4.1. L’art. 328b CO, relatif au traitement par l’employeur de données personnelles du travailleur, prévoit que les dispositions de la LPD sont applicables au surplus. 

La LPD, entièrement révisée, est entrée en vigueur le 1er septembre 2023 (….). C’est le lieu de préciser que le droit d’accès n’a pas fait l’objet de modifications fondamentales [pr rapport à l’aLPD] (BENHAMOU, op. cit. I, n° 4 ad art. 25, n° 2 ad art. 26; FÉLISE ROUILLER/ASTRID EPINEY, Le droit d’accès à ses données personnelles, in Le droit d’accès, Sylvain Métille [éd], 2021, p. 19 s.), de sorte que la jurisprudence rendue sous l’empire de l’aLPD reste en principe valable (JULIEN FRANCEY, in Petit Commentaire LPD, Benhamou/Cottier [éd], n° 6 ad art. 2).

Le droit d’accès prévu à l’art. 25 LPD permet à toute personne de demander au responsable du traitement si des données personnelles la concernant sont traitées (al. 1); la personne concernée reçoit les informations nécessaires pour qu’elle puisse faire valoir ses droits selon la LPD et pour que la transparence du traitement soit garantie (al. 2), ce qui recouvre en particulier les données personnelles traitées en tant que telles (let. b) et la finalité du traitement (let. c). Sont considérées comme données personnelles toutes les informations concernant une personne physique identifiée ou identifiable (art. 5 let. a LPD); elles peuvent consister en des constatations de fait ou en des jugements de valeur se rapportant à la personne en cause (ATF 136 II 308 consid. 3.2; 125 II 473 consid. 4b; arrêt 4A_518/2020 du 25 août 2021 consid. 4.2.2).

Le droit d’accès est inconditionnel et un intérêt à la consultation n’a en principe pas à être prouvé. Le requérant devra toutefois démontrer son propre intérêt à l’information lorsqu’il s’agit de procéder à une pesée des intérêts avant d’éventuelles restrictions au droit d’accès (ATF 141 III 119 consid. 7.1.1; 138 III 425 consid. 5.4; arrêt 4A_277/2020 du 18 novembre 2020 consid. 5.3). En effet, selon l’art. 26 LPD, le responsable du traitement peut notamment refuser ou restreindre la communication des renseignements lorsque les intérêts prépondérants d’un tiers l’exigent (al. 1 let. b) ou lorsque les intérêts prépondérants de la personne privée, responsable du traitement, l’exigent (al. 2 let. a ch. 1) et que celle-ci ne communique pas les données à un tiers (al. 2 let. a ch. 2).

Par définition, le droit d’accès aux données personnelles ne porte pas sur les données relatives à des tiers. Face à une demande d’accès, le responsable du traitement, conformément à ses obligations de protection et de sécurité (art. 7 et 8 LPD), prendra toute mesure utile, comme procéder à un tri, afin de ne pas transmettre des données de tiers à la personne exerçant son droit (RALPH GRAMIGNA, in Basler Kommentar, Datenschutzgesetz – Öffentlichkeitsgesetz, 4e éd. 2024, n° 20 ad art. 26 LPD; NICOLAS BÉGUIN, in Petit Commentaire LPD, Benhamou/Cottier [éd], 2023, n° 30 ad art. 25 p. 308; BENHAMOU, Mise en oeuvre du droit d’accès LPD – aspects procéduraux choisis, in Le droit d’accès, Sylvain Métille [éd], 2021, p. 81 s.). Une mise en balance des intérêts au sens de l’art. 26 LPD entrera en ligne de compte lorsque les données sur lesquelles porte l’accès sont indissociablement liées aux données de tiers (ATF 141 III 119 consid. 6.2; GRAMIGNA, op. cit., ibid.; BENHAMOU, op. cit. I, n° 11 ad art. 26; SANDRA HUSI-STÄMPFLI, in Datenschutzgesetz, Baeriswyl/Pärli/Blonski [éd], 2e éd. 2023, n° 16 ad art. 26 p. 322 s.; PHILIPPE MEIER, Protection des données, Fondements, principes généraux et droit privé, 2011, n. 1145 p. 406 s.). En cas d’intérêt prépondérant de tiers, le choix de la mesure de restriction, qui peut aller jusqu’au refus de l’accès aux données personnelles, dépendra des circonstances du cas particulier. En principe, si l’anonymisation des documents concernés suffit à protéger les tiers, le droit d’accès du titulaire des données ne devrait pas faire l’objet d’une plus grande restriction, sous peine d’une violation du principe de la proportionnalité (ATF 141 III 119 consid. 6.2; arrêt 1C_522/2018 du 8 mars 2019 consid. 3.2).

(TF 4A_504/2025 du 16 juin 2026  destiné à la publication, consid. 4.1)

Me Philippe Ehrenström, avocat, LLM, CAS en Droit er intelligence artificielle, CAS en Protection des données – Entreprise et adminsitration