EDÖB : Le Préposé Fédéral à la Protection des Données
L'EDÖB (Préposé Fédéral à la Protection des Données) est l'autorité fédérale indépendante suisse pour la protection des données, nommée par le Parlement. Il enquête sur les plaintes des salariés concernant l'utilisation de leurs données—notamment lors du recrutement et de l'emploi—et rend des décisions exécutoires. Vous n'avez pas besoin de permission avant de traiter les données, mais vous devez informer l'EDÖB immédiatement en cas de violation de données compromettant les informations des candidats ou salariés.
L'EDÖB existe parce que la loi suisse sur la protection des données (revLPD—loi révisée fédérale sur la protection des données) garantit à tout travailleur le droit de savoir comment ses données sont utilisées. Vous collectez des informations sensibles : adresses personnelles, historique salarial, déclarations de santé, numéros AVS. L'EDÖB veille à ce que vous le fassiez légalement et en sécurité.
Vous rencontrerez l'EDÖB si un salarié se plaint d'abus de données ou si vous subissez une violation de données. Le bureau est petit mais dispose d'une véritable autorité. Ignorer une obligation de notification ou une décision de l'EDÖB peut entraîner des amendes jusqu'à CHF 250'000.
Quand l'EDÖB devient pertinent
L'EDÖB n'intervient que si quelqu'un dépose plainte ou si vous signalez une violation. Il n'existe aucune autorisation que vous devez obtenir avant de recruter. Cependant, la revLPD vous oblige à signaler les violations de données sans délai injustifié—généralement sous 72 heures—si la violation risque de causer un dommage grave aux droits ou libertés d'une personne physique.
Les salariés et candidats peuvent déposer plainte s'ils soupçonnent un usage illégal de leurs données. L'EDÖB enquête alors et peut vous ordonner d'arrêter, corriger ou supprimer des informations.
- Violations de données : signaler à l'EDÖB dans les 72 heures si risque de dommage grave
- Plaintes : les salariés peuvent faire appel à l'EDÖB en cas de traitement illégal
- Droit d'accès : les candidats et salariés peuvent demander copie de leurs données
- Pas d'approbation préalable : vous ne demandez pas la permission de l'EDÖB avant de collecter
- Décisions exécutoires : les décisions de l'EDÖB sont contraignantes, vous ne pouvez pas les ignorer
- S'applique à tous : aucune exemption de taille, même les auto-entrepreneurs sont couverts
Vos obligations en vertu de la revLPD
Vous pouvez collecter uniquement les données nécessaires au recrutement ou à l'emploi. Si vous demandez l'historique médical avant une offre d'emploi conditionnelle, ou conservez des CV plus longtemps que nécessaire, vous violez la loi. Vous devez aussi assurer la sécurité du stockage—les fichiers non chiffrés sur serveurs partagés ou les formulaires imprimés laissés dans des armoires non verrouillées causent des problèmes.
Vous devez informer les candidats et salariés des données collectées et pourquoi. Un avis de confidentialité dans votre annonce ou contrat de travail—en langage clair—satisfait à cette exigence. Si vous utilisez un logiciel de recrutement comme zenRecruiting.ai, vérifiez que le fournisseur a signé un contrat de traitement des données (accord de sous-traitance) avec vous.
- Limitation de finalité : collecter uniquement pour des objectifs de recrutement ou emploi légitimes
- Minimisation : ne pas demander plus que nécessaire
- Sécurité du stockage : chiffrer les fichiers, verrouiller les armoires, contrôler l'accès
- Transparence : informer comment vous utilisez les données des candidats et salariés
- Contrats de traitement des données : vérifier que les fournisseurs se conforment à la revLPD
- Délais de conservation : supprimer les CV et candidatures après recrutement ou après délai raisonnable
L'erreur la plus courante
Les employeurs conservent routinièrement les CV des candidats 'au cas où' pendant des années. Selon la revLPD, ce stockage sans objectif légitime est illégal. Si un candidat se plaint ultérieurement que vous conservez ses données sans droit, l'EDÖB lui donnera raison. Vous recevrez alors un ordre de suppression et risquez une amende.
Deuxième erreur courante : ne pas signaler une violation parce que vous supposez qu'elle 'n'était pas grave'. L'EDÖB juge la gravité, pas vous. Si les données salariales d'un employé sont exposées, signalez-le. Si vous stockez des mots de passe en texte clair et qu'ils fuient, signalez-le. Le silence aggrave la violation. Consultez un avocat si vous doutez du seuil des 72 heures.
- Conserver indéfiniment les CV sans objectif déclaré viole la revLPD
- Ne pas signaler une violation est illégal et aggrave la violation initiale
- Supposer 'que ce n'est pas grave' coûte plus que la divulgation rapide
- Ne jamais décider seul de la gravité d'une violation—l'EDÖB décide
- Le logiciel de recrutement doit avoir des clauses explicites de protection des données
- Documenter votre politique de conservation et la respecter, sinon l'EDÖB vous trouvera non conforme
Questions fréquentes
- Ai-je besoin d'approbation de l'EDÖB avant de commencer à recruter?
- Non. Vous ne demandez pas la permission de l'EDÖB avant de traiter les données personnelles. La revLPD est fondée sur des principes : vous devez respecter les bonnes pratiques vous-même. L'EDÖB n'enquête qu'après une plainte ou un signalement.
- Combien de temps puis-je conserver le CV d'un candidat rejeté?
- Selon la revLPD : pas plus longtemps que nécessaire pour le recrutement. Bonne pratique : supprimer après 6–12 mois, sauf si le candidat a accepté que vous le conserviez pour les postes futurs. Documentez votre politique et appliquez-la uniformément.
- Que se passe-t-il si je ne signale pas une violation de données à l'EDÖB?
- Vous risquez des amendes jusqu'à CHF 250'000 et des mesures de contrainte. L'EDÖB peut aussi émettre des avis publics, endommageant votre réputation. Les personnes affectées peuvent aussi vous poursuivre séparément en dommages-intérêts.
Informations générales pour les employeurs suisses, pas un conseil juridique. Faites valider par un juriste tout ce qui a des conséquences légales.