Consentement des employés à l'IA RH : ce qu'exige la nLPD

L'IA RH progresse vite, la nLPD aussi

Un outil qui analyse automatiquement les CV, note les performances ou prédit les risques d'absentéisme traite des données personnelles — souvent sensibles — de vos collaborateurs. Depuis l'entrée en vigueur de la nouvelle Loi fédérale sur la protection des données (nLPD) le 1er septembre 2023, ces traitements obéissent à des règles précises que beaucoup de PME romandes n'ont pas encore intégrées dans leur pratique RH.

Ce que change la nLPD pour les RH utilisant l'IA

Principes fondamentaux qui encadrent l'IA RH

La nLPD repose sur quatre principes directement applicables aux outils d'IA dans la gestion du personnel :

• Licéité : tout traitement doit reposer sur une base légale (contrat de travail, intérêt légitime ou consentement explicite). L'existence d'un rapport de travail ne suffit pas à justifier n'importe quel traitement automatisé.
• Proportionnalité : les données collectées par l'outil doivent être strictement nécessaires à la finalité déclarée. Un scoring prédictif d'absentéisme qui absorbe les données de santé d'un employé dépasse largement ce seuil.
• Finalité : vous devez informer l'employé du but précis du traitement avant que l'outil commence à tourner sur ses données.
• Transparence : l'employé doit pouvoir savoir qu'une décision le concernant est prise — ou préparée — de façon automatisée.

La décision individuelle automatisée : article 21 nLPD

C'est le point le plus structurant pour les PME. L'art. 21 nLPD interdit de prendre une décision fondée exclusivement sur un traitement automatisé qui produit des effets juridiques ou des désavantages significatifs pour la personne concernée — refus d'embauche, non-renouvellement de contrat, déclassement — sans lui offrir la possibilité de s'exprimer. Concrètement, si votre ATS (logiciel de tri de candidatures) rejette automatiquement un dossier sur la base d'un score algorithmique, vous devez :

1. Informer le candidat ou l'employé que la décision est automatisée.
2. Lui permettre d'exprimer son point de vue.
3. Lui garantir qu'une personne humaine revoit la décision finale.

Cette obligation s'applique même si l'IA ne fait que « recommander » et que c'est vous qui signez : dès lors que la décision humaine suit systématiquement la recommandation algorithmique sans analyse indépendante, la décision est de facto automatisée.

Quand le consentement est-il réellement requis ?

La hiérarchie des bases légales

Contrairement au RGPD européen, la nLPD n'érige pas le consentement en base légale principale. L'intérêt légitime et l'exécution du contrat de travail peuvent suffire pour des traitements courants (gestion de la paie, pointage, dossier du personnel). Mais deux catégories d'usage de l'IA RH font basculer vers l'obligation de consentement :

• Données sensibles : l'art. 5 let. c nLPD liste les données sensibles — santé, opinions politiques ou religieuses, appartenance syndicale, données génétiques ou biométriques. Tout outil d'IA qui traite ces catégories (ex. reconnaissance faciale pour badger, analyse tonale de la voix lors d'entretiens) nécessite un consentement explicite, libre et éclairé.
• Profilage à risque élevé : le profilage est défini à l'art. 5 let. f nLPD comme tout traitement permettant d'évaluer des aspects essentiels de la personnalité. Un outil qui note le « potentiel de leadership » ou la « fiabilité comportementale » d'un employé crée un profil à risque élevé. La base « intérêt légitime » ne suffit plus.

Le consentement en contexte de travail : une validité limitée

La jurisprudence fédérale et les recommandations du SECO rappellent que le consentement d'un employé n'est pleinement libre que si son refus n'entraîne aucune conséquence sur son emploi. En pratique, dans un rapport de subordination, le consentement est presque toujours vicié si l'employeur peut sanctionner le refus. Cela ne rend pas le consentement inutile, mais il doit être :

• Documenté par écrit (ou par voie électronique traçable).
• Granulaire : un consentement global « à toutes les données » ne satisfait pas la nLPD.
• Révocable à tout moment sans pénalité, avec information préalable de l'employé sur les conséquences techniques de la révocation.

Obligations procédurales de l'employeur

Registre des activités de traitement

Toute entreprise qui traite des données sensibles ou effectue un profilage à risque élevé doit tenir un registre des activités de traitement (art. 12 nLPD). Les PME de moins de 250 employés ne sont pas exemptées si leurs traitements font partie des deux catégories précitées. Ce registre doit documenter pour chaque outil d'IA RH : la finalité, les catégories de données, les destinataires (y compris sous-traitants en cloud), la durée de conservation, les mesures de sécurité et la base légale du traitement.

Analyse d'impact (AIPD)

L'art. 22 nLPD impose une analyse d'impact sur la protection des données lorsque le traitement présente un risque élevé pour les droits fondamentaux. Un outil d'IA RH qui génère des profils de personnalité ou décide automatiquement de l'orientation de carrière entre clairement dans cette catégorie. L'analyse doit identifier les risques, les mesures d'atténuation et — si les risques résiduels restent élevés — faire l'objet d'une consultation du Préposé fédéral à la protection des données (PFPDT). Le PFPDT publie des lignes directrices sur son site que les PME peuvent utiliser comme grille de lecture.

Information préalable et clause dans le règlement du personnel

L'obligation d'informer (art. 19 nLPD) s'applique au moment de la collecte des données. Pour une IA déployée en cours de contrat, cela signifie une communication écrite aux collaborateurs avant la mise en production de l'outil, pas lors de l'onboarding initial. Cette information doit mentionner : l'identité du responsable du traitement, la finalité, les destinataires potentiels des données (éditeur SaaS, hébergeur cloud), et l'existence ou non d'une décision automatisée. Intégrer une clause dans le règlement du personnel ou dans une politique de protection des données interne, soumise à consultation du personnel si une représentation existe, est la voie la plus sûre.

Transfert à l'étranger

La grande majorité des outils d'IA RH sont hébergés aux États-Unis ou dans l'UE. Depuis le 1er septembre 2023, la Suisse maintient sa propre liste de pays tiers offrant une protection adéquate. Si votre fournisseur traite des données dans un pays non reconnu, vous devez signer des clauses contractuelles types (SCCs suisses) ou recourir à d'autres garanties appropriées. Vérifiez la localisation des serveurs et la chaîne de sous-traitance de votre éditeur avant tout déploiement.

Sanctions et risques concrets pour une PME

La nLPD introduit des sanctions pénales directement à la charge des personnes physiques responsables, pas uniquement de l'entreprise. Une violation intentionnelle des obligations d'information ou de sécurité est passible d'une amende allant jusqu'à CHF 250'000. Les violations sont poursuivies sur plainte, mais le PFPDT peut ouvrir une enquête d'office en cas de signalement. Pour une PME de 20 personnes, l'amende est en elle-même supportable — c'est la publicité négative, la procédure et les coûts d'avocat qui constituent le risque réel. Un employé qui saisit le PFPDT après avoir découvert qu'un algorithme a influencé son non-renouvellement peut déclencher une enquête formelle dont la durée dépasse souvent l'année.

Cas pratique : Sylvie Morand, RH d'une PME vaudoise de 28 employés

Sylvie est responsable RH chez un fabricant de pièces techniques à Yverdon-les-Bains. En mars 2024, la direction souhaite déployer un outil SaaS d'évaluation continue des performances intégrant un module d'IA qui génère chaque trimestre un « score d'engagement » pour chaque collaborateur, en croisant les données de pointage, les résultats de production et les réponses à des enquêtes internes. L'éditeur est basé à Dublin, les serveurs sont en Irlande (UE, liste adéquate Suisse : oui).

Analyse des risques : le score d'engagement est un profilage (art. 5 let. f nLPD). Bien que les données de base (pointage, production) soient traitées sur base contractuelle, leur croisement algorithmique pour produire un profil de personnalité dépasse l'intérêt légitime ordinaire. Si la direction utilise ce score pour décider des augmentations ou des non-renouvellements, l'art. 21 nLPD s'applique.

Procédure mise en place par Sylvie :

1. Analyse d'impact (AIPD) : Sylvie rédige une AIPD en s'appuyant sur le modèle du PFPDT. Elle conclut que les risques résiduels sont maîtrisables sans consultation formelle du PFPDT.
2. Mise à jour du registre de traitement : ajout du nouveau traitement avec finalité (pilotage RH trimestriel), durées de conservation (12 mois glissants), catégories de données, sous-traitant (éditeur SaaS irlandais), base légale (consentement pour le profilage).
3. Information des employés : Sylvie rédige une note d'information de deux pages, distribuée par email avec accusé de lecture le 15 avril 2024. Elle détaille : la finalité du score, les données croisées, le fait qu'aucune décision automatique n'est prise sans validation RH, le droit d'accès et de rectification.
4. Recueil du consentement : un formulaire électronique (signature numérique dans le SIRH) est envoyé à chacun des 28 employés. Le formulaire mentionne explicitement que le refus n'entraîne pas de sanction mais que l'employé sera exclu du module de scoring — son évaluation sera conduite par entretien annuel classique. 26 employés donnent leur consentement, 2 refusent : Sylvie documente les deux cas et adapte le processus d'évaluation.
5. Clause dans le règlement du personnel : ajout d'un article sur les outils de décision assistée par IA, précisant la procédure de contestation et le droit à une revue humaine de toute décision influencée par un score algorithmique.
6. Contrat DPA avec l'éditeur : signature d'un Data Processing Agreement conforme nLPD avec l'éditeur irlandais, incluant les clauses sur la chaîne de sous-traitance et les transferts hors EEE.

Coût et durée : la mise en conformité a mobilisé environ 3 jours de travail RH, 1 jour de consultation juridique externe (honoraires : ~CHF 1'200) et la mise à jour du SIRH. Le déploiement a été décalé de six semaines par rapport au planning initial. Sans cette procédure, la PME aurait traité des données de profilage sans base légale valide dès le premier cycle trimestriel.

Récapitulatif opérationnel

• Cartographier chaque outil d'IA RH selon la nature des données traitées (courantes vs sensibles) et le type de traitement (administratif vs profilage). La finalité déclarée par l'éditeur ne suffit pas — analysez ce que l'outil fait réellement.
• Identifier la base légale correcte avant déploiement : contrat de travail, intérêt légitime ou consentement. Pour tout profilage ou traitement de données sensibles, le consentement documenté est obligatoire.
• Rédiger et envoyer une note d'information aux employés avant la mise en production, avec les mentions obligatoires de l'art. 19 nLPD. Conserver la preuve de réception.
• Mettre en place un mécanisme de consentement granulaire et révocable, sans pénalité en cas de refus. Documenter les refus et adapter le processus pour les employés concernés.
• Réaliser une AIPD pour tout outil générant des scores, classements ou profils de personnalité. Si les risques résiduels sont élevés, consulter le PFPDT avant déploiement.
• Vérifier la localisation des serveurs et la chaîne de sous-traitance de l'éditeur. Pour les transferts hors liste adéquate suisse, signer des SCCs conformes à la nLPD.
• Intégrer une procédure de contestation des décisions assistées par IA dans le règlement du personnel : qui peut contester, dans quel délai, qui revoit la décision.
• Mettre à jour le registre des activités de traitement à chaque nouvel outil, chaque mise à jour majeure de l'éditeur et chaque changement de finalité.
• Former les managers qui utilisent les outputs de l'IA : une décision finale doit reposer sur une analyse humaine réelle, pas sur un clic de validation du score algorithmique.

Un outil comme SynHR peut centraliser la documentation des consentements et les traces d'information dans le dossier numérique de chaque collaborateur, ce qui facilite la démonstration de conformité en cas de contrôle.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — texte consolidé de la nLPD en vigueur depuis le 1er septembre 2023, avec tous les articles cités (art. 5, 12, 19, 21, 22).
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — lignes directrices, modèles d'AIPD, FAQ sur la nLPD et procédures de consultation.
• Secrétariat d'État à l'économie (SECO) — informations sur le droit du travail suisse, conditions d'emploi et recommandations sur la surveillance des employés.
• Office fédéral de la justice (OFJ) — bj.admin.ch — documentation sur la révision de la LPD, travaux législatifs et ordonnances d'application.