Dossier personnel: Des informations sensibles
Basile Walder
Basile Walder est avocat dans l'étude VISCHER à Genève et est principalement actif en qualité de conseil en droit commercial, avec une attention particulière sur le droit du travail, l’entrepreneuriat, le droit des sociétés et les questions relatives aux contrats informatiques et aux nouvelles technologies.
Aides de travail appropriées
Besoin de protection des données
L’évolution technique récente a créé un nouveau besoin de protection des données. En plus de la protection des données elles-mêmes, les personnes concernées par ces données doivent également être protégées. Ces efforts se sont concrétisés avec l’entrée en vigueur de la loi sur la protection des données (LPD), qui a également introduit l’art. 328b dans le code des obligations.
L’art. 328b CO stipule que l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles sont nécessaires pour juger de l’aptitude de ce dernier à remplir son emploi ou pour l'exécution du contrat de travail. Toutefois, le traitement ainsi couvert par l'art. 328b CO n'échappe pas à l'exigence du respect des principes généraux de la LPD. Par exemple, l'employeur est tenu d'informer la personne concernée de la collecte de ses données personnelles. Depuis l'entrée en vigueur de la nouvelle LPD, ce devoir d'information a été étendu à toute collecte de données, que celle-ci soit effectuée auprès de la personne concernée ou non. En dehors du cadre de l'art. 328b CO, l'employeur ne peut traiter des données qu'en présence d'un motif justificatif au sens de l'art. 31 LPD. Ainsi, à titre d'exemple, il n'est pas permis de demander des références sans informer l’employé concerné.
Important! Vous devez pouvoir reconstituer la manière dont vous vous êtes acquitté de vos devoirs en tant qu’employeur. Par exemple, il arrive que des entreprises n'archivent que la comptabilisation des salaires, alors qu'il est fortement recommandé d’inclure également dans le dossier personnel un récapitulatif annuel des salaires effectivement versés afin de conserver une preuve du paiement en cas de besoin ou de contestation.
Les entreprises ne disposent souvent pas d’une comptabilisation systématique et complète des vacances accordées. Il est aussi fréquent que les informations sur les congés ne figurent pas dans la comptabilité des salaires, mais soient uniquement inscrites dans des calendriers annuels qui sont supprimés une fois l'année écoulée. Il est donc recommandé d’établir au moins à la fin de l’année un récapitulatif précis, qui présente des données exactes et au jour près, et de le faire signer par le collaborateur.
Il en va de même des données relatives aux heures de travail effectuées par les employés. Un litige en lien avec des heures supplémentaires peut surgir des années plus tard, le délai de prescription étant de 5 ans. On conseille parfois en pratique de ne pas convenir contractuellement de temps de travail et de ne pas en tenir formellement le décompte, de sorte qu’il incombe aux collaborateurs de prouver leurs heures supplémentaires le cas échéant. Toutefois, si le collaborateur concerné a relevé de son côté ses heures de manière détaillée, il peut arriver que le tribunal se fonde sur ces données pour statuer.
Astuce pratique: Il vaut également la peine de comptabiliser les heures de travail car il s'agit d'une source d’informations importante: des heures supplémentaires qui se multiplient devraient inciter à réfléchir sur l’organisation interne de l'entreprise et prendre les mesures nécessaires afin que le personnel parvienne à s’acquitter de ses tâches durant l’horaire de travail convenu. Dans ce cas, des récapitulatifs signés des heures effectuées peuvent permettre d'éviter des litiges au sujet d'heures supplémentaires.
Il est également préférable de tenir un registre précis des congés maladie, pour les mêmes raisons que celles évoquées au sujet des vacances et des heures supplémentaires: la question de savoir si l'employeur a payé correctement un employé durant un cas de maladie peut se poser des années plus tard. L'employeur doit également être en mesure de savoir si les collaborateurs ont déjà épuisé leur droit annuel au paiement du salaire en cas de maladie.
En outre, bien qu'il n'existe aucune obligation légale pour un employeur d'établir des évaluations pour ses collaborateurs, il est néanmoins recommandé de le faire régulièrement. La périodicité de ces évaluations dépend de la durée des rapports de travail. Plus un collaborateur acquiert de l'ancienneté, plus les évaluations peuvent être espacées. Les évaluations sont un instrument important pour la gestion du personnel. Bien utilisées, elles sont également un facteur de motivation pour les employés et servent de référence à l'employeur pour établir des certificats de travail.
La correspondance échangée avec l’employé, les avertissements donnés, etc., doivent aussi être conservés dans le dossier personnel.
Enfin, le dossier de candidature doit être intégré au dossier personnel de l'employé, mais uniquement si le candidat est retenu, à l'exclusion des éléments sensibles qui ne s'avèrent pas pertinents pour la suite des rapports de travail. Cela peut se révéler utile notamment si des données non-correctes ont été transmises lors de la postulation. En revanche, si le candidat n'est pas retenu, l'employeur est tenu de lui restituer les documents qui lui appartiennent, à moins que le candidat consente expressément à la conservation de son dossier.
Attention! Il est interdit de créer des dossiers secrets, en parallèle du dossier personnel, auxquels les personnes concernées n'ont pas accès.
Recommandations de produits
L’art. 328b CO n'oblige pas l'employeur à tenir des dossiers personnels, il le permet seulement. Sous l'ancienne législation, les personnes privées étaient tenues de déclarer leurs fichiers si elles traitaient régulièrement des données sensibles ou des profils de la personnalité (désormais couverts par la notion de "profilage") ou si elles communiquaient régulièrement des données personnelles à des tiers. Cette obligation a été supprimée et remplacée par d'autres obligations, notamment l'obligation d'informer la personne concernée par une collecte de donnée (art. 19 LPD) et l'obligation pour les responsables de traitement d'effectuer une analyse d'impact relative à la protection des données dans certaines situations (art. 22 LPD).
En intégrant tous les éléments précédemment mentionnés au dossier personnel, l'employeur obtiendra ainsi un dossier complet qui lui permettra d’affronter les éventuels litiges avec ses (ex-)employés.
Le dossier personnel contient généralement des données personnelles sensibles, de sorte que la protection des données joue un rôle particulièrement important dans ce cadre.
Il faut en particulier s’assurer qu’un nombre limité de personnes aient accès aux dossiers personnels. Ceux-ci doivent par conséquent être conservés sous clé et l’accès aux bureaux du service du personnel doit généralement être restreint. Il faut aussi prévoir des mesures de sécurité contre la perte de données. De plus, si les dossiers sont tenus électroniquement, ils doivent être protégés contre tout traitement illicite par des mesures organisationnelles et techniques appropriées.
Les données contenues dans le dossier personnel doivent être correctes.
Cela ne signifie toutefois pas qu'il faut éliminer automatiquement toutes les données qui ne sont plus actuelles, en remplaçant par exemple une ancienne évaluation par une version plus récente. En effet, la composante historique qui caractérise un rapport de travail doit aussi être prise en compte. Par exemple, il sera difficile de rédiger un certificat de travail portant sur une collaboration de plusieurs années si l'employeur ne dispose plus que de la dernière évaluation du collaborateur. Les versions antérieures du contrat de travail peuvent également être importantes pour interpréter le contrat en vigueur. Cela signifie qu’il faut considérer comme correctes les informations qui l’étaient au moment de leur enregistrement par l'employeur.
Le collaborateur a le droit de consulter son dossier.
Ce droit d'accès des employés est en général peu problématique pour l'employeur durant le cours ordinaire de la relation de travail et cela signifie que l'employeur est tenu de présenter son dossier dans son intégralité sur demande de l'employé. En revanche, certaines situations requièrent de l'employeur une analyse au cas par cas en cas d'exercice de ce droit d'accès. Par exemple, si une enquête interne est en cours contre un collaborateur et qu'un rapport intermédiaire est établit dans le cadre de l'enquête, ce dernier devra être versé au dossier personnel du collaborateur concerné et la consultation d’un tel rapport par le collaborateur peut aller à l’encontre des objectifs de l’enquête. Dans de telles situations, il est donc recommandé de limiter le droit d'accès des employés, par exemple en invoquant des intérêts prépondérants comme le prévoit l’art. 26 al. 2 let. a LPD. Il en va de même lorsqu’un procès est en cours entre l’employeur et l’employé.
Cependant, même en présence d’intérêts prépondérants, il n’est pas possible de refuser purement et simplement au collaborateur d’exercer son droit d'accès. Il est donc nécessaire de déterminer au cas par cas, pour chaque information, si le droit d'accès du collaborateur peut être restreint ou non.
Selon l’art. 30 LPD, il n’est pas permis de traiter des données contre la volonté expresse de la personne concernée. L’employé ne peut cependant empêcher son employeur de récolter certaines informations dans la mesure où cette collecte est nécessaire à l'exécution du contrat de travail. Son droit de faire supprimer des données le concernant est également limité en raison de l’existence d’un contrat de travail. L'employé peut toutefois exiger que les données erronées soient ôtées de son dossier (c’est-à-dire celles qui étaient déjà incorrectes au moment de leur enregistrement, cf. ci-dessus) ou celles devenues inutiles (certificats médicaux antédiluviens, éventuellement le dossier de candidature, etc.). Dans ce cadre, il est recommandé de suivre la règle générale suivante: les pièces pouvant encore servir à apprécier le bien-fondé de prétentions exigibles (i.e. non-prescrites) ne doivent pas être éliminées, même si le collaborateur en fait la demande.
Important! Lorsqu’un collaborateur démissionne et vous demande de supprimer son dossier personnel de votre système de données, il ne renonce pas de ce fait à ses droits en tant qu’employé. Il se peut donc tout à fait qu’il exerce certains de ses droits par la suite, par exemple en effectuant une demande d'accès ou en demandant la remise d’un certificat de travail.
Le dossier personnel ne doit pas être communiqué à des tiers.
Les dossiers personnels contiennent généralement des données personnelles sensibles au sens de la LPD. Ils ne doivent donc pas être communiqués à des tiers. En cas de fusion d’entreprises, cela peut engendrer une situation délicate lorsque l’entreprise acquéreuse souhaite déterminer si l’entreprise qu’elle souhaite reprendre doit encore s’acquitter d’importantes obligations envers son personnel. Sans motifs justificatifs, cette entreprise ne devrait donc pas avoir accès à ces données.
