Onboarding administratif TPE : checklist conforme nLPD

Un onboarding bâclé coûte plus cher qu'on ne le croit

Un employé débute le lundi, mais sa déclaration à la caisse AVS n'est transmise que deux semaines plus tard. Entre-temps, il subit un accident : la couverture LAA présente une lacune documentaire, la caisse de pension réclame des intérêts moratoires et, si les données salariales ont été transmises sans base légale ni information préalable, l'entreprise s'expose également aux nouvelles exigences de la loi fédérale sur la protection des données (nLPD), en vigueur depuis le 01.09.2023. Ce scénario — banal dans les TPE de 5 à 20 collaborateurs — se déroule précisément parce que l'onboarding administratif n'est pas traité comme un processus structuré.

Cadre légal applicable à l'onboarding d'un nouveau collaborateur

Droit du travail : contrat et informations obligatoires

Le Code des obligations (CO), art. 330b oblige l'employeur à remettre par écrit, au plus tard un mois après le début des rapports de travail, les éléments essentiels du contrat : parties, date de début, fonction, salaire, durée hebdomadaire du travail. En pratique, ce délai doit être respecté dès le premier jour si le contrat n'est pas signé avant l'entrée en service. Un contrat oral reste valable, mais l'absence d'information écrite dans le délai d'un mois constitue une violation de l'art. 330b CO, susceptible d'engager la responsabilité de l'employeur en cas de litige.

La loi sur le travail (LTr) et ses ordonnances (OLT 1, OLT 2) fixent les durées maximales de travail, les pauses obligatoires et les prescriptions sur la protection de la santé. Dès le premier jour, l'employeur doit informer le collaborateur des règles internes sur la durée du travail et tenir un registre du temps conforme à l'art. 73 OLT 1. Pour les PME de moins de 50 collaborateurs, une saisie simplifiée du temps est admise, mais la documentation reste obligatoire.

Assurances sociales : délais stricts

L'affiliation à l'AVS/AI/APG est automatique dès le premier jour de travail, mais la déclaration d'entrée doit être transmise à la caisse de compensation compétente sans délai. La plupart des caisses cantonales (OCAS Vaud, OCAS Genève, Caisse cantonale valaisanne) imposent une déclaration dans les 30 jours suivant l'entrée en service. Un retard entraîne des intérêts moratoires sur les cotisations dues (taux AVS employeur : 5,3 %, employé : 5,3 %, total 10,6 % du salaire AVS en 2024) et peut générer des lacunes dans le décompte annuel. La déclaration d'entrée se fait généralement via le portail en ligne de la caisse ou par formulaire papier spécifique à chaque caisse cantonale.

Pour la prévoyance professionnelle (LPP), l'employeur doit annoncer le nouveau collaborateur à l'institution de prévoyance dès le premier jour du mois suivant l'entrée en service, ou immédiatement si la convention collective l'exige. Le seuil d'entrée LPP 2024 est de CHF 22 050.— de salaire annuel. En dessous, l'employé n'est pas obligatoirement assuré LPP, mais peut demander une affiliation facultative. Pour les collaborateurs au-dessus du seuil, tout retard d'annonce oblige l'institution de prévoyance à réclamer rétroactivement les cotisations avec intérêts à 1 % l'an (art. 65d LPP).

L'assurance-accidents LAA (accidents professionnels et non professionnels pour les employés travaillant plus de 8 heures par semaine) couvre automatiquement le collaborateur dès le début du contrat, mais l'annonce à l'assureur LAA doit intervenir dans les délais contractuels — généralement dans les 10 à 30 jours selon la police. Un sinistre survenu avant l'annonce formelle ne sera pas refusé, mais la gestion administrative devient nettement plus complexe. Les allocations familiales cantonales font l'objet d'une demande séparée, à déposer auprès de la caisse compétente.

Obligations nLPD lors de la collecte de données à l'onboarding

Ce qui change depuis le 01.09.2023

La nouvelle LPD, révisée et en vigueur depuis le 01.09.2023, introduit des obligations concrètes dès la phase de recrutement et d'entrée en service. Les employeurs — y compris les TPE — doivent respecter les principes suivants lors de tout traitement de données personnelles de collaborateurs :

• Principe de finalité (art. 6 nLPD) : les données collectées à l'onboarding (copie du passeport, données bancaires, coordonnées d'urgence, certificats médicaux) ne peuvent être utilisées qu'aux fins pour lesquelles elles ont été recueillies. Transmettre un numéro AVS à un partenaire non habilité constitue une violation.
• Principe de proportionnalité : exiger la copie intégrale d'un dossier médical pour un poste administratif est disproportionné. Seules les informations strictement nécessaires à l'exécution du contrat ou au respect d'une obligation légale peuvent être demandées.
• Obligation d'information (art. 19 nLPD) : l'employeur doit informer le collaborateur, au moment de la collecte, de l'identité du responsable du traitement, des finalités, des destinataires éventuels (fiduciaire, caisse de pension, assurance) et des droits de la personne concernée. Cette information peut figurer dans le contrat de travail ou dans un document annexe signé à l'entrée.
• Données sensibles : le numéro AVS, les données de santé, les origines raciales ou ethniques, les données biométriques sont des données sensibles au sens de l'art. 5 let. c nLPD. Leur traitement requiert une base légale expresse, le consentement explicite ou une justification par un intérêt prépondérant.

Sanctions pénales et administratives

Contrairement à l'ancien droit, la nLPD prévoit des amendes pouvant atteindre CHF 250 000.— pour les personnes physiques (typiquement le dirigeant ou le responsable RH) en cas de violation intentionnelle de l'obligation d'information ou de traitement non autorisé de données sensibles. L'entreprise elle-même n'est pas directement amende par la nLPD, mais le Préposé fédéral à la protection des données (PFPDT) peut émettre des recommandations contraignantes et rendre les manquements publics, avec l'impact réputationnel que cela implique pour une PME locale.

Registre des activités de traitement

Les entreprises de moins de 250 collaborateurs bénéficient d'une exemption partielle, mais cette exemption ne s'applique pas lorsque le traitement présente des risques élevés pour la personnalité des personnes concernées — ce qui est systématiquement le cas pour les données de santé ou les données biométriques. En pratique, toute PME qui traite des données de collaborateurs (ce qui est universel) devrait tenir un registre simplifié des activités de traitement, indiquant au minimum : catégories de données traitées, finalités, durées de conservation, destinataires.

Procédure d'onboarding administratif : étape par étape

Voici la séquence recommandée pour une TPE romande, applicable dès la signature du contrat :

1. Avant le premier jour — J-5 au moins : Faire signer le contrat de travail (incluant la clause d'information nLPD), préparer le formulaire de déclaration AVS, informer la caisse de pension de l'arrivée imminente, vérifier le permis de travail si le collaborateur est ressortissant étranger (annonce canton via le système SYMIC pour les ressortissants non-UE, ou déclaration en ligne pour les ressortissants UE/AELE).
2. Jour 1 : Remettre le contrat signé et l'annexe de protection des données. Collecter uniquement les données nécessaires : copie du permis de séjour ou passeport (pour vérification légale), RIB/IBAN pour le salaire, numéro AVS (figurant sur la carte d'assuré), coordonnées d'urgence. Ne pas exiger de dossier médical sans base légale.
3. Jours 1 à 5 : Transmettre la déclaration d'entrée à la caisse de compensation AVS. Annoncer le collaborateur à l'assureur LAA (accidents) et, si applicable, à l'assurance d'indemnités journalières en cas de maladie (IJM). Informer la caisse d'allocations familiales si le collaborateur a des enfants à charge.
4. Dans les 30 jours : Finaliser l'affiliation LPP et transmettre les données salariales à l'institution de prévoyance. Remettre le règlement de l'entreprise (y compris règles sur la durée du travail, absences, congés). Ouvrir le dossier employé dans le logiciel de paie avec les données collectées, en respectant les règles de conservation nLPD (durées recommandées : pièces d'identité jusqu'à 5 ans après fin du contrat, fiches de salaire 10 ans selon CO art. 958f).
5. À la fin du premier mois : Vérifier que toutes les annonces ont été confirmées par les caisses (accusé de réception AVS, certificat d'affiliation LPP, confirmation LAA). Archiver les documents de manière sécurisée (accès restreint, pas de stockage sur des serveurs non sécurisés partagés).

Cas pratique

Situation : Nadia Clerc, directrice d'une fiduciaire de 12 collaborateurs à Morges (VD), engage Thomas Rochat, 34 ans, comme comptable junior au 01.03.2025, pour un salaire mensuel brut de CHF 5 800.— (soit CHF 69 600.— par an). Thomas est de nationalité suisse, sans enfants à charge.

Calcul des charges sociales mensuelles à prévoir :

• AVS/AI/APG — part employé : 5,3 % × CHF 5 800.— = CHF 307.40
• AVS/AI/APG — part employeur : 5,3 % × CHF 5 800.— = CHF 307.40
• AC (chômage, jusqu'au seuil de CHF 148 200.—) : 1,1 % × CHF 5 800.— chaque = CHF 63.80 × 2
• LPP (Thomas a 34 ans, taux de bonification 10 % du salaire coordonné) : salaire coordonné = CHF 69 600.— − CHF 25 725.— (déduction de coordination 2024) = CHF 43 875.— annuel, soit CHF 3 656.25/mois. Cotisation LPP globale indicative (répartie employeur/employé selon règlement) : environ 10 % = CHF 365.60/mois, partagé à parts égales = CHF 182.80 chacun.
• LAA (accidents professionnels) : entièrement à charge de l'employeur ; taux selon convention, typiquement entre 0,10 % et 0,30 % selon secteur. LAA non professionnelle : à charge de l'employé, taux variable.
• IJM (indemnités journalières maladie) : prime partagée selon convention interne, souvent 50/50 ; taux moyen pour un cabinet fiduciaire : environ 1,5 % à 2,0 % du salaire brut.

Démarches effectuées par Nadia :

1. Le 24.02.2025 : contrat signé, annexe nLPD remise et paraphée par Thomas. Nadia note dans son registre de traitement : données collectées (IBAN, AVS, copie de la carte d'identité), finalité (exécution du contrat, obligations légales), destinataires (Caisse AVS Vaud, institution LPP Retraites Populaires, Suva pour la LAA), durée de conservation (10 ans pour pièces salariales).
2. Le 01.03.2025 (premier jour) : déclaration d'entrée transmise à la Caisse cantonale vaudoise de compensation (CCVD) via son portail en ligne. Annonce faite à la Suva pour la LAA.
3. Le 03.03.2025 : annonce à Retraites Populaires avec le salaire annuel déterminant de CHF 69 600.—.
4. Le 28.03.2025 : Nadia reçoit la confirmation d'affiliation LPP et le certificat de cotisation LAA. Elle classe les deux documents dans le dossier sécurisé de Thomas, accessible uniquement à elle-même et à l'assistante RH désignée.

Sans ce processus structuré, Nadia aurait risqué : une lacune de couverture LPP pour mars (avec intérêts rétroactifs), une amende potentielle si elle avait transmis le numéro AVS de Thomas à son prestataire informatique cloud sans base contractuelle conforme à la nLPD, et une infraction à l'art. 330b CO si le contrat n'avait pas été remis dans le délai légal.

Checklist opérationnelle — onboarding administratif conforme nLPD

• ☐ Contrat de travail signé avant ou le jour même de l'entrée en service (art. 330b CO : information écrite dans le mois au plus tard).
• ☐ Annexe ou clause de protection des données remise et signée à J1 : identité du responsable de traitement, finalités, destinataires, droits de la personne.
• ☐ Déclaration d'entrée AVS transmise à la caisse cantonale compétente dans les 30 jours suivant l'entrée en service.
• ☐ Annonce à l'institution LPP dans le mois suivant l'entrée (ou immédiatement si CCT l'exige), avec salaire annuel déterminant et date de naissance.
• ☐ Annonce à l'assureur LAA dans les délais contractuels (10 à 30 jours selon la police).
• ☐ Demande d'allocations familiales déposée si le collaborateur a des enfants à charge (formulaire auprès de la caisse AVS ou caisse spécialisée selon canton).
• ☐ Vérification du permis de travail si ressortissant étranger : déclaration en ligne pour UE/AELE, procédure SYMIC pour ressortissants hors UE.
• ☐ Collecte de données limitée au strict nécessaire : IBAN, numéro AVS, copie pièce d'identité, coordonnées d'urgence. Pas de données de santé sans base légale expresse.
• ☐ Enregistrement dans le registre des activités de traitement nLPD : catégories de données, finalités, destinataires, durées de conservation.
• ☐ Archivage sécurisé du dossier employé : accès restreint, durées de conservation respectées (fiches de salaire 10 ans, pièces d'identité jusqu'à 5 ans après la fin du contrat).

SynHR propose un module onboarding intégrant automatiquement ces étapes dans le flux de paie, avec des alertes sur les délais légaux et un registre de traitement nLPD préconfiguré pour les PME romandes.

Sources

• Loi fédérale sur la protection des données (nLPD) — fedlex.admin.ch — Texte consolidé de la LPD révisée, en vigueur depuis le 01.09.2023, incluant les obligations d'information et les sanctions pénales.
• Code des obligations (CO) — fedlex.admin.ch — Art. 330b sur l'information écrite obligatoire et dispositions sur le contrat de travail individuel.
• Office fédéral des assurances sociales (OFAS) — bsv.admin.ch — Taux de cotisations AVS/AI/APG en vigueur, seuils LPP, informations sur les assurances sociales obligatoires.
• Portail AVS-AI — avs-ai.ch — Informations pratiques sur les déclarations d'entrée, les caisses de compensation cantonales et les formulaires d'affiliation.
• Secrétariat d'État à l'économie (SECO) — seco.admin.ch — Conditions de travail, durée du travail, obligations liées à la LTr et aux ordonnances d'exécution.