¹ La présente ordonnance règle le traitement des données personnelles pour les catégories de personnel suivantes:

a.

les collaborateurs du domaine des EPF visés à l’art. 1, al. 1, de l’ordonnance du 15 mars 2001 sur le personnel du domaine des EPF (OPers-EPF)³;

b.

les professeurs visés à l’art. 1 de l’ordonnance du 18 septembre 2003 sur le corps professoral des EPF⁴;

c.

les collaborateurs du domaine des EPF et les professeurs au bénéfice d’un contrat de droit privé;

d.

les candidats à un poste dans le domaine des EPF relevant des catégories de personnel visées aux let. a à c;

e.

les anciens collaborateurs du domaine des EPF qui relèvent des catégories de personnel visées aux let. a à c.

² Le chapitre 4 de la présente ordonnance s’applique en outre aux personnes liées aux institutions du domaine des EPF par un mandat ou un contrat de location de services.

Le personnel ou les instances qui le représentent sont informés avant l’introduction ou la modification d’un système d’information ou d’une banque de données dans la mesure où la situation juridique ou l’activité du personnel est affectée de manière déterminante.

Les conseillers à la protection des données des deux EPF, des établissements de recherche et du Conseil des EPF sont à la disposition du personnel en tant que personnes de contact pour toute question liée à la protection des données.

¹ Les directions des deux EPF, les directions des établissements de recherche et la présidence du Conseil des EPF sont responsables des systèmes d’information qu’elles utilisent.

² Les services du personnel et les autres services habilités à traiter des données personnelles sont responsables de ce traitement dans leur domaine de compétence.

³ Les deux EPF, les établissements de recherche et le Conseil des EPF établissent les règlements de traitement pour leurs systèmes d’information conformément à l’art. 6 de l’ordonnance du 31 août 2022 sur la protection des données (OPDo)⁵ (règlements de traitement).

¹ Le service du personnel compétent et les instances des deux EPF chargées du recrutement et de l’encadrement des professeurs (sections des affaires professorales) traitent les données nécessaires à l’exécution de leurs tâches. Ils traitent en particulier:

a.

les informations contenues dans les documents de candidature, les contrats de travail, les descriptions de poste et les formulaires d’évaluation du personnel;

b.

les décisions prises sur la base des évaluations du personnel;

c.

les absences;

d.

les certificats médicaux;

e.

les résultats de tests de personnalité et d’évaluations du potentiel;

f.

les extraits de registres publics;

g.

les données concernant des mesures administratives, pénales ou sociales.

² Les responsables hiérarchiques ou les personnes auxquelles ils font appel traitent les données nécessaires au recrutement et à l’exécution de leurs tâches de conduite, en particulier les dossiers de candidature, les formulaires de convention d’objectifs et d’évaluation des prestations ainsi que les données portant sur les adaptations salariales motivées par les prestations individuelles.

³ L’accès aux données est octroyé comme suit:

a.

pour les systèmes d’information, par le membre de la direction chargé des systèmes informatiques dans l’EPF ou dans l’établissement de recherche concerné;

b.

pour les systèmes d’information du Conseil des EPF, par le directeur administratif de l’état-major.

⁴ Les services du personnel et les sections des affaires professorales peuvent octroyer un accès limité aux personnes qui ont besoin d’accéder à des données spécifiques dans le cadre de leurs tâches.

¹ Les deux EPF, les établissements de recherche et le Conseil des EPF veillent au respect des dispositions de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)⁶ et de l’OPDo⁷. Ils s’assurent que les personnes et les services chargés du traitement des données prennent les mesures et dispositions techniques et organisationnelles appropriées pour garantir la sécurité des données personnelles.

² Les données sur support papier sont conservées sous clé.

³ La sécurité des données relative aux systèmes d’information est régie par l’OPDo, en particulier les art. 1 à 4 et 6.

⁴ Les deux EPF, les établissements de recherche et le Conseil des EPF spécifient les mesures techniques et organisationnelles relatives à la sécurité des données personnelles dans leurs règlements de traitement.

¹ Les deux EPF, les établissements de recherche et le Conseil des EPF déclarent tous leurs registres des activités de traitement au Préposé à la protection des données et à la transparence au moment de l’approbation du projet ou de la décision de le développer (art. 12 LPD⁸).

² Le traitement automatisé des données personnelles (systèmes d’information) doit être annoncé dès le stade de projet (art. 31 OPDo⁹).

¹ Les personnes concernées peuvent exercer leur droit d’accès, de rectification et d’effacement auprès du service du personnel ou de la section des affaires professorales compétents ou encore auprès du médecin-conseil (art. 48). L’art. 23 demeure réservé.

² Les données incorrectes sont rectifiées d’office.

¹ Les accès aux systèmes d’information et les modifications qui y sont apportées sont systématiquement journalisés.

² Les procès-verbaux de journalisation sont conservés durant au moins un an, séparément du système dans lequel les données personnelles sont traitées.

³ Les procès-verbaux de journalisation peuvent être analysés par le service compétent de l’EPF, de l’établissement de recherche ou du Conseil des EPF afin de vérifier le respect des prescriptions sur la protection des données.

¹ Les délais suivants s’appliquent à la conservation des données:

a.

pour les données portant sur des mesures sociales, administratives ou pénales, ainsi que des mesures relatives aux poursuites, cinq ans après la fin de la mesure;

b.

pour l’évaluation des prestations ainsi que pour les résultats de tests de personnalité et d’évaluation du potentiel, cinq ans après l’évaluation ou le test;

c.

pour toutes les autres données contenues dans le dossier du personnel et dans le système d’information sur le personnel, dix ans après la fin des rapports de travail ou après le décès d’un collaborateur.

² Après expiration du délai de conservation, les données ayant une valeur archivistique au sens de la loi fédérale du 26 juin 1998 sur l’archivage¹⁰ et de l’ordonnance du 8 septembre 1999 sur l’archivage¹¹ sont proposées au service d’archivage compétent, les autres données sont détruites sous réserve de l’art. 38, al. 2, LPD¹².

³ Les dossiers de candidature soumis sur papier, à l’exception de la lettre de candidature, sont retournés aux candidats non retenus dans les trois mois suivant l’attribution du poste. Les autres données sont détruites dans un délai de trois mois. Les accords spéciaux conclus avec les candidats sont réservés. Les données peuvent être conservées plus longtemps si elles sont nécessaires au traitement de recours selon l’art. 13, al. 2, de la loi du 24 mars 1995 sur l’égalité¹³.

⁴ Les dossiers et les données en lien avec les candidatures à une chaire professorale et toutes les données recueillies durant l’activité en tant que professeur ou que professeur titulaire sont conservés et proposés au service d’archivage de l’EPF compétente après le décès de la personne concernée.

La publication de données relevant de la sphère privée des collaborateurs sur l’intranet, dans un organe de publication interne ou sur un tableau d’affichage n’est autorisée qu’avec le consentement écrit de la personne concernée. Le consentement peut être donné par courrier électronique.

Les deux EPF, les établissements de recherche et le Conseil des EPF peuvent publier la fonction et les données de contact professionnelles de leur personnel dans des répertoires d’adresses accessibles au public, sur papier ou sous forme électronique. La publication de photos n’est autorisée qu’avec le consentement écrit de la personne concernée. Le consentement peut être donné par courrier électronique.

¹ Des données personnelles ne peuvent être communiquées à des tiers qui en font la demande, en particulier à de nouveaux employeurs, à des instituts bancaires, à des instituts de crédit ou à des bailleurs, qu’avec le consentement écrit de la personne concernée ou si une base légale le prévoit. La personne qui communique les données s’assure au préalable qu’un consentement conforme a été donné ou qu’il existe une base légale.

² Le consentement de la personne concernée est considéré comme donné si cette personne cite un autre collaborateur comme référence pour fournir des informations.

³ La communication de données se limite aux informations nécessaires au but de la demande.

⁴ Les dispositions du présent article s’appliquent aussi aux collaborateurs qui changent de poste à l’intérieur du domaine des EPF.

⁵ L’art. 37 demeure réservé.

Les deux EPF, les établissements de recherche et le Conseil des EPF peuvent communiquer aux fournisseurs de services informatiques qui proposent leurs services sur des réseaux externes les données nécessaires pour utiliser ces services, à savoir le nom et l’adresse électronique professionnelle.

Les documents réunis dans le cadre de la procédure de nomination et d’évaluation des membres du corps professoral, en particulier les évaluations par des pairs et les lettres de référence, sont confidentiels.

¹ Les deux EPF, les établissements de recherche et le Conseil des EPF déterminent sous quelle forme les dossiers de candidature peuvent leur être remis.

² Ils peuvent numériser les dossiers de candidature transmis sur papier.

³ Au sens de la présente ordonnance, font également partie du dossier de candidature tous les documents concernant la procédure de nomination et d’évaluation ainsi que la nomination des membres du corps professoral.

⁴ Les deux EPF, les établissements de recherche et le Conseil des EPF peuvent remplacer un entretien de candidature en présentiel par l’enregistrement d’entretiens menés en vidéoconférence ou d’entretiens vidéo en différé. Ces enregistrements font partie du dossier de candidature et sont détruits à l’issue de la procédure de candidature.

¹ Le dossier de candidature peut contenir des données sensibles, en particulier dans le curriculum vitae.

² Il peut contenir notamment les données énumérées à l’annexe 1.

¹ Les services du personnel, les sections des affaires professorales et les personnes responsables de la sélection des candidats traitent les données des dossiers de candidature pour autant que l’exécution de leurs tâches l’exige.

² À l’issue de la procédure de candidature, les données des personnes engagées sont saisies dans le dossier du personnel (art. 25 à 32) et dans le système d’information pour la gestion des données du personnel (art. 33 à 37).

³ Les données des candidats qui n’ont pas été retenus sont traitées conformément à l’art. 10, al. 3 et 4.

¹ L’accord exprès des candidats est requis pour les clarifications suivantes:

a.

la réalisation de tests de personnalité, y c. les expertises graphologiques;

b.

la recherche de références.

² Les candidats doivent être informés avant l’exécution de tests de personnalité:

a.

du but du test;

b.

de l’usage qui sera fait des résultats du test;

c.

du cercle des personnes qui seront informées des résultats du test.

Les deux EPF, les établissements de recherche et le Conseil des EPF gèrent chacun un système d’information pour les candidatures, qui sert à mettre au concours les postes et à simplifier la procédure de candidature.

¹ Les systèmes d’information comprennent un module de mise au concours des postes et un module de gestion des candidatures.

² Le module de mise au concours sert à créer et à publier les offres d’emploi.

³ Le module de gestion des candidatures sert à enregistrer les postes à mettre au concours et les informations qui s’y rapportent, et à traiter les données des candidats.

¹ Sur demande, les services responsables en vertu de l’art. 5, al. 3, octroient des droits d’accès permanents à leurs services du personnel respectifs et aux sections des affaires professorales.

² Les services du personnel et les sections des affaires professorales peuvent octroyer, dans chaque cas d’espèce, des droits d’accès à d’autres personnes responsables de la sélection des candidats pour autant et aussi longtemps que l’exécution de leurs tâches l’exige.

En cas de candidature électronique, les candidats peuvent exercer eux-mêmes leur droit d’accès, de rectification et d’effacement, à condition qu’ils disposent des droits d’accès correspondants.

Les deux EPF, les établissements de recherche et le Conseil des EPF peuvent recourir aux systèmes informatiques de fournisseurs externes pour la mise au concours de postes et pour les candidatures. Ils s’assurent que les dispositions applicables à la sous-traitance sont respectées.

¹ Le dossier du personnel peut contenir les données personnelles suivantes, y compris des données sensibles:

a.

des données relatives à la personne, à sa nationalité, à sa famille et à ses proches;

b.

des informations tirées du dossier de candidature et des données recueillies dans le cadre de la procédure de candidature, y compris les résultats d’un test de personnalité au sens de l’art. 19;

c.

des données relatives à la santé en lien avec les rapports de travail, notamment certificats médicaux, absences consécutives à une maladie ou à un accident, rapports du médecin-conseil, évaluations de l’aptitude au travail et données de la gestion des cas;

d.

des données relatives aux prestations, aux compétences et au potentiel;

e.

des certificats de travail;

f.

des décisions passées en force des autorités, des autorités judiciaires et des autorités de recours, notamment saisies de salaire, décisions du service chargé des contrôles de sécurité relatifs aux personnes, extraits de jugements en vue de déterminer les ayants droit aux allocations familiales, actes concernant des litiges liés aux rapports de travail et actes concernant des enquêtes disciplinaires;

g.

des déclarations aux caisses de compensation de l’assurance-vieillesse et survivants (AVS), de l’assurance-invalidité (AI), de l’assurance pour les allocations pour perte de gain (APG) et de l’assurance-chômage (AC), aux caisses de compensation pour allocations familiales, à la Caisse nationale suisse en cas d’accidents (CNA) ou à une autre assurance-accidents, à la Caisse fédérale de pension (PUBLICA) et à l’assurance militaire (assurances sociales), ainsi que des informations ou décisions de ces assurances et éventuellement d’autres assurances étrangères.

² Le dossier du personnel peut notamment contenir les données visées à l’annexe 2, sous forme électronique ou sur support papier.

Les services du personnel, les sections des affaires professorales, les spécialistes internes impliqués, les tiers mandatés, les responsables hiérarchiques et les services juridiques traitent les données des dossiers du personnel pour autant que l’exécution de leurs tâches l’exige.

¹ En cas de transfert dans une autre EPF, dans un autre établissement de recherche ou au sein de l’état-major du conseil des EPF, le dossier du personnel n’est pas transmis au nouvel employeur. Toute dérogation doit être convenue avec l’employé concerné.

² En accord avec l’employé concerné, le nouvel employeur peut demander à l’institution précédente de fournir les documents que l’employé lui a déjà remis.

La conservation, l’archivage et la destruction des données du dossier du personnel sont réglés à l’art. 10 de la présente ordonnance.

Les deux EPF, les établissements de recherche et l’état-major du Conseil des EPF gèrent chacun un système d’information pour les dossiers du personnel, qui sert à la gestion, à l’exploitation et au classement électroniques des données personnelles des collaborateurs.

Les données non sensibles peuvent être reprises des différents systèmes d’information pour la gestion des données du personnel (IGDP).

¹ Les services du personnel et les sections des affaires professorales ont accès aux données du système d’information pour les dossiers du personnel de leur institution pour autant que l’exécution de leurs tâches l’exige.

² Ils peuvent octroyer un droit d’accès aux responsables hiérarchiques, à leurs services juridiques et aux spécialistes internes.

Les services du personnel peuvent conférer un accès temporaire à leurs données aux collaborateurs qui demandent à consulter leur dossier.