Les résultats de tests psychotechniques sont-ils des données sensibles ?
Réponse courte
Les résultats de tests psychotechniques sont considérés comme des données sensibles lorsqu’ils révèlent des informations sur la santé mentale, la personnalité ou d’autres aspects protégés par la législation luxembourgeoise, notamment l’article L.261-1 du Code du travail et l’article 9 de la loi du 1er août 2018. Si les résultats ne contiennent pas de telles informations, ils restent des données à caractère personnel, mais ne relèvent pas du régime renforcé applicable aux données sensibles.
La qualification dépend donc du contenu effectif des résultats : dès qu’ils comportent des éléments relatifs à la santé mentale ou à la personnalité, leur traitement doit respecter les exigences spécifiques applicables aux données sensibles, telles que la justification de la nécessité, le recueil du consentement explicite ou l’existence d’une exception légale.
Définition
Les tests psychotechniques sont des évaluations standardisées utilisées pour mesurer les aptitudes cognitives, comportementales ou psychologiques d’un individu. Lorsqu’ils sont administrés dans le cadre professionnel, les résultats de ces tests constituent des données à caractère personnel dès lors qu’ils permettent d’identifier directement ou indirectement un salarié ou un candidat.
Selon la loi modifiée du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, une donnée sensible est une information révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, ainsi que les données génétiques, biométriques, ou concernant la santé, la vie sexuelle ou l’orientation sexuelle d’une personne physique.
Les résultats de tests psychotechniques peuvent être qualifiés de données sensibles s’ils révèlent des éléments relatifs à la santé mentale, à la personnalité ou à d’autres aspects protégés par l’article L.261-1 du Code du travail et l’article 9 de la loi précitée.
Conditions d’exercice
L’employeur ne peut collecter et traiter les résultats de tests psychotechniques que si ces derniers sont strictement nécessaires à l’évaluation de l’aptitude professionnelle du salarié ou du candidat, en lien direct avec les exigences du poste à pourvoir.
La collecte et le traitement doivent reposer sur une base légale précise, telle que l’exécution du contrat de travail, le respect d’une obligation légale, ou le consentement explicite de la personne concernée, conformément à l’article 6 de la loi du 1er août 2018 et à l’article L.261-1 du Code du travail.
Lorsque les résultats révèlent des informations sur la santé mentale ou la personnalité, ils sont soumis aux conditions renforcées applicables aux données sensibles, notamment l’obligation de justifier la nécessité du traitement, de recueillir le consentement explicite ou de démontrer l’existence d’une autre exception prévue à l’article 9 de la loi précitée.
Modalités pratiques
Avant toute collecte, l’employeur doit informer la personne concernée de la finalité du traitement, de la nature des données collectées, de la durée de conservation, des destinataires, ainsi que de ses droits d’accès, de rectification, d’opposition et d’effacement, conformément à l’article 13 du RGPD et à l’article L.261-1 du Code du travail.
Si les résultats comportent des informations sur l’état psychologique ou la santé mentale, leur traitement n’est autorisé que dans le respect des garanties prévues pour les données sensibles, notamment la limitation d’accès aux seules personnes habilitées et la mise en place de mesures de sécurité appropriées (article 32 du RGPD, article L.261-1 du Code du travail).
La conservation de ces résultats doit être limitée à la durée strictement nécessaire à la finalité poursuivie. Toute transmission à des tiers, y compris à des prestataires externes, doit faire l’objet d’un encadrement contractuel spécifique et d’une traçabilité des accès et traitements.
Pratiques et recommandations
Il est recommandé de procéder à une analyse d’impact relative à la protection des données (AIPD) lorsque le traitement des résultats de tests psychotechniques est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées (article 35 du RGPD).
L’employeur doit appliquer le principe de minimisation des données, en ne collectant que les informations strictement nécessaires à l’évaluation professionnelle. L’accès aux résultats doit être restreint aux seuls membres du personnel RH ou aux supérieurs hiérarchiques directement impliqués dans le processus de recrutement ou d’évaluation.
Toute utilisation secondaire des résultats, notamment à des fins disciplinaires ou statistiques, doit être expressément prévue, justifiée et documentée dans le registre des activités de traitement. Il convient également de garantir l’égalité de traitement entre les candidats ou salariés soumis à ces tests.
Cadre juridique
- Loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel, telle que modifiée, notamment :
- Article 9 (traitement des catégories particulières de données)
- Article 6 (licéité du traitement)
- Code du travail luxembourgeois :
- Article L.261-1 (protection des données à caractère personnel dans les relations de travail)
- Règlement (UE) 2016/679 (RGPD) :
- Article 13 (information des personnes concernées)
- Article 32 (sécurité du traitement)
- Article 35 (analyse d’impact relative à la protection des données)
- Contrôle et recommandations de la Commission nationale pour la protection des données (CNPD)
- Jurisprudence luxembourgeoise sur la proportionnalité et la nécessité du traitement des données issues de tests psychotechniques
Note
La qualification des résultats de tests psychotechniques comme données sensibles dépend de leur contenu effectif : dès lors qu’ils révèlent des informations sur la santé mentale ou la personnalité, leur traitement doit respecter les exigences renforcées applicables aux données sensibles, sous peine de sanctions administratives et pénales. Il est impératif de documenter chaque étape du traitement et de garantir l’intervention d’un encadrement humain dans l’analyse des résultats.