La FONDATION A est une fondation de droit suisse, dont le siège et à Genève et le but est de promouvoir les hautes études […]; à cet effet, la FONDATION crée et gère une institution universitaire autonome, l’INSTITUT A.

B a été engagé par l’INSTITUT en qualité de professeur ordinaire au sein du département F.

L’employeur a diligenté une « enquête de climat » (sic) au sein du département F.

B. réclame [entre autre] la communication du rapport d’enquête.

Extraits des considérants :

3.2.1 A teneur de l’art. 328b CO, l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail ; en outre, les dispositions de la loi fédérale sur la protection des données (ci-après : la LPD) sont applicables.

La LPD vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l’objet d’un traitement et régit le traitement de données personnelles concernant des personnes physiques effectué par des personnes privées (art. 1 et 2 al. 1 let. a LPD).

Sont considérées comme données personnelles toutes les informations qui se rapportent à une personne identifiée ou identifiable (art. 5 let. a LPD). Il s’agit, dans les relations de travail, de tous renseignements, indications ou notes concernant la personne du travailleur et portant sur sa vie privée comme sur sa vie professionnelle, que le support soit manuel ou informatique et que les données aient été recueillies par l’employeur lui-même ou par un tiers auquel il a confié cette tâche (Dunand/Raedler, Commentaire du contrat de travail, 2022, n. 16 ad art. 328b CO et les réf. cit.).

La donnée doit faire référence à une personne physique pour être qualifiée de personnelle. La personne doit être soit identifiée, soit identifiable. La personne est identifiée s’il existe un lien direct avec la donnée. Le lien est direct si le contenu même de l’information se rapporte à une personne. La personne est identifiable si une corrélation indirecte d’informations tirées des circonstances ou du contexte permet de l’identifier. L’identification peut se faire par un seul élément ou résulter du recoupement ou de la combinaison de plusieurs informations. L’information peut en soi se rapporter à une chose, un événement, un processus ou un lieu, mais en raison du contexte ou d’autres informations, donner des indications sur une personne. Il faut tenir compte de la finalité du traitement lors de l’examen du caractère identifiable de la personne. Ainsi, une information qui ne se rapporte pas directement à une personne, peut devenir une donnée personnelle lorsque celle-ci est utilisée en lien avec une personne, par exemple pour l’identifier, pour évaluer ou influer sur son comportement. Il est toutefois possible que même en l’absence d’un tel but, le traitement des données ait pour résultat de rendre identifiable la personne. Un document peut contenir des informations sur plusieurs personnes, il est alors nécessaire de déterminer précisément quelles données se rapportent à qui (Meier/Tschumy, CR-LPD, 2023, n. 21 à 23 ad art. 5 LPD).

Par traitement (de données), on entend toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données (art. 5 let. d LPD). L’employeur qui prend intentionnellement connaissance (ou collecte) des données personnelles d’un de ses employés entreprend une démarche entrant dans cette définition. La simple transmission de données personnelles est un acte de communication au sens de l’art. 5 let. e LPD (cf. art. 5 let. d LPD), et donc un traitement de données (arrêt du Tribunal fédéral 4A_661/2016 du 31 août 2017 consid. 3.1).

Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées (art. 25 al. 1 LPD [droit d’accès]). La personne concernée reçoit les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la LPDi et pour que la transparence du traitement soit garantie ; dans tous les cas, elle doit, notamment, recevoir l’identité et les coordonnées du responsable du traitement, les données personnelles traitées en tant que telles, ainsi que la finalité du traitement (art. 25 al. 2 let. a à c LPD).

Le droit d’accès est en principe inconditionnel. Il peut être demandé in abstracto, à savoir en l’absence d’atteinte ou d’un quelconque intérêt. Il arrive cependant que la demande d’accès soit en conflit avec d’autres intérêts ; le débiteur peut alors invoquer les motifs de restrictions. Lorsque le responsable de traitement se prévaut d’un intérêt pour restreindre l’accès, une pesée des intérêts devient nécessaire. Conformément au principe général, il faut que les intérêts s’opposant au droit d’accès s’avèrent prépondérants. En effet, la seule exigence d’un intérêt légitime digne de protection opposé à l’accès ne suffit pas. Il faut qu’il se révèle in concreto prépondérant (Benhamou, CR-LPD, n. 6 ad art. 26 LPD).

Selon l’art. 26 LPD [restrictions au droit d’accès], le responsable du traitement peut refuser, restreindre ou différer la communication des renseignements dans le cas où les intérêts prépondérants d’un tiers l’exigent (let. b) ou la demande d’accès est manifestement infondée notamment parce qu’elle poursuit un but contraire à la protection des données ou est manifestement procédurière (let. c).

L’intérêt prépondérant de tiers existe lorsque les données à fournir sont intimement liées aux données de tiers et qu’il n’est pas possible de les séparer, de sorte que le responsable du traitement peut et doit l’invoquer. Un tel intérêt existe également lorsque l’anonymat de l’informateur est prépondérant parce que l’informateur s’est vu promettre l’anonymat ou la confidentialité, qu’il pouvait se fier de bonne foi à cette garantie (vu la nature délicate de l’information, p. ex. accusation d’infractions pénales ou éléments de la vie familiale communiqués à un médecin, informations données par un lanceur d’alerte) et que la levée de l’anonymat entraînerait un risque physique, psychique ou matériel pour lui ou ses proches (Benhamou, CR-LPD, n. 11 ad art. 26 LPD).

Une demande manifestement procédurière s’entend comme une demande introduite par pur esprit de chicane dans le but de tracasser l’adversaire et de le solliciter inutilement (p. ex. par des demandes répétées ou en sachant qu’il ne traite aucune donnée concernant le requérant). Toutefois, toute restriction au droit d’accès devant s’analyser de manière restrictive, cette exception ne peut être soulevée que dans les cas particulièrement choquants et dûment avérés (Benhamou, CR-LPD, n. 18 ad art. 26 LPD).

Les motifs de restriction de l’art. 26 LPD doivent être mis en œuvre dans le respect du principe de proportionnalité, à savoir limités au strict nécessaire d’un point de vue matériel, géographique, temporel et personnel. Ainsi, l’accès ne doit être restreint que si cela est vraiment indispensable et au regard des différents types de limitations (refus, restriction, ajournement) et modalités (p. ex. renseignement par oral uniquement, après anonymisation, assorti d’une obligation de confidentialité). Si plusieurs restrictions permettent de sauvegarder les intérêts en cause, on devra opter pour le type et la modalité la moins restrictive du droit d’accès. Il s’ensuit que l’accès ne pourra que très rarement être purement et simplement refusé. Si les données peuvent être caviardées respectivement si l’anonymisation des documents concernés suffit à protéger les tiers, le droit d’accès du titulaire des données ne devrait pas faire l’objet d’une plus grande restriction, sous peine d’une violation du principe de la proportionnalité. Il faut toutefois partir du principe que le droit d’accès prend le pas et que des limitations ne sont admissibles que restrictivement. Comme règle, on retiendra que plus les reproches sont sévères à l’égard de la personne concernée plus son intérêt prime sur la confidentialité (Benhamou, CR-LPD, n. 7 et 13 ad art. 26 LPD).

3.2.2 Compte tenu de ses obligations générales issues de l’art. 328 CO, ainsi que d’autres dispositions légales tendant à la protection de la santé de l’employé, l’employeur peut être amené à mettre en œuvre une enquête interne.

Si tel est le cas, l’employé soupçonné des faits devra par principe être informé à la fois de la procédure et des éléments qui lui sont reprochés. Cette exigence découle des obligations de l’art. 328 CO, mais également de la LPD, qui s’applique en raison du fait que l’enquête constitue un traitement de données personnelles concernant l’employé soupçonné (Dunand, op. cit., n. 75-76 ad art. 328 CO).

3.3 En l’occurrence, l’intimé a œuvré au sein du département F en qualité de professeur durant de très nombreuses années et en a été directeur pendant huit ans. L’appelante [l’employeuse] a fait réaliser une enquête interne de climat dudit département pour évaluer les éventuels dysfonctionnements et avoir une vision globale de l’ambiance qui y régnait. Il ne s’agissait pas d’une enquête interne visant l’intimé spécifiquement.

Dans le cadre de cette enquête, plusieurs professeurs, collaborateurs et collaboratrices de ce département ont été entendus par l’enquêteur, lequel leur a donné l’assurance qu’il préserverait l’anonymat et la confidentialité tant de leur identité que de leurs déclarations. A cette fin, l’enquêteur a remis à l’appelante un rapport d’enquête, dans lequel il a caviardé les noms des personnes entendues dont les déclarations y figuraient. Il n’est pas contesté que l’appelante n’a pas divulgué ce rapport, hormis au DIP (son organe de tutelle), puis au Tribunal dans le cadre de la présente procédure. La Cour en a également pris connaissance.

Ledit document est divisé en six parties intitulées « I. Mission confiée à l’enquêteur », « II. Limites et anonymat », « III. Chronologie de l’enquête », « IV. Contenu de l’enquête », « V. Analyse » et « VI. Synthèse et conclusion ». Dans les parties I à III, l’enquêteur a fait état de la mission qui lui avait été confiée, de la garantie de confidentialité qu’il avait donnée aux personnes entendues, des mesures qu’il avait prises pour le respect de cette garantie lors de la rédaction de son rapport et du déroulé chronologique de l’établissement de son activité. Les parties IV et V contiennent les déclarations recueillies et leur analyse détaillée. La partie VI est un condensé conduisant à la conclusion de l’enquêteur.

L’intimé [l’employé] sollicite la remise de l’intégralité du rapport d’enquête, alors que l’appelante s’oppose même à sa remise partielle.

S’agissant des parties I à III, l’appelante relève à raison qu’elles ne contiennent aucune donnée personnelle concernant l’intimé, de sorte que ce dernier ne saurait, sur le principe, prétendre à leur accès. Néanmoins, au vu de l’admission partielle accordée ci-après, il apparaît légitime que l’intimé puisse également se voir remettre la partie I consacrée à la mission confiée à l’enquêteur, afin de connaître le but dans lequel les données ont été recueillies à son sujet et leur enjeu.

En ce qui concerne les parties IV et V, il convient de considérer, à l’instar du Tribunal, que les déclarations des personnes entendues par l’enquêteur portent tant sur des informations les concernant que sur des faits et des opinions concernant d’autres personnes. Ces parties contiennent des données personnelles et, à leur lecture, il apparaît que, malgré le caviardage de l’identité des personnes concernées, leur identification pourrait se faire sur la base de leurs déclarations, d’indices ou de recoupements. La remise des parties IV et V à l’intimé ne peut donc lui être accordée, sauf à porter une atteinte illicite aux droits de la personnalité desdits employés ayant témoigné sous le sceau de la confidentialité.

Quant à la partie VI, consistant en un résumé général de l’enquête et de son résultat, l’intimé peut prétendre à sa divulgation en sa faveur uniquement en ce qui concerne les passages contenant des données personnelles le concernant, à l’exclusion de l’intégralité de cette partie du rapport. Dans cette optique, il lui sera accordé la remise du troisième paragraphe de la page 20 (paragraphe commençant par « A ces conflits ») et des deux premiers paragraphes, ainsi que du dernier paragraphe de la page 27 (paragraphes commençant par « Les auditions effectuées », « Pour ce qui a trait » et « Il va de soi »), ces paragraphes comprenant spécifiquement des données personnelles de l’intimé. Tel ne sera, en revanche, pas le cas des paragraphes mentionnant « des professeurs » ou « certains professeurs », dans la mesure où l’on ne sait si l’intimé en ferait partie et si ces paragraphes seraient susceptibles de lui fournir des données relatives à des tiers. Enfin, quand bien même le dernier paragraphe du rapport (paragraphe commençant par « Il appert donc » à la page 28) ne contient pas de données nommément relatives à l’intimé, sa divulgation se justifie afin de permettre à ce dernier de connaître la conclusion finale à laquelle l’enquêteur est parvenu le concernant et de savoir dans quelle mesure il a été mis ou non en cause à l’issue de l’enquête.

Contrairement à ce que fait valoir l’appelante, l’intimé n’agit pas de manière abusive en obtenant l’accès aux paragraphes précités, dès lors que le droit de ce dernier est inconditionnel, sous réserve qu’il ne s’oppose à d’autres intérêts justifiant une restriction d’accès, ce dont l’appelante ne saurait toutefois se prévaloir en l’espèce s’agissant desdits paragraphes.

Par conséquent, le chiffre 5 du dispositif du jugement entrepris sera annulé et l’appelante condamnée à remettre à l’intimé une copie de l’entier de la partie I et une copie partielle de la partie VI (à savoir le troisième paragraphe de la page 20 (paragraphe commençant par « A ces conflits »), les deux premiers paragraphes et le dernier paragraphe de la page 27 (paragraphes commençant par « Les auditions effectuées », « Pour ce qui a trait » et « Il va de soi ») et l’unique paragraphe de la page 28) du rapport de synthèse de l’enquête interne du 15 septembre 2022.

(ACJC/1187/2025 du 01.09.2025)

Me Philippe Ehrenström, avocat, LLM, CAS en Droit de l’Intelligence Artificielle, CAS en protection des données – Entreprise et Administration