Accueil › Guide de la santé en entreprise › Protection des données et confidentialité

Guide de la santé en entreprise

Protection des données et confidentialité : les résultats restent auprès de la personne

Vérifié par Dr Daniel Wallerstorfer, biologiste moléculaire et fondateur de Novogenia · Mis à jour le 15 octobre 2026 · Temps de lecture : 12 min

En bref

En vertu du RGPD, les données génétiques font partie des catégories particulièrement protégées (art. 9) ; en Suisse, ce sont des données personnelles sensibles (art. 5 LPD). Dans une relation de travail, un consentement donné à l’employeur est rarement vraiment libre – c’est pourquoi le comité européen de la protection des données le juge problématique. La solution la plus propre : l’entreprise ne traite aucune donnée génétique. Les salariés donnent leur consentement directement au laboratoire ou au partenaire, le rapport ne va qu’à eux, et l’entreprise ne reçoit ni résultats individuels ni rapports agrégés. La question de savoir si le § 26 BDSG résiste à l’arrêt de la CJUE de 2023 reste ouverte – un programme ainsi conçu n’en a pas besoin pour les données génétiques.

Comme un isoloir – en plus strict

Les données génétiques ne sont pas des données ordinaires. Le RGPD les définit comme des données relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne qui donnent des informations uniques sur sa physiologie ou son état de santé (art. 4, point 13, du RGPD). Qui connaît vos gènes connaît quelque chose que vous portez en vous toute votre vie. C’est pourquoi leur traitement est en principe interdit – sauf si une exception s’applique (art. 9, par. 1 et 2).

Un bon programme d’entreprise fonctionne donc comme une élection. L’entreprise fournit le bureau de vote : la salle, le moment, l’invitation. Personne ne regarde dans l’isoloir. Et contrairement à une élection, il n’y a même pas de résultat global pour l’entreprise à la fin – les résultats restent auprès des personnes à qui ils appartiennent.

Vous trouverez ici le raisonnement juridique qui sous-tend ce principe, ainsi que les questions qui restent ouvertes – en complément de la vue d’ensemble présentée dans Programmes de santé en entreprise avec analyses génétiques.

Qui voit quoi : les flux de données d’un programme

Avant de parler de dispositions légales, cartographiez les flux de données. Pour une analyse lifestyle, un programme bien conçu se présente ainsi :

Données	Où elles vont	Ce que voit l’entreprise
Inscription et consentement	du salarié directement au laboratoire ou au partenaire	Rien
Échantillon de salive	directement au laboratoire, jamais par l’intermédiaire de l’entreprise	Rien
Données génétiques et rapport	du laboratoire uniquement à la personne, sous forme numérique via un portail sécurisé	Rien
Compléments personnalisés (facultatifs)	la formule, le rapport et la livraison vont directement à la personne	Rien
Facture	à l’entreprise	La facture – aucun résultat
Retours sur le programme	anonymes, à l’entreprise ou à son partenaire de santé en entreprise	Satisfaction et suggestions, jamais de contenu génétique

Deux points méritent une attention particulière. Une formule de compléments personnalisés révèle quelque chose des gènes de la personne qui la reçoit. Même si l’entreprise la paie, elle devrait donc aller directement à la personne. Et la facturation : concevez-la de sorte que l’entreprise en sache le moins possible sur qui a participé individuellement. Ce n’est pas un détail – qui sait qui a participé sait aussi qui n’a pas participé.

L’exception qui s’impose pour les données génétiques est le consentement explicite pour une ou plusieurs finalités spécifiques (art. 9, par. 2, point a, du RGPD). Il peut être retiré à tout moment, et il doit être aussi simple de retirer que de donner son consentement (art. 7, par. 3). Le vrai problème au travail est ailleurs : le caractère libre du consentement.

Lorsqu’il existe un déséquilibre manifeste entre les parties, le consentement ne constitue pas un fondement juridique valable s’il est de ce fait improbable qu’il ait été donné librement (considérant 43). Le comité européen de la protection des données est explicite dans ses lignes directrices 05/2020 : en raison de la dépendance propre à la relation de travail, il est peu probable que les salariés puissent refuser la demande de leur employeur sans craindre des conséquences négatives. Ils ne peuvent consentir librement que dans des circonstances exceptionnelles – lorsque le fait de consentir ou non n’entraîne absolument aucune conséquence négative (points 21–22).

Il en découle deux règles :

Le consentement va à la bonne adresse : au laboratoire ou au partenaire qui traite les données – pas à l’entreprise. Pour les analyses médicales en Allemagne, la personne donne son consentement exprès et écrit au médecin responsable (§ 8, alinéa 1, GenDG).
Le cadre facilite le « non » : pas de listes de participants chez les cadres, pas de rappels de la part des supérieurs, pas d’avantages réservés aux participants. Comment inviter sans créer de pression est présenté dans Communication interne : une participation sans pression.

Protection des données des salariés : ce qu’a changé l’arrêt de la CJUE de 2023

Pour les données des salariés, l’article 88 du RGPD permet aux États membres d’adopter des règles plus spécifiques. Celles-ci doivent comprendre des mesures appropriées et spécifiques pour protéger la dignité humaine, les intérêts légitimes et les droits fondamentaux des personnes concernées, en accordant une attention particulière à la transparence (paragraphe 2). L’Allemagne a créé à cette fin le § 26 de la loi fédérale sur la protection des données (Bundesdatenschutzgesetz, BDSG). Il prévoit notamment que la dépendance inhérente à la relation de travail doit être prise en compte lorsque le consentement est donné, que le consentement doit être donné par écrit ou sous forme électronique, et que l’employeur informe les salariés, sous forme de texte, de la finalité et de leur droit de retrait (alinéa 2). Pour les catégories particulières comme les données génétiques, le consentement doit se rapporter expressément à ces données (alinéa 3).

Le 30 mars 2023, la Cour de justice de l’Union européenne a rendu un arrêt de principe à ce sujet (affaire C-34/21). Une disposition nationale ne constitue une « règle plus spécifique » que si elle satisfait aux exigences de l’article 88, paragraphe 2 ; à défaut, elle doit être laissée inappliquée, à moins qu’elle ne constitue une base juridique propre au sens de l’article 6, paragraphe 3, du RGPD. L’affaire concernait des enseignants du Land allemand de Hesse et une disposition du Land structurée de façon très similaire au § 26, alinéa 1, BDSG. La Cour a indiqué qu’une règle qui se borne à répéter que le traitement doit être nécessaire n’ajoute pas de règle plus spécifique. Elle ne s’est pas prononcée sur le § 26 BDSG lui-même ; la disposition figure toujours, inchangée, dans le texte de loi.

Qu’est-ce que cela signifie pour votre programme ? Moins qu’on ne pourrait le penser – si vous le concevez correctement. En vertu du § 19 GenDG, l’entreprise ne peut de toute façon pas recevoir de résultats génétiques. Si elle ne traite aucune donnée génétique, elle n’a pas besoin de base juridique pour le faire. Les exigences du § 26, alinéa 2, restent néanmoins une bonne référence pour chaque consentement dans le programme : par écrit ou sous forme électronique, avec une finalité claire et une mention du droit de retrait.

Anonyme n’est pas toujours anonyme

« Nous voulons juste voir les statistiques. » Le souhait est compréhensible. Le RGPD place ici la barre haut : pour déterminer si une personne est identifiable, il convient de prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour l’identifier directement ou indirectement – tels que le ciblage. Les données pseudonymisées restent des données à caractère personnel ; seules les informations véritablement anonymes échappent au droit de la protection des données (considérant 26).

Dans un petit service, des statistiques peuvent rapidement être rattachées à des personnes individuelles. C’est pourquoi la règle chez Novogenia est la suivante : l’employeur ne reçoit ni résultats individuels ni rapports agrégés. Le programme est évalué au moyen de la participation, de la satisfaction et de retours anonymes – jamais au moyen de résultats génétiques. Comment en tirer des indicateurs pertinents est présenté dans Mesurer les bénéfices et l’impact. Même les chiffres de participation ne devraient être communiqués que pour des unités plus grandes, et non pour de petites équipes isolées.

Suisse : la loi sur la protection des données et le code des obligations

En Suisse, c’est la loi fédérale sur la protection des données (LPD) qui s’applique à la place du RGPD, et le code des obligations régit les rapports de travail. La logique est similaire ; les détails diffèrent :

Données sensibles : les données génétiques sont des données personnelles sensibles (art. 5, let. c, ch. 3, LPD).
Consentement : il n’est valable que s’il est donné librement pour un ou plusieurs traitements déterminés et après une information adéquate ; pour les données sensibles, il doit être exprès (art. 6, al. 6 et 7, LPD).
Pas plus longtemps que nécessaire : les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard des finalités du traitement (art. 6, al. 4, LPD).
Une limite stricte pour les employeurs : ils ne peuvent traiter des données concernant les salariés que dans la mesure où elles portent sur leurs aptitudes ou sont nécessaires à l’exécution du contrat de travail (art. 328b du code des obligations, CO). Les résultats génétiques n’ont pas leur place chez l’employeur.
Information et analyse à l’étranger : pour les analyses lifestyle, l’information écrite porte notamment sur le laboratoire et sur les éventuelles entreprises et laboratoires à l’étranger qui participent à l’analyse (art. 32 de la loi fédérale sur l’analyse génétique humaine, LAGH). Une analyse à l’étranger requiert notamment l’accord écrit de la personne (art. 36 en relation avec l’art. 29 LAGH).

Rôles, contrats et analyse d’impact

Un programme réunit plusieurs acteurs : l’entreprise, souvent un partenaire de santé en entreprise, le laboratoire et, pour les analyses médicales, des médecins. Quiconque détermine les finalités et les moyens du traitement est responsable du traitement ; quiconque traite des données pour le compte d’un tiers (sous-traitant) a besoin d’un contrat au sens de l’article 28 du RGPD. Définissez les rôles avant l’arrivée de la première inscription – pas après.

Quiconque traite des données génétiques à grande échelle doit effectuer au préalable une analyse d’impact relative à la protection des données (art. 35, par. 3, point b, du RGPD ; en Suisse, art. 22 LPD). Dans un programme bien conçu, cette tâche incombe au laboratoire ou au partenaire, pas à l’entreprise. Ce qui compte en fin de compte pour les salariés, c’est une information claire : qui traite quelles données, qui voit le rapport – et que l’entreprise ne le voit jamais. En Allemagne, les droits de participation des représentants du personnel ne sont pas affectés (§ 26, alinéa 6, BDSG). Pour en savoir plus sur les rôles et les délais d’effacement : Données génétiques et RGPD.

Checklist protection des données pour votre programme

Les flux de données sont cartographiés ; l’entreprise ne traite aucune donnée génétique.
Le consentement va directement au laboratoire ou au partenaire – explicite, pour des finalités spécifiques et révocable à tout moment.
Ceux qui ne participent pas ne subissent aucun désavantage, de quelque nature que ce soit ; les cadres ne tiennent pas de listes.
Le rapport, la formule de compléments et la livraison vont directement à la personne.
La facturation révèle à l’entreprise le moins possible sur les participants individuels.
Pas de rapports génétiques agrégés ; chiffres de participation uniquement pour des unités plus grandes.
Les rôles et les contrats sont réglés avant le premier flux de données ; l’analyse d’impact incombe à la partie responsable.
En Suisse : information écrite selon l’art. 32 LAGH et accord écrit pour l’analyse à l’étranger.
Le délégué à la protection des données et les représentants du personnel sont impliqués tôt.

Comment nous procédons chez Novogenia

Comment nous protégeons les résultats chez Novogenia :

Rapport uniquement à la personne : sous forme numérique via un portail sécurisé, en 18 langues maximum.
Aucun rapport pour l’employeur : l’employeur ne reçoit ni résultats individuels ni rapports agrégés – seulement la facture.
Les rôles avant le premier flux de données : qui assume quel rôle en matière de protection des données dans votre projet est fixé ensemble dans le contrat, avant le premier flux de données.
Même principe avec les assureurs : dans les programmes menés avec des assureurs, l’assureur ne reçoit jamais de données génétiques ni de résultats individuels.
Les compléments restent privés : qui le souhaite peut ajouter, à titre privé, des compléments personnalisés en sachets journaliers ; une livraison couvre 90 jours.

Questions fréquentes

Suffit-il que l’entreprise ne reçoive que des statistiques anonymes ?

Non, pour deux raisons. Premièrement, « anonyme » n’est souvent pas anonyme : selon le considérant 26 du RGPD, il faut prendre en considération l’ensemble des moyens raisonnablement susceptibles d’être utilisés pour identifier une personne – et dans de petites équipes, cela va vite. Deuxièmement, chez Novogenia, l’employeur ne reçoit pas non plus de rapports agrégés. Évaluez le programme au moyen de la participation et de retours anonymes, jamais au moyen de résultats génétiques.

Qui est le « responsable du traitement » au sens du RGPD dans un tel programme ?

Cela dépend de l’organisation – le laboratoire, le partenaire et, le cas échéant, des médecins peuvent assumer des rôles différents. Chez Novogenia, nous fixons ensemble les rôles dans le contrat, avant le premier flux de données. L’objectif de toute organisation : l’entreprise elle-même ne traite aucune donnée génétique.

Une salariée peut-elle retirer son consentement ?

Oui, à tout moment – et il doit être aussi simple de retirer que de donner son consentement (art. 7, par. 3, du RGPD). Pour les analyses médicales en Allemagne, elle peut retirer son consentement à tout moment avec effet pour l’avenir en le déclarant au médecin responsable (§ 8, alinéa 2, GenDG).

Le § 26 BDSG est-il toujours valable ?

Il figure toujours, inchangé, dans le texte de loi. En 2023, la CJUE a toutefois jugé que des règles nationales de protection des données des salariés ne constituent des « règles plus spécifiques » au sens de l’article 88 du RGPD que si elles satisfont au paragraphe 2 de cet article ; à défaut, elles doivent être laissées inappliquées (affaire C-34/21). La Cour n’a pas tranché elle-même la question de savoir si le § 26 BDSG satisfait à cette exigence. Pour votre programme, ce point est secondaire si l’entreprise ne traite aucune donnée génétique.

Que doivent savoir en plus les salariés en Suisse ?

Pour les analyses lifestyle, ils doivent recevoir une information écrite portant notamment sur le laboratoire qui réalise l’analyse et sur les éventuelles entreprises et laboratoires à l’étranger qui y participent, avec les coordonnées d’un spécialiste et de la personne responsable du traitement des données (art. 32 LAGH). Une analyse à l’étranger – le laboratoire de Novogenia se trouve en Autriche – requiert notamment leur accord écrit (art. 36 en relation avec l’art. 29 LAGH).

Une offre de santé pour votre équipe ?

Parlez-nous de votre entreprise – nous vous montrerons à quoi pourrait ressembler une offre volontaire pour vos salariés.

Soumettre un projet →La santé en entreprise dans le guide de la longévité

Remarque : Ce guide fournit des informations générales destinées aux entreprises et aux professionnels et ne remplace pas un avis médical ou juridique. Les caractéristiques génétiques déterminées dans une analyse génétique sont bien documentées (chaque gène inclus est étayé par au moins trois études indépendantes) ; les recommandations qui en découlent sont des conclusions logiques, non prouvées scientifiquement. La réglementation peut évoluer ; sous réserve d’erreurs et de modifications.