D’abord la distinction. En Suisse, la loi fédérale révisée sur la protection des données (LPD) s’applique depuis le 1er septembre 2023. Le RGPD s’y ajoute lorsque votre entreprise traite les données de personnes se trouvant dans l’UE et que votre offre vise délibérément ce marché. Les deux corpus de règles ne s’excluent pas, ils peuvent s’appliquer en parallèle. Ce que cela signifie en recrutement fait l’objet d’un article distinct. Dans l’autre sens, la situation est apaisée : dans son rapport du 15 janvier 2024, la Commission européenne a confirmé que le droit suisse de la protection des données correspond toujours au standard européen. Les données peuvent donc être transmises de l’UE vers la Suisse sans garanties supplémentaires.
Le RGPD expliqué en bref
Le Règlement général sur la protection des données (RGPD) est la réglementation centrale concernant le traitement des données personnelles dans l’UE. Il définit comment les données doivent être traitées, stockées et supprimées, dans le but de protéger la vie privée des personnes physiques. Ceci est un sujet crucial, notamment dans le recrutement, où des informations sensibles sont traitées quotidiennement.
Principes clés du RGPD :
- Droit d’accès, de rectification et d’effacement
- Privacy by Design : la protection des données est intégrée dès la conception des systèmes.
- Privacy by Default : la protection des données est activée par défaut, sans intervention de l’utilisateur.
- Limitation des finalités et de la durée de conservation : les données de candidature ne peuvent être conservées que le temps nécessaire.
Données personnelles
Mais qu’entend-on exactement par données personnelles ? Et combien de temps peuvent-elles être conservées ? Les données personnelles désignent toute information se rapportant à une personne physique identifiée ou identifiable. En d’autres termes, toute donnée pouvant être attribuée, directement ou indirectement, à une personne, comme le nom, le numéro de téléphone ou les coordonnées bancaires. On distingue les données personnelles ordinaires et les données sensibles : ces dernières, telles que les données génétiques, biométriques ou ethniques, bénéficient d’un niveau de protection plus élevé. Les données personnelles ne peuvent être conservées que tant qu’elles remplissent leur finalité, conformément au principe de limitation de la conservation. Cela s’applique aussi, par exemple, aux candidatures : le traitement des données personnelles des candidats issus de l’UE relève du RGPD.
Le RGPD en Suisse : qui est concerné ?
En Suisse, la loi fédérale sur la protection des données (LPD) s’applique en principe. Cependant, les entreprises suisses doivent également tenir compte du RGPD, en particulier si elles entretiennent des relations commerciales avec l’UE selon le principe du lieu de marché. Les processus internes, contrats, politiques et déclarations de confidentialité doivent être examinés avec soin. La conséquence : dès qu’une entreprise suisse collecte et traite des données personnelles de personnes physiques issues de l’UE, elle doit se conformer au RGPD européen. Cela concerne notamment les biens et/ou services ainsi que le comportement des personnes concernées. L’entreprise dispose-t-elle d’une succursale dans l’Union européenne ? Un client se trouve-t-il dans l’UE ? Ou une entreprise suisse traite-t-elle des données personnelles pour le compte d’une entreprise basée dans l’UE ? Dans ces cas également, les règles du RGPD s’appliquent à votre entreprise.
L’entreprise suisse est-elle concernée par le RGPD parce qu’elle a une intention claire de commerce ? Alors les obligations suivantes s’appliquent :
- Informer la personne concernée et obtenir son consentement au traitement des données
- Garantir les principes de « Privacy by Design » et « Privacy by Default »
- Nommer un délégué à la protection des données dans l’UE
- Établir un registre des activités de traitement
- Signaler les violations de données à l’autorité de contrôle
- Réaliser une analyse d’impact relative à la protection des données (AIPD)
Délégués à la protection des données en Suisse pour le RGPD
Qu’ils soient internes ou externes : une personne compétente en protection des données est précieuse, surtout en recrutement. Elle peut définir, contrôler et coordonner les processus nécessaires. Si votre entreprise est soumise au RGPD, elle doit également disposer d’un représentant officiel situé dans un État membre de l’UE, qui servira de point de contact pour les autorités de contrôle et les personnes concernées.
Infractions au RGPD : sanctions élevées possibles
Le RGPD prévoit des sanctions sévères en cas de non-respect. En cas de violation grave, des amendes pouvant atteindre 4 % du chiffre d’affaires mondial annuel ou 20 millions d’euros peuvent être infligées, selon le montant le plus élevé.
Ce n’est pas une théorie. Ce qui a été tranché jusqu’ici en matière de recrutement relevait toutefois moins des grandes amendes des autorités de contrôle que d’actions en dommages et intérêts intentées par des candidats.
Deux exemples allemands. Dans le premier, une banque a envoyé via un réseau professionnel un message concernant la candidature en cours d’un candidat et l’a transmis, par une erreur de traitement, à une personne étrangère au dossier travaillant dans la même branche. La Cour fédérale de justice a reconnu au candidat le principe d’une indemnisation pour préjudice moral.[1]
Dans le second, une université a recherché un candidat sur Google avant l’entretien, a trouvé des informations sur une procédure pénale et les a fait entrer dans sa décision sans l’en informer. Le Tribunal fédéral du travail lui a accordé 1000 euros. La recherche sur les candidats était en soi licite ; ce qui a été violé, c’est l’obligation d’informer sur les données ainsi obtenues.[2]
Il s’agit dans les deux cas de décisions allemandes rendues sur la base du RGPD, qui ne sont pas du droit directement applicable pour les entreprises suisses. Elles restent un indice utile : ce n’est pas la déclaration de confidentialité qui a fait défaut, mais une information qui n’a pas été donnée.
Cet article situe les principales obligations et ne remplace pas un conseil juridique. La manière dont les règles s’appliquent dans votre entreprise dépend du cas d’espèce.
Conclusion : le RGPD concerne aussi les entreprises suisses
La question de savoir si le RGPD s’applique à votre entreprise ne se règle pas au siège social, mais selon les données que vous traitez et le marché que vise votre offre. Ce n’est pas une question à trancher en passant.
Ce qu’il faut en retenir : faites vérifier par une experte ou un expert en protection des données si votre entreprise entre dans le champ d’application. Si c’est le cas, examinez d’abord les processus où naissent les données des candidats et où elles restent. C’est là que se produisent les erreurs, pas dans la déclaration de confidentialité.
Notre solution d’e-recrutement couvre tous les processus, de la candidature à la suppression, en conformité avec le RGPD : gestion du consentement, communication transparente et délais de suppression automatisés.
Testez dès maintenant la simplicité d’un recrutement conforme à la protection des données !
[1] Indemnisation après la transmission par erreur d’une candidature à un tiers : arrêt de la Cour fédérale de justice allemande du 23 juin 2026, VI ZR 97/22.
[2] La recherche en ligne sur les candidats est licite, mais l’information à ce sujet est obligatoire : arrêt du Tribunal fédéral du travail allemand du 5 juin 2025, 8 AZR 117/24.