Maintenant que le cadre légal est posé, intéressons-nous à la notion de données personnelles. Que couvre-t-elle? «Tout ce qui se rapporte à une personne, que ce soit son nom et son prénom, le son de sa voix, son image, ou même son email professionnel», répond David Raedler, spécialiste en protection des données et droit du travail. Le législateur livre aussi une liste exhaustive de catégories de données dites sensibles. Elles regroupent les opinions religieuses, philosophiques, politiques ou syndicales, la santé, la sphère intime, les informations sur l’origine raciale ou ethnique, les données génétique et biométrique, les données pénales et administratives, et les mesures liées à l’aide sociale.»
Gare à la violation de la personnalité
A chaque étape du traitement des données (collecte, sauvegarde, suppression…), il faut s’interroger sur la légalité de la démarche. En droit du travail, deux buts sont admis: ces données doivent permettre de juger l’aptitude de l’employé à son travail ou être nécessaires à l’exécution du contrat de travail. En parallèle, le traitement doit, par principe, respecter six principes fondamentaux: la bonne foi, l’exactitude, la sécurité, mais surtout la proportionnalité, la transparence et la finalité. Si l’on sort de ce cadre, il y a violation de la personnalité. Il en va de même lorsque la personne s’est opposée au traitement de ses données ou lorsqu’on transfert des données sensibles à des tiers. «En présence d’une violation de la personnalité, il convient de chercher un juste motif à celle-ci», explique l’avocat. «Ils sont au nombre de trois: consentement de l’employé, obligation légale ou intérêt prépondérant de l’employeur ou d’un tiers.» En l’absence d’un tel motif justificatif, le traitement est illicite et l’on doit donc s’abstenir de traiter ces données, sous peine de s’exposer à des poursuites civiles, et potentiellement pénales…
Les nouveautés liées au changement de loi
Des données dont la législation a un peu changé avec l’entrée en vigueur, dès le 1er septembre 2023, de la nouvelle LPD. «C’est une évolution plus qu’une révolution», précise l’homme de loi, qui a égrené les modifications. «Les entreprises qui ont plus de 250 collaborateurs ou qui traitent des données sensibles à grande échelle, comme des cliniques, doivent tenir un registre des activités de traitement des données. Il s’agit essentiellement d’un document Excel qui cartographie les divers traitements de données, explique leur but et atteste ou non d’un transfert de données, le cas échéant à l’étranger. Il est conservé à l’interne, en cas de besoin. Autre innovation: le devoir d’informer. Celui-ci prend généralement la forme d’une notice d’information de deux ou trois pages, facile à établir, que l’on trouve souvent sur les sites internet des entreprises. Il doit permettre aux personnes concernées de connaître le but et la manière du traitement de leurs données, sans quoi c’est pénalement répréhensible.» La dernière obligation significative consiste à annoncer d’éventuelles violations de sécurité, que ce soit une cyberattaque ou la perte d’un classeur avec des données sensibles. Il convient alors d’en informer le préposé fédéral et aussi de l’annoncer aux personnes concernées.
Se pose encore la question du transfert des données à l’étranger, notamment par l’intermédiaire d’un cloud. Les pays jugés sûrs par la Confédération, donc ne demandant aucune procédure, sont essentiellement ceux de l’Espace économique européen, l’Argentine, l’Uruguay et le Canada. «En revanche, cela n’inclut pas les Etats-Unis», souligne David Raedler. «Si un accord a été passé entre l’UE et les USA, ce processus est en cours avec la Suisse, mais pas encore en force. Il pourrait se concrétiser à partir de mars 2024, dit-on.» Le monde est constamment en changement et la législation, elle aussi, doit s’adapter.