Le dossier du personnel contient les données les plus sensibles d’une entreprise : salaire, absences, évaluations, souvent aussi des certificats médicaux. Depuis le 1er septembre 2023, la loi sur la protection des données entièrement révisée (nLPD) s’applique, même à la plus petite PME. Ce guide sur la protection des données du dossier du personnel montre ce que les employeurs doivent faire : informer, donner accès, limiter les accès, effacer à temps. Il distingue la loi de la bonne pratique.
Base : art. 328b CO et LPD
L’employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur ses aptitudes à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail ; pour le reste, la loi sur la protection des données s’applique (art. 328b CO). Les données personnelles sont toutes les informations concernant une personne physique identifiée ou identifiable. Les données sur la santé sont notamment des données sensibles (art. 5, let. a et c, LPD), ce qui concerne absences pour maladie et certificats médicaux.
Les principes au quotidien
L’art. 6 LPD énonce les principes : le traitement doit être licite et conforme à la bonne foi, proportionné ; les données ne sont collectées que pour des finalités déterminées et reconnaissables, et détruites ou anonymisées dès qu’elles ne sont plus nécessaires (al. 1 à 4). Qui traite des données s’assure de leur exactitude (al. 5). Lorsque le consentement est requis, il n’est valable que s’il est exprimé librement pour des traitements déterminés après information adéquate (al. 6) ; pour les données sensibles, il doit être exprès (al. 7, let. a). Le PFPDT relève qu’en raison de leur position subordonnée, les collaborateurs ne peuvent que très rarement consentir librement, refuser ou révoquer. Ne vous appuyez donc pas sur un consentement lorsque le contrat ou la loi autorise déjà le traitement.
Pour le dossier du personnel, cela signifie : ne classer que ce qui est nécessaire au rapport de travail. Déjà dans son guide de 2014, le PFPDT précise qu’il ne doit exister aucun dossier « gris » avec des informations confidentielles inaccessibles à la personne, et recommande de trier régulièrement le dossier (en général tous les deux ans).
Devoir d’informer
Qui collecte des données personnelles informe la personne concernée de manière adéquate. Il faut communiquer au moins l’identité et les coordonnées du responsable du traitement, la finalité et, le cas échéant, les destinataires ; si des données sont communiquées à l’étranger, aussi l’État et les garanties (art. 19, al. 1, 2 et 4, LPD). En pratique, il s’agit d’une information sur la protection des données destinée aux collaborateurs, remise à l’entrée, et d’une note dans le formulaire de candidature. Omettre intentionnellement ce devoir est puni, sur plainte, d’une amende de CHF 250’000 au plus (art. 60, al. 1, LPD).
Droit d’accès des collaborateurs
Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées (art. 25, al. 1, LPD). Dans tous les cas, elle reçoit l’identité et les coordonnées du responsable, les données traitées en tant que telles, la finalité, la durée de conservation ou les critères pour la fixer, les informations disponibles sur l’origine des données et, le cas échéant, les destinataires (art. 25, al. 2, LPD). Vue d’ensemble :
- Forme : la demande est faite par écrit ; avec votre accord, elle peut aussi être orale. La voie électronique est admise. Vous prenez des mesures adéquates pour identifier la personne (art. 16 OPDo).
- Délai : en règle générale, les renseignements sont fournis dans les 30 jours suivant la réception de la demande (art. 25, al. 7, LPD ; art. 18, al. 1, OPDo). Si ce n’est pas possible, vous informez la personne et indiquez le délai dans lequel les renseignements seront fournis (art. 18, al. 2, OPDo).
- Coûts : les renseignements sont gratuits ; en cas d’efforts disproportionnés, une participation de CHF 300 au maximum peut être exigée, que vous devez communiquer au préalable (art. 25, al. 6, LPD ; art. 19 OPDo).
- Pas de renonciation d’avance : nul ne peut renoncer par avance au droit d’accès (art. 25, al. 5, LPD).
- Restrictions : vous pouvez refuser, restreindre ou différer les renseignements, par exemple en raison d’intérêts prépondérants d’un tiers ou si la demande est manifestement infondée ; vous devez alors indiquer le motif (art. 26, al. 1 et 4, LPD).
- Données sur la santé : elles peuvent être communiquées à la personne, moyennant son consentement, par l’intermédiaire d’un professionnel de la santé qu’elle a désigné (art. 25, al. 3, LPD).
Le droit d’accès subsiste après le départ. Les données inexactes doivent être rectifiées sur demande (art. 32, al. 1, LPD).
Accès, sécurité et violations
Les responsables du traitement doivent assurer, par des mesures techniques et organisationnelles appropriées, une sécurité des données adéquate par rapport au risque (art. 8, al. 1, LPD). L’ordonnance sur la protection des données cite comme objectifs la confidentialité, la disponibilité, l’intégrité et la traçabilité (art. 2 OPDo). Pour le dossier du personnel, sont particulièrement importants :
- Contrôle de l’accès : les personnes autorisées n’ont accès qu’aux données dont elles ont besoin pour accomplir leurs tâches (art. 3, al. 1, let. a, OPDo). La comptabilité salariale n’a pas besoin des certificats médicaux, ni les supérieurs des salaires d’autres équipes.
- Contrôle de la saisie : il doit être possible de vérifier quelles données personnelles sont saisies ou modifiées, par quelle personne et à quel moment (art. 3, al. 3, let. a, OPDo).
- Journalisation : pour les personnes privées, une obligation expresse de journaliser les accès n’existe que lors de traitements automatisés de données sensibles à grande échelle ou de profilages à risque élevé, lorsque les mesures préventives ne suffisent pas ; les procès-verbaux sont conservés au moins un an, séparément du système (art. 4, al. 1 et 5, OPDo).
- Registre : les entreprises de moins de 250 collaborateurs au 1er janvier sont déliées de tenir un registre des activités de traitement, à moins de traiter des données sensibles à grande échelle ou d’effectuer un profilage à risque élevé (art. 12, al. 5, LPD ; art. 24 OPDo). La loi ne dit pas ce que signifie « à grande échelle » ; en cas de doute, tenez un registre (pratique).
- Violation : une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personne concernée est annoncée au PFPDT dans les meilleurs délais (art. 24, al. 1, LPD), via le formulaire en ligne du PFPDT.
Conserver et effacer
Aucune loi ne fixe un délai unique pour le dossier du personnel. Les délais varient selon le document :
| Document | Délai | Référence |
|---|---|---|
| Décomptes de salaire et autres pièces comptables | 10 ans à partir de la fin de l’exercice | Art. 958f, al. 1, CO |
| Documents relatifs au temps de travail | au minimum 5 ans après l’expiration de leur validité | Art. 73, al. 2, OLT 1 |
| Prescription des créances découlant du rapport de travail | 5 ans | Art. 128, ch. 3, CO |
| Candidatures écartées | restituer ou détruire ; pratique : au moins jusqu’à l’expiration du délai d’action de trois mois | PFPDT ; art. 8, al. 2, LEg |
| Vivier de talents | jusqu’à la date convenue, avec consentement | PFPDT |
| Autre dossier du personnel | à fixer par catégorie de données ; le PFPDT indique en règle générale 5 à 10 ans, selon les prescriptions légales (guide 2014 : en règle générale 5 ans, exceptionnellement 10) | PFPDT ; pratique, non légal |
Le guide date d’avant la nLPD ; les principes restent valables, mais fixez par écrit les délais par catégorie de données et respectez-les. À l’échéance, vous effacez ou anonymisez les données (art. 6, al. 4, LPD). Vérifiez au préalable si une procédure est pendante ou si un certificat pourrait être demandé.
Exemple pratique : Muster Elektro AG
La Muster Elektro AG est une entreprise fictive de 45 collaborateurs (état au 1er janvier 2026). Comme elle gère des absences pour maladie et des certificats médicaux, elle tient par précaution un registre des activités de traitement.
Le mardi 3 novembre 2026, une ancienne collaboratrice demande un renseignement par écrit. La réponse est due au plus tard le jeudi 3 décembre 2026 (30 jours dès la réception). La responsable du personnel établit l’export le 10 novembre, y contrôle les données de tiers et l’envoie le 12 novembre.
Lors de l’examen annuel de la liste d’effacement apparaît M. Roth, départ le 31 mars 2016. L’entreprise a fixé le délai des dossiers du personnel à 10 ans, il figure dans la liste depuis le 1er avril 2026. Ses décomptes de salaire de 2016 sont toutefois des pièces comptables : le délai commence à la fin de l’exercice, le 31 décembre 2016, et dure dix ans, donc jusqu’au 31 décembre 2026 (art. 958f, al. 1, CO, l’année civile étant l’exercice). La responsable du personnel n’efface donc qu’après le 31 décembre 2026.
Checklist
- Information sur la protection des données pour les collaborateurs et note dans le formulaire de candidature disponibles
- Seules les données nécessaires au rapport de travail figurent au dossier ; pas de dossiers parallèles
- Rôles et accès fixés selon la tâche ; données de santé pour peu de personnes seulement
- Procédure pour les demandes de renseignement : réception notée, identité vérifiée, réponse dans les 30 jours
- Accès journalisés ; procès-verbaux conservés au moins un an
- Registre des activités de traitement vérifié
- Marche à suivre en cas de violation avec annonce au PFPDT connue
- Délais de conservation fixés par écrit pour chaque catégorie de données
- Données échues effacées ou anonymisées régulièrement
La solution KMU | base
HR | base soutient les parties techniques. Les décisions que vous devez prendre, le logiciel ne vous les ôte pas : délais, registre des activités de traitement, éventuelle analyse d’impact relative à la protection des données et annonce d’une violation au PFPDT.
1. Renseignement. Sous Personnel › Collaborateurs, ouvrez le dossier et choisissez dans le menu Autres actions le point Exporter les renseignements. Vous obtenez toutes les données personnelles de la personne en ZIP, avec un fichier structuré, une vue lisible et les documents d’origine. Les parties sensibles comme le salaire ou la santé ne sont exportées qu’avec le droit correspondant ; ce qui manque figure dans l’export comme « non exporté ». Pour le renseignement à la personne, faites donc exporter par quelqu’un qui a tous les droits nécessaires. La consultation est consignée. Si vous retenez quelque chose selon l’art. 26 LPD, c’est à vous de décider ; contrôlez l’export avant l’envoi. Pour les candidatures, le même export existe dans la candidature.
2. Rôles et accès. Il y a quatre rôles de base (administration, RH, supérieurs, collaborateurs) et des rôles propres avec niveaux par domaine. Les champs sensibles (salaire, AVS, banque, santé, privé) et le périmètre de données (tous, entreprises, départements, sites, équipe, soi-même) s’attribuent séparément.
3. Journal des accès. Sous Paramètres de l’entreprise › Journal des accès, vous voyez qui a consulté ou modifié quelles données personnelles et quand. Les accès en lecture (dossier, historique, documents, téléchargements, exports) sont aussi journalisés, de même que connexions et tentatives échouées, avec IP et canal. La liste se filtre par domaine, personne et période. Le journal se trouve dans le même système ; si cela satisfait à l’art. 4 OPDo (conservation séparée du système), vous le clarifiez vous-même au besoin.
4. Délais d’effacement. Sous Paramètres RH › Données › Délais d’effacement, vous réglez les délais : photos de timbrage (30 jours par défaut), journal des accès (24 mois par défaut, réglable dès 12 mois), journal des e-mails (12 mois par défaut) et dossier du personnel (10 ans après le départ par défaut). Une tâche quotidienne efface à l’échéance photos de timbrage, journaux d’accès et d’e-mails. Les dossiers du personnel ne sont jamais effacés automatiquement : à l’échéance, la personne apparaît dans la liste « Effacement échu », et vous l’effacez vous-même dans le dossier après vérification. Ces valeurs sont des propositions de KMU | base et ne remplacent pas un conseil juridique. Faites-les valider en interne ou par un juriste, surtout pour les documents à délai légal (pièces de salaire).
5. Candidatures. Sous Paramètres RH › Candidatures, vous fixez le délai des candidatures closes (1 à 24 mois, 6 par défaut) et choisissez si l’on efface ou anonymise à l’échéance. Le vivier de talents n’existe qu’avec consentement ; vous réglez la durée entre 6 et 36 mois, et la personne peut révoquer à tout moment.
Les bases sur les données de candidature figurent dans le guide sur la gestion des candidatures, celles sur le départ dans le guide sur la checklist de départ. Pour le certificat, voir Rédiger un certificat de travail ; pour l’enregistrement du temps de travail, Enregistrement du temps de travail. Pour essayer, consultez la démo ou ouvrez un compte d’essai. Les tarifs figurent sur la page Tarifs. Pour toute question, nous vous aidons via la page Contact.
Sources
- Loi fédérale sur la protection des données (LPD, DSG, RS 235.1), art. 5, 6, 8, 12, 19, 24, 25, 26, 32, 60, état au 7 juillet 2025 : fedlex.admin.ch, consulté le 27.10.2026.
- Ordonnance sur la protection des données (OPDo, DSV, RS 235.11), art. 2 à 4, 16, 18, 19, 24, état au 1er décembre 2025 : fedlex.admin.ch, consulté le 27.10.2026.
- Code des obligations (CO, OR, RS 220), art. 128, ch. 3, 328b, 958f, état au 1er octobre 2026 : fedlex.admin.ch, consulté le 27.10.2026.
- Ordonnance 1 relative à la loi sur le travail (OLT 1, ArGV 1, RS 822.111), art. 73, al. 2, état au 1er septembre 2024 : fedlex.admin.ch, consulté le 27.10.2026.
- Loi sur l’égalité (LEg, GlG, RS 151.1), art. 8, al. 2, état au 1er juillet 2020 : fedlex.admin.ch, consulté le 27.10.2026.
- PFPDT, Traitement des données par l’employeur (page sans indication de date) : edoeb.admin.ch, consulté le 27.10.2026 ; Différentes étapes de la relation de travail : edoeb.admin.ch, consulté le 27.10.2026.
- PFPDT, Guide pour le traitement des données personnelles dans le secteur du travail, traitement par des personnes privées, état octobre 2014, ch. 3.2.1 et 3.3.1 (rédigé sous l’ancienne loi sur la protection des données) : edoeb.admin.ch, consulté le 27.10.2026.
- PFPDT, Annonce des violations de la sécurité des données (formulaire en ligne) : edoeb.admin.ch, consulté le 27.10.2026.
Ce guide ne remplace aucun conseil juridique ou fiscal. État des informations : 27.10.2026.