibles au sens de l’art. 5 let. c LPD. Pensons aux informations sur la santé (arrêts de travail), sur la situation familiale (pour l’impôt à la source), le domicile, les études, d’autres encore. Il doit également assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles.

Le risque est dès lors grand que le traitement de données effectué par l’employeur puisse être qualifié d’atteinte à la personnalité du travailleur, parce qu’il violerait les principes de bonne foi et de proportionnalité, les règles sur le consentement, celles sur la sécurité des données, etc. Ce risque pose donc la question du rapport entre le droit du travail et celui sur la protection des données, et plus particulièrement de la licéité du traitement de données effectué par l’employeur ou des faits justificatifs dont il disposerait pour procéder au traitement.

Selon l’art. 328b CO, l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail. En outre, les dispositions de la loi fédérale du 19 juin 1992 sur la protection des données sont applicables. Cette disposition est aussi applicable aux pourparlers précontractuels (processus de candidature par exemple) et après la fin des rapports de travail.

L’art. 328b CO mentionne donc les deux types de données personnelles que l’employeur est, en principe, autorisé à traiter (faits justificatifs), sous réserve des principes généraux de la protection des données. Cette disposition constitue une lex specialis par rapport aux dispositions ordinaires de la LPD traitant de l’atteinte à la personnalité et des faits justificatifs à celle-ci (art. 12-13 LPD, art. 30-31 nLPD ; ATF 130 II 425 consid. 3.3), les faits justificatifs pouvant découler de la loi (et donc de l’art. 328b CO comme en l’espèce).

Le premier fait justificatif de l’art. 328b CO est celui de l’aptitude à remplir son emploi. Cela concerne toutes les informations permettant de déterminer si la personne possède les capacités et qualités personnelles et professionnelles requises : diplômes, certificats de travail, etc. Ces données peuvent donc être traitées avant la conclusion du contrat de travail, et même si celui-ci ne vient pas à chef. Le second fait justificatif concerne les données nécessaires à l’exécution du travail, i.e. toutes les informations permettant à l’employeur de remplir ses obligations légales et conventionnelles, par exemple vis-à-vis des assurances sociales, de l’impôt à la source, etc.

Les autres faits justificatifs sont également applicables à la relation employeur-employé : intérêt privé ou public prépondérant et consentement de la personne employée. Le 1er doit s’apprécier avec une certaine réserve, il doit s’agir en effet d’un intérêt « prépondérant » par rapport aux autres intérêts en jeu. L’intérêt de la personne qui traite les données doit donc s’imposer avec une certaine force. Le 2e doit s’appliquer en tenant compte du caractère semi-impératif de l’art. 328b CO, ce qui implique que le consentement à un traitement sans rapport avec les aptitudes professionnelles ne vaudra que s’il est fait dans l’intérêt de l’employé (ou du candidat). On mentionnera par exemple des expériences de nature personnelle dans le cadre d’un processus d’engagement (bénévolat, situation familiale, etc.)

L’employeur devra enfin respecter les principes généraux du droit de la protection des données : licéité, bonne foi, proportionnalité, finalité et exactitude. Le traitement des données doit être licite, ce qui exclut, par exemple, l’utilisation de moyens délictueux tels que des enregistrements non autorisés de conversation (art. 179ter CP) par exemple (art. 4 al. 1 LPD). Il doit obéir au principe de la bonne foi (art. 4 al. 2 LPD) – on ne conservera pas, ainsi, des données dont on a garanti l’élimination, et on ne traitera pas certaines d’entre elles de manière déloyale. Le principe de proportionnalité est aussi pratiquement très important (art. 4 al. 2 LPD in fine) : l’employeur ne doit traiter que les donnes nécessaires et de la manière la moins intrusive possible. Dans les faits, ce critère a une importance prépondérante, notamment dans l’examen de mesures alternatives. Le traitement obéit aussi aux principes de finalité et de reconnaissabilité, il doit être opéré dans le respect du but qui a présidé à la collecte et qui était reconnaissable par la personne concernée (art. 4 al. 3 et 4 LPD. Les données doivent enfin être actualisées et conformes à la réalité (art. 5 al. 1 LPD).

Me Philippe Ehrenström, LL.M., avocat, Genève et Onnens (VD)