Quelles données puis-je conserver au sujet d’un ancien employé?

Quelles données un employeur est-il autorisé à conserver au sujet d’un employé après la fin des rapports de travail? Cétait le sujet d’une présentation effectuée par Sylvain Métille, avocat et professeur associé à l’Université de Lausanne, lors de la Journée du Centre d’étude des relations du travail de l’Université de Neuchâtel, le 19 mars.

Pour répondre à cette question, il faut se référer aux grands principes de la protection des données. On n’est autorisé à traiter des données personnelles qu’à certaines conditions, stipule La loi.

• Il faut respecter le principe de la bonne foi, qui interdit par exemple de mentir au sujet de ce qu’on va faire des données et du but dans lequel on veut les traiter.
• Ce but ne peut être que licite.
• On doit respecter le principe de la proportionnalité. Celui-ci implique par exemple qu’on ne collecte que les données nécessaires au but qu’on s’est fixé. Un employeur ne pourrait par exemple pas soumettre une personne travaillant depuis chez elle à un test de dépistage du Covid-19, puisque le but d’une telle mesure est de s’assurer que la personne ne présente pas de risque sur le lieu de travail. On ne doit pas non plus conserver les données pendant une durée illimitée.
• Les données ne peuvent être récoltées et traitées que dans un but déterminé. «Un dossier de candidature, par exemple, ne peut en principe pas être conservé une fois le poste repourvu», observe Sylvain Métille. L’employeur a en effet pu traiter les données personnelles du candidat car il visait une finalité donnée: repourvoir le poste. Une fois celle-ci atteinte, le droit à conserver ces données disparaît également. Corollaire: les employeurs doivent régulièrement nettoyer les dossiers de leurs collaborateurs: un certificat médical pour une durée de deux jours n’a par exemple plus de raison d’être conservée après un certain temps.
• Les données qui sont traitées et les buts de ce traitement doivent être transparents. «Un employeur qui voudrait, par exemple, surveiller les e-mails de ses collaborateurs doit les informer qu’il se réserve le droit de le faire», remarque Sylvain Métille.
• Les données récoltées doivent être correctes, actuelles et objectives; des mesures appropriées doivent donc permettre de rectifier, d’effacer ou de détruire les données incomplètes ou inexactes.
• Enfin, elles doivent être conservées de manière sûre, que ce soit dans une armoire fermée à clé ou un espace informatique dont l’accès est limité aux personnes qui ont besoin d’y avoir accès. «On voit trop souvent des PME stocker des données dans un serveur commun auquel tous les employés ont accès, même s’ils n’en ont pas besoin», note Sylvain Métille.

Fin des rapports de travail

Comment ces principes se traduisent-ils dans la réalité à la fin des rapports de travail? Un certain nombre de données doivent être conservées de par la loi – comme les données comptables, des registres et d’autres pièces relatives à l’exécution de la loi sur le travail, des données liées aux assurances sociales et fiscales, etc. Les délais de conservation sont fixés par la législation.

D’autres données peuvent être conservées, car on présume qu’on pourra en avoir besoin – comme celles nécessaires à l’établissement d’un certificat de travail si l’employé n’en a pas encore demandé, à fournir une référence en faveur de l’employé, à constituer des éléments de preuve si l’on craint un litige, etc. Pendant combien de temps? Il n’y a pas de réponse tranchée. «Plus le temps passe, plus la probabilité d’un litige diminue, moins l’intérêt à conserver des éléments de preuve est clair», observe Sylvain Métille.

Les données ne ressortissant pas à ces catégories doivent être effacées définitivement – c’est le cas d’une grande partie des messages électroniques ou de certificats médicaux, sauf exception.
Il n’existe donc pas de recette miracle, conclut Sylvain Métille. Savoir ce qu’on est en droit de conserver ou pas est en grande partie une affaire d’appréciation. Cette appréciation ne se fait cependant pas dans le vide: elle doit être guidée par les grands principes de la protection des données.