RGPD et nLPD en ressources humaines : les risques de non-conformité en France et en Suisse
En 2025, la CNIL a prononcé pour **486,8 millions d’euros d’amendes** en France, et selon son bilan publié en février 2026, les cookies, la surveillance des salariés et la sécurité des données figurent parmi les trois grands sujets de sanction.
En Suisse, la nLPD impose depuis le 1er septembre 2023 des règles souvent plus strictes que le RGPD sur un point précis : la surveillance des employés avec, en toile de fond, une responsabilité pénale qui vise désormais le dirigeant personnellement.
Autrement dit : la fonction RH n’est pas un angle mort marginal de la conformité des données. C’est l’un de ses terrains les plus sanctionnés, en France comme en Suisse.
Pourtant, dans la plupart des entreprises, la conformité des données RH reste vérifiée une fois par an, lors d’un audit puis oubliée jusqu’au prochain contrôle, ou jusqu’à la plainte d’un salarié.
Le risque RGPD RH en France : un terrain déjà largement sanctionné
Trois raisons structurelles expliquent pourquoi le risque RGPD est particulièrement élevé en ressources humaines.
Un déséquilibre de pouvoir qui rend le consentement quasi inopérant.
Un salarié ne peut pas vraiment refuser librement que son employeur traite ses données : le lien de subordination rend ce consentement juridiquement fragile. La conformité RH ne peut donc pas reposer sur le consentement comme base légale principale, contrairement à ce que font beaucoup d’entreprises par réflexe.
Une masse de données particulièrement sensibles.
Les dossiers RH concentrent des données de santé (arrêts maladie, visites médicales, handicap…), des données fiscales et bancaires (paie, avances, prêts…), parfois des données d’opinion ou d’appartenance syndicale.
Une surveillance omniprésente et rarement documentée.
Badges d’accès, vidéosurveillance, logiciels de suivi d’activité, boîtes mail professionnelles : la CNIL est explicite sur un point souvent ignoré les journaux de badgeage doivent en principe être conservés trois mois maximum, sauf justification spécifique documentée.
Le « Guide RGPD du recrutement », publié par la CNIL depuis 2020, s’est traduit par des sanctions bien réelles :
Spartoo (250 000 €, données de candidats et de salariés),
Cdiscount (230 000 €),
JobTeaser (200 000 €, plateforme de recrutement)
pap.fr (30 000 €, 2024).
Ces montants montrent que la CNIL sanctionne des entreprises de tailles très différentes pas seulement les grands groupes technologiques.
Le risque nLPD RH en Suisse :
une réglementation par endroits plus stricte que le RGPD
Côté suisse, trois textes se combinent, et leur articulation surprend souvent les directions RH habituées au seul RGPD.
L’article 328b du Code des obligations limite le traitement des données d’un collaborateur à ce qui concerne son aptitude à occuper le poste ou ce qui est nécessaire à l’exécution du contrat de travail pour tout le reste, c’est la nLPD qui s’applique. Selon la jurisprudence du Tribunal fédéral, cette règle s’applique même avant l’embauche : un employeur ne peut pas poser à un candidat des questions sur sa situation personnelle sans lien avec le poste à pourvoir.
L’article 26 de l’Ordonnance 3 relative à la loi sur le travail (OLT 3) va plus loin que le RGPD sur un point précis :
il interdit catégoriquement les systèmes de surveillance destinés à observer en continu le comportement ou la performance des employés une interdiction de principe, là où le RGPD autorise ce type de surveillance sous certaines conditions d’information et de proportionnalité.
Une entreprise habituée au cadre RGPD peut donc, sans le savoir, être en infraction plus grave en Suisse avec le même outil de suivi d’activité.
L’article 8 de la nLPD, enfin, impose à l’employeur une obligation positive de former ses collaborateurs au traitement des données personnelles, à hauteur du risque et de la sensibilité des données concernées, une obligation qui ne se limite pas à rédiger une politique de confidentialité, mais qui exige une formation effective et démontrable.
À cela s’ajoute un fait déjà largement sous-estimé par les dirigeants suisses : en cas de manquement caractérisé, la nLPD prévoit une amende pénale pouvant atteindre CHF 250 000 non pas à l’encontre de l’entreprise, mais à l’encontre du dirigeant ou du responsable RH identifié, nommément.
Recrutement :
les mêmes pièges des deux côtés de la frontière
En France comme en Suisse, le recrutement concentre une part disproportionnée du risque : questions non pertinentes posées aux candidats, données de candidatures conservées sans limite après un refus, absence de base légale claire pour le tri automatisé des CV. Les sanctions françaises citées plus haut (Spartoo, Cdiscount, JobTeaser) portent précisément sur ce type de manquement et l’article 328b CO impose la même discipline côté suisse, avec un effet rétroactif dès la phase de candidature.
Une double, voire triple exposition pour les entreprises actives des deux côtés de la frontière
De nombreuses entreprises suisses notamment en Suisse romande emploient ou recrutent des collaborateurs résidant en France ou ailleurs dans l’Union européenne. Dans ce cas, le RGPD s’applique en plus de la nLPD, du seul fait de la portée extraterritoriale du règlement européen. Une organisation peut alors être exposée simultanément à une amende RGPD au niveau de l’entreprise et à une sanction pénale nLPD au niveau individuel, pour un seul et même incident de gouvernance RH défaillante.
En France, une exposition supplémentaire est apparue depuis août 2025 : la CNIL est désormais aussi l’autorité chargée de faire respecter l’AI Act européen pour les systèmes d’IA à haut risque utilisés en ressources humaines tri automatisé de CV, notation de candidats, scoring. Un outil de recrutement entièrement automatisé, sans validation humaine documentée, cumule aujourd’hui le risque RGPD et le risque AI Act.
Pourquoi Symbiocratie / DEMS-NIXUS élimine les risques à la racine, en France comme en Suisse
La plupart des outils RH traitent la conformité comme une case à cocher après coup : un audit trimestriel, un rapport PDF, une alerte tardive et rarement une lecture combinée RGPD et nLPD.
Symbiocratie / DEMS-NIXUS fonctionne différemment, parce que sa gouvernance est sémantique. Le système comprend la nature de chaque donnée RH, son type, sa sensibilité, sa base légale, sa durée de conservation autorisée, et le cadre juridique applicable (français, européen ou suisse), plutôt que de se contenter d’un contrôle mécanique après coup.
Concrètement, cela se traduit par trois garanties directement liées aux risques décrits plus haut :
Une conformité vérifiée en continu, pas lors d’un audit annuel.
Le système maintient un taux de conformité de 100 %, 24 heures sur 24, et détecte automatiquement les données conservées au-delà des durées légales, badges, dossiers de candidats, données de santé, avant qu’un contrôle de la CNIL ou du PFPDT ne le fasse.
Une gouvernance qui comprend les catégories de données sensibles et leur cadre juridique.
La cartographie sémantique distingue une donnée de paie, une donnée de santé ou une donnée de surveillance, et applique les règles propres à chacune y compris l’interdiction suisse de surveillance comportementale continue (OLT 3, art. 26), plus stricte que le RGPD sur ce point précis.
Une IA qui respecte l’exigence de supervision humaine.
Le principe fondateur du système, l’IA outille la décision, l’humain la valide, correspond précisément à l’exigence de supervision humaine que l’AI Act impose désormais aux systèmes RH à haut risque en France, et à la logique de contrôle humain que les autorités suisses attendent implicitement pour tout traitement automatisé de données de collaborateurs.
Questions fréquentes
Quelles sont les données RH les plus à risque au regard du RGPD et de la nLPD ?
Les données de santé, les données de surveillance (badges, vidéosurveillance, logiciels de suivi), et les données de recrutement conservées au-delà de la durée nécessaire figurent parmi les catégories les plus fréquemment sanctionnées, en France comme en Suisse.
La Suisse est-elle plus stricte que la France sur la surveillance des salariés ?
Sur un point précis, oui : l’article 26 de l’Ordonnance 3 relative à la loi sur le travail interdit catégoriquement les systèmes de surveillance comportementale continue des employés, là où le RGPD autorise ce type de surveillance sous conditions d’information et de proportionnalité.
Une entreprise suisse doit-elle appliquer le RGPD pour ses salariés ou candidats français ?
Oui, dès lors qu’elle traite des données de résidents de l’Union européenne, y compris des salariés ou des candidats indépendamment de son siège social en Suisse. Elle doit alors respecter simultanément le RGPD et la nLPD.
Qui risque une sanction personnelle en cas de non-conformité RH en Suisse ?
Le dirigeant ou le responsable RH identifié comme fautif peut faire l’objet d’une amende pénale personnelle allant jusqu’à CHF 250 000 en application de la nLPD, indépendamment de toute sanction visant l’entreprise elle-même.
Un outil de tri de CV par intelligence artificielle est-il concerné par l’AI Act ?
En France, oui : depuis août 2025, la CNIL contrôle également le respect de l’AI Act pour les systèmes d’IA à haut risque utilisés en ressources humaines, notamment le tri de CV et le scoring de candidats, qui doivent démontrer une supervision humaine effective.
En résumé
Les données RH concentrent la plupart des risques structurels de non-conformité, en France comme en Suisse : déséquilibre de consentement, données sensibles, surveillance mal documentée et, selon le pays, une double exposition RGPD/AI Act ou une responsabilité pénale personnelle du dirigeant. Symbiocratie / DEMS-NIXUS répond aux deux cadres réglementaires à la fois, avec une conformité vérifiée en continu plutôt qu’un audit ponctuel.
Pour réaliser un état des lieux concret de votre exposition RGPD et nLPD en matière RH,
contactez Didier Reinach La Machina, partenaire officiel de DEMS-NIXUS™
didier@la-machina.xyz*
Sources
– [RGPD 2025 : 1,15 Md€ d’amendes – Bilan et perspectives 2026, RGPD Kit](https://www.rgpdkit.fr/blog/rgpd-2025-bilan-amendes-cnil-2026)
– [Sanctions et mesures correctrices : la CNIL publie le bilan 2025, Actecil Academy](https://actecil-academy.eu/actualites-evenements/sanctions-cnil-2025/)
– [RGPD et ressources humaines : guide employeur 2026, Legiscope](https://www.legiscope.com/blog/rgpd-ressources-humaines-employeurs.html)
– [Ressources humaines, CNIL](https://www.cnil.fr/fr/mots-cles/ressources-humaines)
– [Le devoir de formation et de surveillance de l’employeur sous l’angle de la nLPD, swissprivacy.law](https://swissprivacy.law/203/)
– [Traitement des données par l’employeur, PFPDT](https://www.edoeb.admin.ch/fr/traitement-des-donnees-par-lemployeur)
– [328b CO – Le droit du travail et de la protection des données en Suisse](https://droitdutravailensuisse.com/tag/328b-co/)
– Fiche officielle du projet DEMS-Nixus, portail CORDIS de la Commission européenne — https://cordis.europa.eu/project/id/871647/fr
