IA et entretiens vidéo : cadre nLPD pour l'analyse automatisée en Suisse

L'IA analyse vos candidats — mais le droit suisse vous surveille

Un outil d'entretien vidéo analyse le débit de parole, la stabilité émotionnelle et le vocabulaire d'un candidat, puis génère un score de « fit culturel ». Pour le recruteur d'une PME de 15 collaborateurs, c'est un gain de temps réel. Pour le nouveau régime de protection des données (nLPD), entré en vigueur le 01.09.2023, c'est un traitement de données sensibles comportementales soumis à des obligations précises — et potentiellement à une décision individuelle automatisée au sens de l'art. 21 nLPD.

Ce que couvre réellement la nLPD dans ce contexte

Données traitées lors d'un entretien vidéo automatisé

Un entretien vidéo analysé par IA génère plusieurs catégories de données : données d'identification (nom, image, voix), données comportementales (fréquence des pauses, contact visuel, stabilité du débit), données inférées (score de personnalité, indice de stress, niveau d'extraversion estimé). Les données comportementales brutes ne sont pas « sensibles » au sens de l'art. 5 let. c nLPD — elles ne portent pas sur la santé, les convictions religieuses ou l'origine raciale. En revanche, les données inférées sur la personnalité peuvent, selon leur utilisation, toucher à la santé psychique ou au profil de personnalité, ce qui les rapproche du périmètre sensible. Le Préposé fédéral à la protection des données (PFPDT) a indiqué que tout profilage comportemental en contexte RH mérite une analyse de risques approfondie.

La décision individuelle automatisée (art. 21 nLPD)

L'art. 21 nLPD interdit qu'une décision ayant des effets juridiques ou « significatifs » sur une personne repose exclusivement sur un traitement automatisé. Rejeter un candidat sur la seule base d'un score IA sans intervention humaine documentée constitue une telle décision. L'employeur doit alors : (1) informer le candidat de l'existence d'une telle décision avant qu'elle soit prise, (2) donner la possibilité au candidat de s'exprimer et (3) garantir qu'un humain réexamine la décision sur demande. En pratique, un logiciel qui « filtre » automatiquement les 50 % de candidats les moins bien notés avant toute lecture humaine d'un CV tombe clairement sous cette règle.

Base légale du traitement et consentement

La nLPD exige une base légale pour tout traitement. En droit du travail privé suisse, l'art. 328b CO limite le traitement des données du candidat/travailleur aux seules données nécessaires à l'exécution du contrat ou à son évaluation en vue de la conclusion. Un profilage comportemental étendu (traits de personnalité Big Five, score d'empathie) dépasse ce périmètre et ne peut pas reposer uniquement sur l'intérêt légitime de l'employeur — il faut un consentement explicite, libre et éclairé. Or, dans une relation de travail ou précontractuelle, le candidat est en position de dépendance : la liberté du consentement est structurellement fragilisée. L'employeur doit donc documenter que le refus de consentir n'entraîne aucun désavantage dans la procédure de sélection — ce qui est difficile à tenir si l'entretien vidéo automatisé est le seul format proposé.

Obligations concrètes de l'employeur-responsable du traitement

Information préalable (art. 19 nLPD)

L'employeur doit informer le candidat, avant le début de l'entretien, des éléments suivants : identité et coordonnées du responsable du traitement, finalités du traitement (évaluation comportementale, scoring, aide à la décision), catégories de données collectées, durée de conservation, pays de destination des données si le prestataire IA est à l'étranger, existence d'un traitement automatisé à effets significatifs. Cette information doit être fournie dans un format clair — pas dans les conditions générales du prestataire vidéo accessibles via un lien en bas de page. Un paragraphe dédié dans l'invitation à l'entretien, en langue du candidat, est le minimum attendu.

Analyse d'impact (AIPD) si traitement à risque élevé

La nLPD n'impose pas formellement une AIPD systématique (contrairement au RGPD européen), mais l'art. 22 nLPD oblige le responsable à consulter le PFPDT lorsqu'un traitement « présente un risque élevé » et qu'aucune mesure ne peut le réduire. Un traitement d'analyse comportementale IA à grande échelle, ou couplé à des décisions de refus automatiques, atteint facilement ce seuil. Même sans obligation légale explicite d'AIPD, réaliser une analyse de risques documentée constitue la preuve de diligence en cas de plainte ou de contrôle.

Contrat de sous-traitance avec le prestataire IA

Le prestataire vidéo IA (HireVue, Retorio, Curious Thing, etc.) est un sous-traitant au sens nLPD. L'art. 9 nLPD exige que le responsable du traitement s'assure par contrat que le sous-traitant traite les données uniquement selon ses instructions, garantit un niveau de protection équivalent, et n'engage pas de sous-sous-traitants sans autorisation préalable. Si le serveur du prestataire est aux États-Unis ou dans un pays sans décision d'adéquation suisse, un mécanisme de transfert approprié (clauses contractuelles types adaptées au droit suisse, ou consentement explicite du candidat) est obligatoire. La liste des pays reconnus comme adéquats par le PFPDT est plus restreinte que celle de la Commission européenne.

Droits du candidat et délais de réponse

Tout candidat peut exercer son droit d'accès (art. 25 nLPD) — y compris sur les données inférées par l'IA, les scores produits et la logique du modèle. L'employeur dispose de 30 jours pour répondre (délai prorogeable en cas de volume ou de complexité, art. 25 al. 7 nLPD). Le candidat peut également demander la rectification des données inexactes ou leur effacement si le traitement n'est plus justifié. Après le recrutement, conserver indéfiniment les enregistrements vidéo et les scores IA de candidats non retenus constitue une violation du principe de minimisation des données — une durée de 30 à 90 jours après la fin du processus est généralement défendable.

Risques légaux et sanctions

La nLPD introduit des sanctions pénales individuelles (art. 60-66 nLPD) pouvant atteindre CHF 250'000 d'amende pour les personnes physiques responsables (dirigeant, DRH) en cas de violation intentionnelle des obligations d'information, de violation du devoir de diligence lors d'un transfert à l'étranger, ou de refus d'obtempérer à une injonction du PFPDT. Contrairement au RGPD, la nLPD ne prévoit pas d'amende directe contre les entreprises — c'est la personne physique qui est ciblée. Cela responsabilise directement le dirigeant de PME qui signe le contrat avec le prestataire IA sans avoir vérifié la conformité.

Au plan civil, un candidat lésé par une décision automatisée non conforme peut invoquer les art. 28 ss CC (protection de la personnalité) et réclamer des dommages-intérêts. La jurisprudence suisse sur ce point est encore rare, mais les décisions européennes (CJUE) relatives au RGPD — droit voisin — montrent que les juridictions n'hésitent pas à sanctionner les employeurs qui ne peuvent pas prouver l'intervention humaine dans une décision de refus.

Ce que la nLPD ne dit pas — et ce que les CCT peuvent imposer en plus

La nLPD fixe un plancher. Certaines conventions collectives de travail (CCT) en vigueur en Suisse romande — notamment dans la construction, l'hôtellerie-restauration ou le commerce de détail — contiennent des clauses sur la surveillance électronique des travailleurs et des candidats, parfois plus restrictives. La LTr (Loi sur le travail) et son ordonnance OLT 3 (art. 26) interdisent les systèmes de surveillance qui portent atteinte à la liberté de mouvement et à la dignité des travailleurs — une disposition que les tribunaux ont déjà appliquée à des outils de monitoring comportemental. Même si elle vise les travailleurs en poste, la ratio legis est pertinente pour les candidats en entretien vidéo.

Par ailleurs, le futur règlement européen sur l'IA (AI Act, applicable dans l'UE dès 2025-2026) classe les systèmes d'évaluation comportementale en recrutement comme « à haut risque ». Si votre PME recrute des ressortissants de l'UE ou utilise un prestataire établi dans l'UE, une double conformité nLPD/AI Act devient inévitable. La Suisse n'est pas membre de l'UE, mais une entreprise romande qui cible des candidats basés en France ou en Belgique sera soumise à l'AI Act par effet extraterritorial.

Cas pratique — Fiduciaire Rossier SA, Lausanne (12 collaborateurs)

Fiduciaire Rossier SA doit recruter un collaborateur comptable junior. La directrice associée, Nathalie Rossier, décide d'utiliser une plateforme d'entretien vidéo asynchrone dotée d'un module IA d'analyse de personnalité. La plateforme, dont les serveurs sont aux États-Unis, génère automatiquement un score « rigueur » et « adaptabilité » pour chaque candidat. 22 candidats passent l'entretien vidéo.

Problèmes identifiés avant déploiement (audit interne rapide) :

1. Le contrat avec le prestataire ne mentionne pas les garanties de transfert vers les États-Unis (pas de clauses contractuelles types adaptées au droit suisse). → Risque direct art. 16-17 nLPD.
2. L'invitation envoyée aux candidats ne mentionne ni l'analyse IA ni l'existence d'un scoring automatisé. → Violation art. 19 et 21 nLPD.
3. La plateforme permet de bloquer automatiquement les candidats avec un score « rigueur » inférieur à 60/100, sans intervention humaine. → Décision individuelle automatisée non conforme.
4. Les enregistrements sont conservés 2 ans par défaut sur la plateforme. → Violation principe de minimisation.

Mesures correctives mises en place (coût et délai) :

1. Contrat de sous-traitance amendé en 3 jours ouvrables, avec clauses de transfert adaptées au droit suisse et liste des sous-sous-traitants. Coût : 0 CHF (négociation contractuelle).
2. Information préalable rédigée en français et intégrée à l'invitation (1 page A4 décrivant le traitement, la durée de conservation fixée à 60 jours, les droits d'accès et de refus). Coût : 2 heures de travail interne.
3. Désactivation du filtre automatique : le score IA devient un outil d'aide à la lecture, mais chaque candidat filtré est revu manuellement par Nathalie Rossier avant exclusion. La décision de refus mentionne dans le dossier interne le nom de la personne ayant procédé à la revue.
4. Durée de conservation ramenée à 60 jours post-décision finale, avec suppression automatique paramétrée côté plateforme. Documentation conservée 5 ans (prescription civile).

Résultat : sur les 22 candidats, 3 ont exercé leur droit d'accès par e-mail. Nathalie Rossier a pu répondre dans le délai légal de 30 jours en fournissant les scores et la description de la logique du modèle (fournie par le prestataire dans un document technique). Aucune plainte au PFPDT. Coût total de mise en conformité : environ 8 heures de travail interne et une revue juridique externe d'1 heure (CHF 300 à CHF 400 selon l'avocat).

Récapitulatif opérationnel

• Cartographier le traitement avant tout déploiement : catégories de données collectées, pays d'hébergement, logique du scoring, acteurs impliqués.
• Vérifier le contrat de sous-traitance avec le prestataire IA : instructions documentées, garanties de transfert si serveurs hors Suisse, liste des sous-traitants, droit d'audit.
• Rédiger une information préalable spécifique à remettre avant l'entretien : mentionner explicitement l'analyse IA, les catégories de données inférées, la durée de conservation, le droit de refus sans préjudice.
• Désactiver tout filtre automatique décisionnaire ou documenter l'intervention humaine systématique pour chaque décision de refus basée sur le score IA.
• Fixer une durée de conservation courte (30 à 90 jours post-décision) et paramétrer la suppression automatique côté plateforme.
• Préparer un processus de réponse aux droits d'accès : délai de 30 jours, format de réponse incluant le score, la description de la logique algorithmique et les données brutes.
• Réaliser une analyse de risques documentée si le traitement est étendu (>50 candidats, données sensibles inférées, croisement avec d'autres bases) : la documentation est votre meilleure défense en cas de contrôle.
• Vérifier les CCT applicables à votre secteur : certaines contiennent des restrictions supplémentaires sur la surveillance électronique.
• Former la personne en charge du recrutement (minimum 1 heure) sur les droits des candidats nLPD et la traçabilité des décisions.

Un outil comme SynHR peut centraliser la documentation de conformité RH et les traces d'intervention humaine dans le processus de recrutement, facilitant la réponse aux demandes d'accès et aux audits internes.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la nLPD en vigueur depuis le 01.09.2023, incluant les art. 19, 21, 22 et 25 pertinents pour le recrutement.
• Code des obligations (CO) — fedlex.admin.ch — Art. 328b CO : périmètre légal du traitement des données des candidats et travailleurs.
• Préposé fédéral à la protection des données et à la transparence (PFPDT) — Autorité de surveillance nLPD, publications de recommandations et avis sur le traitement des données en contexte RH.
• Secrétariat d'État à l'économie (SECO) — Informations sur la LTr, OLT 3 et protection de la personnalité des travailleurs dans le cadre de la surveillance électronique.
• Office fédéral de la justice (OFJ) — Ressources sur les transferts de données à l'étranger et la liste des États reconnus comme offrant un niveau de protection adéquat.