Ordonnance de la FINMA du 25 août 2021 sur la protection des données personnelles de son personnel (Ordonnance sur les données du personnel de la FINMA)

La présente ordonnance règle le traitement, par la FINMA, des données personnelles des candidats, des collaborateurs, des anciens collaborateurs et des apprentis (données du personnel).

 La division Ressources humaines est responsable des données du personnel ainsi que de leur traitement.

 La division Technologies de l’information et de la communication assure l’exploitation technique des systèmes d’information.

 La direction de la FINMA fixe dans un règlement:

1. a.

   les mesures techniques et organisationnelles requises pour garantir la sécurité des données;

2. b.

   le contrôle du traitement des données;

3. c.

   les droits d’accès et de lecture des différentes catégories de collaborateurs de la FINMA.

 Les données du personnel sur support papier doivent être conservées sous clef.

 Les collaborateurs de la FINMA chargés du traitement des données prennent des mesures techniques et organisationnelles propres à garantir la sécurité des données du personnel dans leur domaine d’activité.

Les personnes concernées peuvent exercer leur droit d’accès, de rectification et d’effacement auprès de la division Ressources humaines.

 La division Ressources humaines informe préalablement les collaborateurs dont les données liées à l’activité professionnelle sont publiées sur Intranet, dans un organe de publication interne ou sur un tableau d’affichage. Les données sensibles ne sont pas publiées.

 L’information porte sur la nature de la publication prévue et mentionne que les collaborateurs qui s’opposent à la publication peuvent le signifier à tout moment par écrit.

 Des données du personnel ne peuvent être communiquées à des tiers, notamment à de nouveaux employeurs qu’avec le consentement écrit de la personne concernée ou si une base légale le prévoit.

Les candidats remettent leur candidature sous forme électronique.

Le dossier de candidature peut contenir les données indiquées à l’annexe 1.

 La division Ressources humaines et les personnes responsables du recrutement traitent les données des dossiers de candidature dans la mesure où cela se révèle nécessaire pour mener à bien la procédure de recrutement.

 À la fin de la procédure de recrutement, les données des candidats engagés sont transférées dans leur dossier personnel et dans les systèmes d’information pour la gestion des données du personnel.

 Les données des candidats qui ne sont pas engagés par la FINMA sont détruites au plus tard trois mois après la clôture de la procédure de recrutement. Le délai de conservation peut être prolongé si les données sont nécessaires au traitement de recours selon l’art. 13, al. 2, de la loi du 24 mars 1995 sur l’égalité¹. Sont réservés les accords spéciaux conclus avec les candidats.

 Les clarifications suivantes requièrent le consentement exprès du candidat:

1. a.

   la réalisation de tests de personnalité et d’intégrité;

2. b.

   l’obtention de références.

 Avant d’effectuer des tests de personnalité ou d’intégrité, les candidats doivent être informés:

1. a.

   du but des tests;

2. b.

   de l’usage qui sera fait des résultats des tests;

3. c.

   du cercle des personnes qui seront informées des résultats des tests.

 Les tests d’intégrité ne sont réalisés que s’ils sont nécessaires à la protection des intérêts de la FINMA.

Le système d’information pour le recrutement des collaborateurs (système d’information E-Recrutement) sert à mettre au concours des postes et à réaliser le processus de candidature par voie électronique.

Le système d’information E-Recrutement comprend les postes à mettre au concours ainsi que les informations nécessaires et les données des dossiers de candidature conformément à l’annexe 1.

La division Ressources humaines octroie au cas par cas les droits d’accès aux personnes responsables du recrutement.

Le dossier du personnel peut contenir les données indiquées à l’annexe 2.

 La division Ressources humaines et les supérieurs hiérarchiques traitent les données des dossiers du personnel dans la mesure où l’exécution de leurs tâches l’exige.

 Les divisons Audit interne et Droit et compliance traitent les données en fonction du cas et dans la mesure où l’exécution de leurs tâches l’exige. Le droit de consulter ces données est octroyé par la division Ressources humaines au cas par cas.

 Les données du dossier du personnel sont conservées durant les dix ans qui suivent la fin des rapports de travail, puis détruites.

 Les résultats des tests de personnalité et d’intégrité, de même que les évaluations du potentiel, sont conservés durant cinq ans après obtention des données, puis détruits.

 Les évaluations de prestations et les décisions reposant sur ces évaluations ainsi que les données sur la santé, sur les mesures sociales et sur les mesures administratives, de poursuite et pénales sont conservées au maximum durant les cinq ans qui suivent la fin des rapports de travail, puis détruites.

 Les données visées à l’al. 3 peuvent, à titre exceptionnel, être conservées plus longtemps si un litige concernant les droits découlant des rapports de travail le justifie. Dans de tels cas, elles sont conservées au plus jusqu’à la fin de la procédure, puis détruites.

Le système d’information concernant les dossiers du personnel (système d’information E-Dossier personnel) sert à la gestion, à l’exploitation et à l’archivage électroniques des données du personnel.

Les données du personnel peuvent être transférées de manière automatisée des systèmes d’information pour la gestion des données du personnel au système d’information E-Dossier personnel via des interfaces.

Les droits d’accès sont octroyés comme suit:

1. a.

   la division Ressources humaines a un droit d’accès à tous les dossiers du personnel;

2. b.

   les collaborateurs ont un droit d’accès à leur propre dossier personnel;

3. c.

   les supérieurs hiérarchiques ont un droit d’accès aux données des dossiers du personnel de leurs collaborateurs nécessaires à l’exécution de leurs tâches.

Les systèmes d’information pour la gestion des données du personnel servent à gérer et exploiter ces données dans les domaines suivants:

1. a.

   recrutement;

2. b.

   affectation du personnel et fidélisation;

3. c.

   développement du personnel et de l’organisation;

4. d.

   planification du personnel;

5. e.

   controlling du personnel;

6. f.

   administration du personnel et des salaires;

7. g.

   libération du personnel.

Les systèmes d’information pour la gestion des données du personnel peuvent contenir les données indiquées à l’annexe 3.

Les divisions Ressources humaines, Finances, Audit interne et les supérieurs hiérarchiques traitent les données contenues dans les systèmes d’information pour la gestion des données du personnel dans la mesure où l’exécution de leurs tâches l’exige.

Des données du personnel peuvent être transférées de manière automatisée via les interfaces au sein des systèmes d’information pour la gestion des données du personnel et du système d’information E-Dossier personnel.

 Les droits d’accès sont octroyés comme suit:

1. a.

   la division Ressources humaines a un droit d’accès à toutes les données;

2. b.

   la division Finances a un droit d’accès aux données relevant des domaines du controlling du personnel et de la planification du personnel;

3. c.

   les collaborateurs ont un droit d’accès à leurs données personnelles relatives au temps de travail, au salaire et aux frais, ainsi qu’à leurs données personnelles relevant de l’évaluation de prestations et du développement du personnel;

4. d.

   les supérieurs hiérarchiques ont un droit d’accès aux données relatives au temps de travail, au salaire et aux frais de leurs collaborateurs, ainsi qu’aux données de ces derniers relevant de l’évaluation de prestations et du développement du personnel.

 La division Ressources humaines octroie au cas par cas à l’Audit interne un droit d’accès limité dans le temps aux données nécessaires à l’exécution de ses tâches.

Des données du personnel peuvent être transférées de manière automatisée via des interfaces au sein des systèmes d’information pour la gestion des données du personnel, pour exécuter des obligations légales, notamment à:

1. a.

   la Centrale de compensation de la Confédération, à des fins de vérification, de détermination et de décompte des droits aux assurances sociales découlant de l’assurance-vieillesse et survivants, de l’assurance-invalidité et du régime des allocations pour perte de gain;

2. b.

   la Caisse fédérale de pensions à des fins d’annonce, d’administration et de décompte des cotisations de prévoyance;

3. c.

   la Caisse nationale suisse d’assurance en cas d’accidents à des fins d’annonce, d’administration et de décompte des droits en cas d’accident;

4. d.

   les autorités fiscales compétentes pour que l’employeur puisse s’acquitter de ses obligations de communication en matière fiscale;

5. e.

   l’Office fédéral de la statistique pour que l’employeur puisse s’acquitter de ses obligations de communication en matière de statistiques.

Les données sont conservées durant les dix ans qui suivent la fin des rapports de travail dans les systèmes d’information pour la gestion des données du personnel, puis détruites.

La présente ordonnance entre en vigueur le 1 octobre 2021.