La protection de la vie privée numérique des employés en Suisse repose sur deux piliers légaux non négociables : la nLPD (loi fédérale sur la protection des données) et l'interdiction de la surveillance comportementale posée par l'art. 26 OLT 3. Toute entreprise qui déploie un outil numérique sans respecter ces bases s'expose à une injonction de l'inspection cantonale du travail, voire à des poursuites civiles.
Actions prioritaires à engager immédiatement :
- Publier une directive interne sur la protection des données, signée par la direction et communiquée à tous les collaborateurs.
- Réaliser une analyse d'impact sur la protection des données (DPIA) avant tout déploiement d'outil numérique ou d'IA en ressources humaines.
- Appliquer le principe de minimisation : ne collecter que les données strictement nécessaires à l'exécution du contrat de travail (art. 328b CO).
- Héberger les données en Suisse et signer un accord de traitement des données (DPA) avec chaque sous-traitant.
- Consulter le Préposé fédéral à la protection des données et à la transparence (PFPDT/FDPIC) en cas de doute sur la licéité d'un traitement.
Table des matières
- Ce que la loi suisse interdit — et ce qu'elle autorise strictement
- Quels droits les employés peuvent-ils faire valoir ?
- Comment choisir un outil d'IA conforme à la vie privée au travail ?
- Nectos : une IA hébergée en Suisse, conçue pour la conformité nLPD
- Questions fréquentes
Ce que la loi suisse interdit — et ce qu'elle autorise strictement
L'art. 26 OLT 3 est catégorique : tout système de surveillance destiné à contrôler le comportement des travailleurs à leur poste est interdit. Caméras braquées sur les écrans, enregistrements continus des frappes clavier, analyse automatisée des déplacements — aucun de ces dispositifs ne peut être justifié par la seule volonté de vérifier la productivité.
Une surveillance peut néanmoins être admise lorsqu'elle répond à un autre objectif légitime — sécurité des biens, contrôle d'un processus technique — à condition de respecter la proportionnalité et d'informer les employés au préalable. L'employeur doit alors démontrer un intérêt prépondérant et consigner par écrit la pesée d'intérêts. Sans ce dossier justificatif, l'inspection cantonale peut exiger le démontage immédiat du dispositif.
Concernant la messagerie professionnelle, la jurisprudence fédérale (ATF 4A_518/2020) est sans ambiguïté : accéder aux messages privés identifiés comme tels porte atteinte à la personnalité, même si l'employeur a interdit l'usage privé. Interdire n'ouvre pas un droit de lecture illimité.
Les moyens techniques de surveillance — journaux d'activité réseau, analyses vocales, reconnaissance d'image — tombent sous les mêmes restrictions. Les données biométriques, comme les empreintes digitales, constituent des données sensibles au sens de la nLPD et exigent des garanties renforcées ; leur usage pour la simple gestion du temps de travail est généralement jugé disproportionné par le PFPDT.
Quels droits les employés peuvent-ils faire valoir ?
L'employé dispose d'un droit d'accès (art. 25 nLPD) : il peut exiger une liste exhaustive des données traitées le concernant, ainsi que des copies de documents dans les 30 jours suivant sa demande. Ce délai court dès l'identification du demandeur — les entreprises ont intérêt à définir une procédure interne claire pour y répondre sans délai.
Au-delà de l'accès, l'employé peut demander la rectification de données inexactes et, sous conditions, leur suppression. En Suisse, le « droit à l'oubli » n'est pas absolu : les délais légaux de conservation priment sur toute demande de suppression anticipée. Pour approfondir ces droits, le guide nLPD des employés suisses de Nectos détaille les obligations et modèles de règlement interne.
Comment choisir un outil d'IA conforme à la vie privée au travail ?
Déployer une IA en contexte professionnel suisse sans DPIA préalable est une faute de conformité. La mise en place d'IA en RH peut avoir un impact sur la personnalité plus profond qu'une méthode classique, notamment lorsque l'outil analyse des comportements, des performances ou des communications.
Quatre critères déterminent si un outil d'IA respecte la confidentialité numérique en Suisse :
- Résidence des données : les données doivent être hébergées sur des serveurs situés en Suisse, sans transfert vers des pays tiers non reconnus comme adéquats par le PFPDT.
- Accord de traitement des données (DPA) : un contrat écrit doit encadrer chaque sous-traitant, précisant finalités, durées de conservation et mesures de sécurité.
- Absence de partage avec des fournisseurs étrangers : les données ne doivent pas transiter vers des plateformes soumises à des législations extraterritoriales comme le CLOUD Act américain. Les risques liés au CLOUD Act pour les données suisses sont documentés et réels.
- Certifications et journalisation : privilégier les outils offrant des journaux d'audit, un chiffrement des données au repos et en transit, et idéalement une certification ISO 27001.
Conseil de pro : avant de signer avec un fournisseur d'IA, demandez systématiquement une copie du DPA et vérifiez que la localisation des serveurs est contractuellement garantie, pas seulement mentionnée dans une FAQ.
Pour une analyse des erreurs fréquentes lors du déploiement d'IA, le guide sur les erreurs d'utilisation de l'IA recense les cas les plus courants en contexte suisse. La souveraineté des données fait également l'objet d'un guide pratique externe utile pour cadrer les choix d'hébergement.
Nectos : une IA hébergée en Suisse, conçue pour la conformité nLPD
Les outils d'IA grand public font transiter les données vers des serveurs étrangers, souvent sans DPA adapté au droit suisse. Nectos a été conçu pour répondre précisément à cette lacune : toutes les données restent en Suisse, hébergées sur des serveurs suisses, sans aucun partage avec des fournisseurs étrangers.
Pour les employeurs, cela se traduit par des bénéfices concrets : un DPA disponible dès la souscription, des journaux d'audit exploitables lors d'un contrôle, et un chiffrement des données au repos et en transit. Le Pack Sécurité & Conformité de Nectos accompagne les équipes dans la réalisation de la DPIA, la configuration des durées de conservation et la revue juridique préalable au déploiement.
Nectos prend en charge l'analyse de documents, les bases de connaissances privées et la transcription de réunions — sans que les données ne quittent jamais le territoire suisse. L'employeur reste responsable de la pesée d'intérêts et de l'information préalable des collaborateurs, mais dispose d'une base technique conforme à la nLPD dès le premier jour.
Découvrez les garanties techniques et les options de conformité sur la page produit de Nectos, ou démarrez directement depuis nectos.ch/fr.
Questions fréquentes
L'employeur peut-il surveiller les e-mails professionnels des employés ?
Non, pas librement. Même en cas d'interdiction d'usage privé, l'employeur ne peut pas lire les messages manifestement privés ; la jurisprudence fédérale (ATF 4A_518/2020) le confirme.
Qu'est-ce qu'une DPIA et quand est-elle obligatoire ?
Une analyse d'impact sur la protection des données (DPIA) est requise avant tout traitement susceptible de présenter un risque élevé pour la personnalité des employés, notamment lors du déploiement d'outils d'IA en RH.
Quelles sanctions en cas de non-conformité à la nLPD ?
L'inspection cantonale du travail peut ordonner le démontage immédiat d'un dispositif de surveillance illicite ; des poursuites civiles pour atteinte à la personnalité restent également possibles.
Nectos est-il conforme à la nLPD pour un usage professionnel ?
Oui. Nectos héberge toutes les données en Suisse, propose un DPA et des journaux d'audit, et ne transfère aucune donnée vers des serveurs étrangers, ce qui répond aux exigences de la nLPD.
Combien de temps un employeur peut-il conserver les données d'un ancien collaborateur ?
Les données d'un ancien collaborateur sont généralement conservées pendant une durée conforme aux délais légaux de prescription et aux obligations comptables et fiscales.