Protection des données des candidats : vos obligations dès le premier CV reçu

Un dossier de candidature n'est pas une propriété de l'employeur

Beaucoup de dirigeants de PME traitent les CV reçus comme des documents internes ordinaires : archivés dans un dossier partagé, transférés à un associé, conservés "au cas où" pendant des années. Ce réflexe est compréhensible, mais il place l'entreprise en dehors du cadre légal depuis l'entrée en vigueur de la nouvelle loi fédérale sur la protection des données (nLPD) le 01.09.2023. La nLPD s'applique à tout traitement de données de personnes physiques, y compris celles qui ne deviendront jamais vos employés.

Cadre légal applicable au recrutement

La nLPD comme base principale

La nLPD remplace l'ancienne LPD de 1992 et en durcit significativement les exigences. Pour le recrutement, trois principes fondamentaux s'appliquent immédiatement :

• Principe de finalité (art. 6 al. 3 nLPD) : les données collectées lors d'un recrutement ne peuvent être traitées qu'à cette fin précise. Réutiliser un CV reçu pour un autre poste ouvert six mois plus tard, sans accord du candidat, constitue un détournement de finalité.
• Principe de minimisation (art. 6 al. 2 nLPD) : seules les données nécessaires à l'évaluation du candidat pour le poste en question peuvent être demandées. Demander systématiquement le numéro AVS en phase de candidature, avant toute décision d'embauche, viole ce principe.
• Principe de transparence (art. 19 nLPD) : le candidat doit être informé de l'identité du responsable du traitement, de la finalité, des éventuels destinataires tiers et de ses droits, au plus tard au moment de la collecte des données.

L'art. 328b du Code des obligations (CO) pose en outre une limite expresse : l'employeur ne peut traiter les données d'un travailleur que dans la mesure où elles portent sur l'aptitude du travailleur à remplir son emploi ou sont nécessaires à l'exécution du contrat. Bien que cet article vise formellement le contrat de travail en cours, le Tribunal fédéral et la doctrine majoritaire en étendent l'esprit à la phase précontractuelle.

Données sensibles : un régime renforcé

La nLPD (art. 5 let. c) définit des catégories de données sensibles soumises à des exigences de protection accrues : données sur la santé, les convictions religieuses ou politiques, l'origine ethnique, la vie sexuelle, les procédures judiciaires et administratives, les mesures d'aide sociale. Ces informations surgissent parfois spontanément dans un CV ou lors d'un entretien. Dès leur collecte, elles déclenchent des obligations renforcées : base de justification explicite, sécurité technique adaptée, interdiction de les communiquer à des tiers sans base légale solide.

Concrètement : si un candidat mentionne un handicap ou une maladie chronique dans sa lettre de motivation, vous devez traiter cette information avec les mesures techniques et organisationnelles prévues pour les données sensibles, même si vous n'avez pas sollicité cette information.

Questions interdites lors d'un entretien

Le droit suisse, à la croisée du CO, de la nLPD et de la jurisprudence du Tribunal fédéral, prohibe certaines questions lors d'entretiens d'embauche. Le candidat a un droit au mensonge reconnu par la doctrine pour les questions illicites. Sont illicites notamment :

• Questions sur la grossesse, l'intention d'avoir des enfants, la situation familiale (sauf exigences professionnelles démontrables).
• Questions sur l'appartenance syndicale ou les convictions politiques.
• Questions sur l'état de santé non lié à l'aptitude au poste.
• Questions sur l'endettement, sauf pour des postes à responsabilité financière avec justification documentée.
• Questions sur le casier judiciaire, sauf si la nature du poste le justifie (travail avec des mineurs, accès à des données financières sensibles, etc.).

Droits des candidats et obligations concrètes de l'employeur

Droit d'accès et droit à la rectification

Tout candidat, qu'il soit retenu ou non, dispose d'un droit d'accès à ses données (art. 25 nLPD). Il peut demander à savoir quelles données vous détenez, à quelle fin, combien de temps vous les conservez et à qui elles ont été communiquées. Vous disposez d'un délai de trente jours pour répondre à une telle demande. Ce délai peut être prolongé pour des motifs justifiés, mais vous devez en informer le demandeur dans le délai initial.

Si les données sont inexactes, le candidat peut en demander la rectification. Si la collecte était illicite ou si la finalité a disparu, il peut en demander l'effacement.

Durée de conservation : règle générale et exception

La nLPD ne fixe pas de durée chiffrée pour la conservation des données de candidature. La règle est celle de la proportionnalité et de la finalité : dès que la finalité est atteinte (le recrutement est clôturé, le candidat est retenu ou écarté), les données des candidats non retenus doivent en principe être supprimées.

En pratique, un délai de conservation de quelques semaines à trois mois après la clôture du processus est généralement admis pour faire face à d'éventuelles contestations. Au-delà, la conservation n'est justifiable que si le candidat a explicitement consenti à intégrer un vivier de talents, avec une information claire sur la finalité et la durée maximale de ce vivier.

Attention : le consentement doit être libre, éclairé et spécifique. Un simple case à cocher en bas d'un formulaire "J'accepte que mes données soient conservées" est insuffisant si le candidat ne comprend pas ce que cela implique concrètement.

Communication à des tiers

Transmettre un CV à un partenaire commercial, à une agence de placement, à une filiale ou à un actionnaire sans base légale ou sans accord du candidat est illicite. Si votre PME utilise un logiciel RH hébergé chez un sous-traitant (éditeur SaaS, service cloud), vous devez conclure un contrat de sous-traitance conforme à l'art. 9 nLPD, qui oblige le sous-traitant à garantir un niveau de protection équivalent.

Obligations formelles : déclaration de traitement et registre

Registre des activités de traitement

L'art. 12 nLPD impose aux responsables du traitement de tenir un registre des activités de traitement. Pour les PME, une exception existe pour les entreprises de moins de 250 employés dont le traitement ne présente qu'un risque limité d'atteinte à la personnalité. Mais attention : le recrutement implique fréquemment des données sensibles (état de santé mentionné spontanément, casier judiciaire demandé pour certains postes, etc.), ce qui peut faire tomber votre PME hors du champ de cette exception même en dessous du seuil.

Le Préposé fédéral à la protection des données et à la transparence (PFPDT) recommande à toutes les entreprises, quelle que soit leur taille, de tenir un tel registre. Pour le recrutement, une entrée distincte doit documenter : les catégories de données collectées, les finalités, les destinataires éventuels, les délais de conservation, les mesures de sécurité.

Obligation d'informer : la notice de confidentialité candidats

Avant ou au moment de la collecte des données (envoi d'un formulaire en ligne, réception d'un CV par e-mail, entretien téléphonique), le candidat doit être informé. Cette information peut prendre la forme d'une notice de confidentialité accessible depuis votre site d'offres d'emploi, ou d'un document joint à l'accusé de réception de la candidature. Elle doit mentionner :

• L'identité et les coordonnées du responsable du traitement.
• Les catégories de données traitées.
• La finalité du traitement (évaluation de la candidature pour tel poste).
• La durée de conservation prévue.
• Les éventuels destinataires ou sous-traitants.
• Les droits du candidat et la façon de les exercer.

Sanctions et risques pour la PME

Sanctions pénales

La nLPD introduit des sanctions pénales (art. 60 à 62 nLPD) qui n'existaient pas sous l'ancienne LPD avec la même portée. Les violations intentionnelles de l'obligation d'informer, du devoir de diligence lors de la communication transfrontière de données, ou du traitement de données sensibles sans base légale peuvent être sanctionnées par une amende pouvant atteindre un montant significatif. La responsabilité est personnelle : c'est la personne physique responsable au sein de l'entreprise (dirigeant, responsable RH) qui est visée, pas uniquement l'entreprise comme entité.

Pour le détail des montants d'amende, référez-vous directement aux articles 60 à 62 de la nLPD disponibles sur fedlex.admin.ch, les chiffres étant susceptibles d'interprétation jurisprudentielle en cours de formation.

Risques réputationnels et civils

Un candidat écarté qui réalise que son CV a été transmis à un tiers sans son accord, ou que ses données de santé ont été discutées lors d'un conseil d'administration, peut saisir le PFPDT ou agir en justice pour atteinte à la personnalité (art. 28 CC). Les dommages-intérêts sont difficiles à chiffrer mais le risque réputationnel est immédiat, notamment dans les réseaux professionnels romands où la proximité entre candidats et employeurs est forte.

Cas pratique

Situation : Nadia Rochat dirige une fiduciaire de 12 employés à Morges. En mars 2024, elle publie une annonce pour un poste de gestionnaire de paie. Elle reçoit 34 candidatures par e-mail. Après trois entretiens, elle retient Julien Pernet. Les 33 dossiers non retenus restent dans le dossier partagé Dropbox de l'entreprise. En novembre 2024, un poste similaire s'ouvre : Nadia contacte directement deux des candidats écartés en mars pour leur soumettre la nouvelle offre.

Problèmes identifiés :

1. Conservation des dossiers sans délai défini ni procédure de suppression : violation du principe de proportionnalité (art. 6 al. 2 nLPD).
2. Réutilisation des données pour un nouveau recrutement sans consentement spécifique : violation du principe de finalité (art. 6 al. 3 nLPD).
3. Hébergement sur Dropbox sans contrat de sous-traitance vérifié pour la conformité nLPD suisse : risque au titre de l'art. 9 nLPD.
4. Aucune notice de confidentialité envoyée aux candidats, ni mentionnée dans l'annonce.

Procédure corrective à mettre en place :

1. Rédiger une notice de confidentialité candidats et la publier sur le site de la fiduciaire, avec un lien dans chaque accusé de réception de candidature.
2. Définir une procédure de suppression des dossiers non retenus dans un délai de trois mois après clôture du recrutement, documentée dans le registre des activités de traitement.
3. Pour la création d'un vivier, obtenir un consentement explicite et séparé de chaque candidat, avec indication de la durée maximale (par exemple douze mois) et de la possibilité de retrait à tout moment.
4. Vérifier les conditions d'utilisation et le Data Processing Agreement de Dropbox (ou de l'outil utilisé) pour s'assurer de la conformité avec la nLPD, notamment en cas de transfert de données vers des serveurs hors Suisse.
5. Contacter les deux candidats recontactés en novembre pour les informer rétrospectivement du traitement et leur offrir la possibilité d'effacement de leurs données.

Ce cas est représentatif : le problème n'est pas malveillant, il est structurel. La majorité des PME romandes n'ont pas de procédure de recrutement documentée sous l'angle des données, et c'est précisément ce que la nLPD cible désormais.

Récapitulatif opérationnel

• Rédiger et publier une notice de confidentialité spécifique au recrutement, distincte de la politique générale de votre site web, et l'inclure dans chaque accusé de réception de candidature.
• Lister dans votre registre des activités de traitement l'entrée "recrutement" avec catégories de données, finalités, durée de conservation, destinataires et mesures de sécurité.
• Fixer un délai maximal de conservation des dossiers candidats non retenus (trois mois est une pratique admise) et automatiser la suppression ou le rappel de suppression.
• Ne collecter le numéro AVS, le casier judiciaire ou les données de santé qu'après décision d'embauche, et uniquement si nécessaire pour le poste, avec justification documentée.
• Pour tout vivier de talents, obtenir un consentement explicite, daté, avec finalité et durée clairement énoncées, et prévoir une procédure de retrait du consentement.
• Vérifier que vos outils de recrutement (logiciel RH, boîte e-mail partagée, service cloud) font l'objet d'un contrat de sous-traitance conforme à l'art. 9 nLPD.
• Former les personnes impliquées dans le recrutement (dirigeant, assistante de direction, responsable RH) sur les questions interdites en entretien et sur la procédure de réponse à une demande d'accès.
• Documenter chaque décision de recrutement de façon à pouvoir répondre à une demande d'accès dans le délai légal de trente jours, sans reconstituer le dossier en urgence.

Un outil RH qui centralise les candidatures, trace les accès et facilite la suppression programmée des dossiers (comme SynHR) peut supporter cette procédure, mais la conformité reste une responsabilité du dirigeant, pas du logiciel.

Sources

• Loi fédérale sur la protection des données (nLPD), fedlex.admin.ch, texte consolidé en vigueur depuis le 01.09.2023, avec l'ensemble des articles cités (art. 5, 6, 9, 12, 19, 25, 60-62).
• Code des obligations (CO), fedlex.admin.ch, notamment art. 328b sur le traitement des données du travailleur.
• Préposé fédéral à la protection des données et à la transparence (PFPDT), recommandations pratiques, guides sectoriels et informations sur le registre des activités de traitement.
• ch.ch, Protection des données dans les rapports de travail, synthèse grand public des droits des travailleurs et candidats en matière de données personnelles.