Logiciels RH et protection des données en Suisse : cloud, LPD et RGPD

Logiciel RH en tant que service cloud : quand la LPD s’applique

Les logiciels RH fonctionnent généralement sous forme de service cloud : un prestataire met à disposition, à la demande et via un réseau (par exemple Internet), des applications, des logiciels, de la capacité de stockage et de la puissance de calcul. Le droit de la protection des données s’applique dès que des données personnelles transitent vers le cloud (PFPDT).

Ce qui compte n’est pas le produit logiciel en soi, mais le traitement des données qu’il permet. Exemples cités par le PFPDT : outils Office 365 pour la collaboration en ligne, gestion en ligne d’adresses e-mail, CRM en ligne et téléchargement de fichiers sur un serveur accessible via Internet.

Il en va de même pour les solutions RH dédiées à l’administration du personnel, à la gestion des candidatures et à la saisie du temps de travail. Dès lors que des données concernant des collaboratrices et collaborateurs, des candidates et candidats ou d’ancien·nes salarié·es se trouvent dans le cloud, la LPD est applicable – indépendamment du fait que l’offre soit commercialisée comme suite RH ou plateforme.

Le PFPDT identifie trois aspects : le recours à des sous-traitants et sous-sous-traitants, la sécurité du traitement des données et le transfert de données personnelles vers des États tiers. Ils constituent la grille des obligations.

L’autorité compétente est le Préposé fédéral à la protection des données (PFPDT). Il publie les indications relatives au cloud computing, dont découlent ces trois aspects, et renvoie, pour les questions ponctuelles, à ses explications sur l’externalisation/le traitement sur mandat et la communication de données à l’étranger.

Obligations légales : art. 9 LPD pour le traitement sur mandat, art. 13 de la Constitution fédérale pour le droit à la protection. Le destinataire est l’employeur en tant qu’utilisateur du cloud, non le prestataire.

Pour les logiciels RH, les obligations découlant de la LPD peuvent être nommées. Elles incluent la protection des données dès la conception et par des paramètres par défaut respectueux de la vie privée, la sécurité des données, le traitement sur mandat, le conseiller à la protection des données et le registre des traitements.

S’y ajoutent l’obligation d’informer, l’analyse d’impact relative à la protection des données, la notification des violations de la sécurité des données au PFPDT ainsi que le droit d’accès, la remise des données et la portabilité. Elles incombent à l’employeur pour les données de candidature, de personnel et de saisie du temps.

L’art. 13 Cst. fonde un droit à la protection de la sphère privée ; il ne constitue pas une obligation au sens de la LPD. Les obligations envers les candidates et candidats, les collaboratrices et collaborateurs et les ancien·nes salarié·es figurent dans la LPD elle-même.

Les données personnelles sont des informations relatives à une personne déterminée ou déterminable. La personne concernée est celle sur laquelle portent les traitements. Le terme « traiter » englobe toute opération : conservation, communication, obtention, suppression, enregistrement, modification, destruction, utilisation.

Selon l’art. 13 Cst., toute personne a droit à la protection de sa sphère privée et à être protégée contre l’usage abusif de ses données personnelles. Les candidates et candidats, les collaboratrices et collaborateurs et les ancien·nes salarié·es sont des personnes concernées disposant de droits propres face à l’employeur.

Cercle d’obligations lors de l’utilisation de logiciels RH dans le cloud

Rôles et traitement sur mandat : ce qu’il faut sécuriser contractuellement

Selon le PFPDT, le prestataire cloud agit généralement en tant que sous-traitant du client (art. 9 LPD). Le client – l’entreprise qui engage – peut être responsable du traitement ou agir lui-même comme sous-traitant.

En tant que responsable, il est tenu de veiller à ce que les traitements effectués par le prestataire soient conformes à la protection des données et ne portent pas atteinte aux droits des personnes concernées. Il doit s’assurer et garantir contractuellement que le traitement sur mandat respecte l’art. 9 LPD.

Le contrat de traitement sur mandat définit clairement l’objet et la finalité et lie le prestataire aux instructions. Les sous-traitants nécessitent une clause d’autorisation préalable et doivent reprendre les mêmes obligations.

Si le prestataire fait appel à des sous-traitants, l’employeur reste responsable du respect de l’art. 9 LPD. La clause d’autorisation préalable et la transmission des obligations sont des éléments contractuels impératifs.

Il convient également de régler les mesures techniques et organisationnelles de sécurité, les obligations de notification en cas d’incidents de sécurité, les accès liés au support et à la maintenance ainsi que la restitution et la suppression à la fin du contrat. Il faut clarifier ouvertement qui intervient lorsqu’une personne concernée exige l’accès ou la suppression ; le PFPDT renvoie à ses explications sur l’externalisation.

Le contrat de traitement sur mandat n’est pas une simple question informatique pour le département RH. Quiconque confie des données de candidature, de personnel et de saisie du temps à un cloud doit connaître les obligations découlant de l’art. 9 LPD et pouvoir en prouver le respect.

Le PFPDT résume les obligations de l’utilisateur du cloud : il doit s’assurer et garantir contractuellement que le traitement sur mandat respecte les prescriptions de l’art. 9 LPD. En cas de communication de données à l’étranger, il faut examiner au préalable si celle-ci est licite.

Le client peut être responsable du traitement ou agir lui-même comme sous-traitant. Dans ce rôle, il doit respecter les prescriptions définies par le responsable du traitement pour ses propres traitements. Dans les structures de groupe, le département RH peut lui-même endosser ce rôle.

Un registre des traitements doit être tenu. Toute entreprise utilisant un logiciel RH doit y inscrire les traitements des données de candidature, de personnel et de saisie du temps.

La protection des données dès la conception et par des paramètres par défaut respectueux de la vie privée, ainsi que la sécurité des données, restent des obligations de l’employeur, même si le traitement technique incombe au prestataire.

Communication de données à l’étranger : le point le plus délicat des clouds RH

Le PFPDT souligne qu’il convient, avant toute communication de données personnelles à l’étranger dans le cadre de services cloud, de vérifier si celle-ci satisfait aux exigences légales.

Dans la pratique RH, plusieurs configurations sont pertinentes : centres de données situés hors de Suisse, accès de support et de maintenance depuis l’étranger, ainsi qu’accès par la société mère ou des filiales à l’étranger. Ce qui compte n’est pas seulement le lieu de stockage, mais aussi qui peut accéder aux données et depuis quel pays.

Convotis renvoie à l’arrêt Schrems II de la Cour de justice de l’Union européenne : selon cet arrêt, les États-Unis n’offrent pas un niveau de protection adéquat. Les autorités européennes de protection des données ont par conséquent interdit l’utilisation de certains services cloud américains, tels que Mailchimp, lorsque des données à caractère personnel y sont traitées aux États-Unis.

En Suisse, la situation juridique n’est pas définitivement clarifiée, selon Convotis ; le PFPDT recommande une analyse des risques rigoureuse. Concernant le CLOUD Act américain, Convotis précise que les autorités américaines peuvent accéder aux données même si celles-ci se trouvent physiquement dans l’UE ou en Suisse – sans informer les personnes concernées.

Pour le PFPDT, le transfert de données personnelles vers des États tiers constitue un aspect propre du droit de la protection des données dans les services cloud. Avant chaque communication à l’étranger, il faut vérifier si elle est licite ; pour les clouds RH, cela concerne autant les données de candidature que les données de personnel.

Cet examen incombe à l’employeur en tant qu’utilisateur du cloud, non au prestataire. Pour l’appréciation, le PFPDT renvoie à ses explications sur la communication de données à l’étranger.

Chiffrement : un moyen efficace aux limites claires

Le chiffrement protège de manière fiable tant que les données sont uniquement stockées. Convotis souligne que le chiffrement de bout en bout peut empêcher les accès non autorisés, mais qu’il reste efficace uniquement pour le stockage pur (« data at rest »).

Dès que les données sont traitées, analysées ou agrégées dans le cloud à des fins d’analyses, elles se présentent en clair et sont consultables. Dans de nombreux cas d’usage RH, c’est la norme : analyses, reporting, regroupement des données de candidature et de personnel.

Le chiffrement n’est donc pas un remède contre les droits d’accès extraterritoriaux, mais une brique parmi d’autres. Il devient efficace grâce au choix du lieu de stockage et de traitement, à la structuration contractuelle avec le prestataire et à un concept d’autorisations qui limite les accès aux fonctions réellement nécessaires.

Le PFPDT cite la sécurité du traitement des données comme un aspect propre des services cloud. Le seul chiffrement ne suffit pas à le couvrir ; il englobe également les traitements que le prestataire effectue pour le compte du client.

Le chiffrement sert la sécurité des données. Selon Convotis, il ne reste efficace que pour le stockage pur et constitue dès lors une mesure parmi d’autres.

Hébergement en Suisse : la souveraineté des données comme réduction des risques

Selon Convotis, un cloud privé offre une infrastructure contrôlée et dédiée, souvent dans un centre de données local ou national.

Comme avantages, le prestataire cite la sécurité juridique grâce au stockage et au traitement en Suisse ou dans l’UE conformément aux lois locales sur la protection des données, un contrôle total des données sans droits d’accès extraterritoriaux tels que ceux prévus par le CLOUD Act, ainsi que des mesures de sécurité adaptables individuellement. InvestGlass avance le même argument : la souveraineté des données et l’hébergement suisses sur place ou dans un cloud suisse peuvent dissiper les inquiétudes liées aux transferts transfrontaliers de données.

L’hébergement suisse ne rend pas à lui seul une solution RH conforme à la LPD. C’est l’une des plusieurs mesures et elle doit être combinée avec le traitement sur mandat selon l’art. 9 LPD, un concept d’autorisations et un concept de suppression. Si un accès de support ou de maintenance depuis l’étranger reste possible, l’emplacement du centre de données ne constitue qu’une partie de la réponse à la question de la communication de données à l’étranger.

L’hébergement suisse couvre le lieu de stockage, pas l’accès. Le PFPDT cite le traitement sur mandat, la sécurité du traitement des données et la communication de données à l’étranger comme les trois aspects déterminants – un centre de données en Suisse ne répond qu’à une partie de la problématique.

Avantages et risques de l’hébergement suisse pour les logiciels RH

Lorsque le RGPD s’applique en plus : doubles obligations

Les entreprises suisses employant du personnel dans l’UE ou recevant des candidatures provenant d’États de l’UE doivent également respecter le RGPD. Convotis rappelle qu’environ 20 % des données personnelles traitées en Suisse proviennent de citoyens de l’UE ; quiconque traite de telles données doit se conformer aux prescriptions européennes.

La différence centrale réside dans les bases légales. Contrairement au RGPD, la LPD suisse ne prévoit en principe pas qu’une base légale soit indiquée pour le traitement de données personnelles. Le RGPD l’exige – les bases usuelles sont le consentement, l’exécution du contrat, l’obligation légale ou les intérêts vitaux.

Pour la pratique RH, il en découle : quiconque traite des candidatures en provenance de l’UE ou emploie du personnel dans l’UE doit respecter la règle plus stricte. Les déclarations de confidentialité des prestataires suisses énumèrent séparément les bases légales selon l’art. 6 al. 1 RGPD : consentement, exécution du contrat, obligation légale et intérêts vitaux.

Pour les logiciels RH, ces bases doivent être désignées selon la finalité du traitement, donc séparément pour la candidature, l’administration du personnel et la saisie du temps.

Contrairement au RGPD, la LPD suisse ne prévoit en principe pas l’indication d’une base légale. À sa place interviennent les obligations découlant de la LPD. L’employeur doit les respecter pour chaque traitement.

LPD suisse vs RGPD de l’UE : différences dans le traitement des données RH

Chiffres sur le traitement des données en Suisse et dans l’espace UE

Droit d’accès, rectification, suppression et sécurité au quotidien RH

Le PFPDT souligne expressément que les droits des personnes concernées ne doivent pas être amoindris par l’externalisation auprès d’un prestataire cloud. Les responsables RH doivent préserver ces droits ; pour ce faire, les RH et le prestataire doivent savoir où se trouvent quelles données.

Les déclarations de confidentialité indiquent que les prestataires s’efforcent de protéger les bases de données contre les accès étrangers, les pertes, les usages abusifs ou la falsification. Une protection totale contre les tiers n’est pas possible. Les promesses de sécurité dans les projets RH devraient donc être formulées avec retenue – envers la direction et les collaboratrices et collaborateurs.

Les déclarations de confidentialité contiennent des sections propres aux mesures de sécurité, aux transferts internationaux de données, à la suppression des données et aux droits des personnes concernées. Ces quatre thèmes font partie de tout projet de logiciel RH traitant des données personnelles de candidates et candidats et de collaboratrices et collaborateurs.

La transparence commence par la question de savoir quelles données sont traitées, à quelles fins et dans quelle mesure. Les catégories typiques dans les logiciels RH sont les données de candidature, les données des employés, les données de contact, les données de contenu, les données contractuelles et les données d’utilisation.

Le droit d’accès ainsi que la remise et la portabilité des données sont des droits des personnes concernées. L’employeur doit satisfaire à ces droits envers les candidates et candidats, les collaboratrices et collaborateurs et les ancien·nes salarié·es.

L’obligation d’informer exige que les personnes concernées soient informées du traitement de leurs données dans le logiciel RH.

La notification des violations de la sécurité des données au PFPDT incombe à l’employeur en tant qu’utilisateur du cloud, non au prestataire.

Questions de contrôle pour le choix et l’exploitation d’une solution RH

Lieu et accès : où les données sont-elles stockées, et depuis quels pays peut-on y accéder – également pour le support et la maintenance ?

Contrat : existe-t-il un contrat de traitement sur mandat reflétant l’art. 9 LPD, incluant la réglementation des sous-traitants ? Étranger : une communication à l’étranger a-t-elle lieu, et comment a-t-elle été évaluée ?

Technique et organisation : comment le chiffrement, les autorisations, la journalisation et la suppression sont-ils réglés ? Documentation : qui a réalisé l’analyse des risques, où est-elle consignée, et à quel rythme est-elle revue ?

Comme bases de référence, on dispose du mémo actualisé de privatim « Risques et mesures spécifiques au cloud » (2022) ainsi que des explications du PFPDT sur le cloud computing, le traitement sur mandat et la communication de données à l’étranger.

Les questions de contrôle peuvent être rattachées aux trois aspects du PFPDT : traitement sur mandat et sous-traitance, sécurité du traitement des données et communication de données à l’étranger. Le contrat et l’étranger concernent le premier et le troisième aspect, la technique et la documentation le deuxième.

La responsabilité de l’examen reste à l’utilisateur du cloud, donc à l’employeur : il doit s’assurer et garantir contractuellement que le traitement sur mandat correspond à l’art. 9 LPD. Le PFPDT mentionne expressément cette obligation.

Une analyse d’impact relative à la protection des données et le rôle du conseiller à la protection des données doivent être clarifiés avant le déploiement d’une solution RH.