Contrôles d'honorabilité : ce qu'on vérifie, ce qu'on ne garde pas

Vérifier l'honorabilité d'un candidat est une obligation dans la sécurité privée et un exercice délicat en matière de protection des données. Beaucoup d'agences font correctement le contrôle, puis commettent l'erreur qui suit : elles conservent le document.

Le concordat sur les entreprises de sécurité soumet l'exercice de la profession à des conditions personnelles, dont l'honorabilité. L'autorité cantonale instruit et délivre ; l'entreprise, de son côté, répond de son personnel et doit s'assurer que ceux qu'elle engage remplissent les conditions.

Deux niveaux se superposent donc : le contrôle mené par l'autorité dans le cadre de l'autorisation, et la diligence propre de l'employeur. Le second ne remplace pas le premier, et le premier ne dispense pas du second — un agent dont la situation change après l'obtention de son autorisation reste sous la responsabilité de son employeur.

Les modalités exactes se vérifient auprès de l'autorité compétente, dont la page officielle fait foi : ge.ch, vd.ch, policevalais.ch. ShieldOne est un logiciel ; il ne délivre aucune autorisation et ne fournit aucune prestation de sécurité.

Vous préférez voir plutôt que lire ? Nous vous montrons ShieldOne sur vos propres cas, en 30 minutes.

Le droit du travail pose une limite claire : l'employeur ne peut traiter des données concernant le travailleur que dans la mesure où elles portent sur son aptitude à remplir son emploi ou sont nécessaires à l'exécution du contrat. C'est l'article 328b du Code des obligations, et il s'applique dès le recrutement.

Concrètement, un extrait de casier judiciaire demandé pour un poste soumis à une condition d'honorabilité entre dans ce cadre ; la même demande pour un poste administratif sans lien avec la sécurité n'y entre pas.

Deux précautions valent d'être posées. Demandez le document au bon moment : à la fin du processus, sur un candidat retenu, pas à trente postulants dont vingt-neuf seront écartés. Expliquez pourquoi : un candidat informé de la raison et du sort du document coopère ; un candidat à qui l'on demande une pièce sensible sans explication se méfie, à juste titre.

C'est la règle de conception que nous appliquons, et c'est celle que nous recommandons à toute agence, indépendamment de l'outil utilisé.

Ce qu'on enregistre : qu'un contrôle a eu lieu, par qui, à quelle date, avec quelle échéance, et éventuellement le résultat sous forme binaire — condition remplie ou non. Ce qu'on n'enregistre pas : le document lui-même, ni son contenu détaillé.

La raison est double. D'abord, la minimisation : conserver un extrait de casier judiciaire dans un dossier partagé crée un risque disproportionné par rapport au bénéfice — la preuve de diligence est déjà apportée par la trace du contrôle. Ensuite, le pragmatisme : un document conservé doit être protégé, tracé, purgé, et restitué sur demande. Un document jamais conservé n'a aucun de ces coûts.

Lorsqu'un extrait doit malgré tout transiter — pour être vérifié par la personne habilitée —, le passage doit être encadré : accès restreint, second facteur, plafond de durée, journalisation de l'ouverture, et destruction à l'issue. Transiter n'est pas conserver, et la distinction doit être opposable, pas seulement affichée.

Dans beaucoup d'agences, le contrôle des pièces d'un nouvel agent est réparti entre trois personnes sans que ce partage soit formalisé. Chacune suppose que l'autre a vérifié, et un agent se retrouve sur le terrain sans que personne n'ait regardé son dossier. C'est la situation la plus embarrassante qui soit, et elle est fréquente.

Écrivez donc, en une ligne : qui vérifie, quoi, à quel moment, et qui contrôle que le contrôle a eu lieu. Cette dernière question paraît redondante ; elle ne l'est pas.

Sur les accès : le dossier du personnel n'a aucune raison d'être ouvert à tout l'encadrement. Dans ShieldOne, l'accès aux pièces du dossier du personnel dépend d'un attribut distinct du simple rôle de manager, la lecture directe des fichiers est fermée, et une consultation laisse une trace. Un responsable de planning n'a pas besoin de lire ces pièces pour faire son travail — et n'a donc pas à y accéder.

La trace du contrôle est une donnée du dossier du personnel : elle se conserve tant qu'elle est utile à la relation de travail et à la démonstration de la diligence de l'employeur, puis elle se purge.

Deux règles de méthode évitent les erreurs les plus courantes. Le point de départ de la rétention est le maximum entre la date de saisie et la date d'échéance : une pièce n'est jamais purgeable tant qu'elle est en vigueur. Ancrer la purge sur la seule date de saisie détruirait une carte valable encore plusieurs années sous prétexte qu'elle a été enregistrée il y a longtemps.

Une pièce liée à une compétence ne se purge pas automatiquement. Un certificat expiré est ce qui ferme l'accès à un poste ; le supprimer ferait passer la compétence de « expirée, donc refus » à « non concernée, donc autorisé », rendant l'agent affectable sans qu'aucun responsable n'ait rien décidé.

Enfin, la règle qui engage le plus : n'annoncez jamais une durée que votre système n'applique pas. Écrire une durée dans un registre et conserver au-delà est une déclaration inexacte, et c'est le seul risque réellement pénal de ce domaine.

Un. Une liste écrite des pièces exigées, par canton et par type de poste. Deux. Une personne nommée pour le contrôle, avec un remplaçant. Trois. Un enregistrement de la trace — auteur, date, échéance — et rien de plus. Quatre. Un suivi des échéances à quatre-vingt-dix jours, qui alerte avant qu'un agent ne devienne non affectable. Cinq. Une revue annuelle du dispositif, parce que les exigences cantonales évoluent.

Ce dispositif ne coûte presque rien à mettre en place et se rejoue à chaque arrivée. Sa valeur se révèle deux fois : le jour d'un contrôle, où une trace datée et attribuée se produit en trente secondes ; et le jour d'un incident, où l'agence doit démontrer qu'elle avait vérifié.

Une remarque pour finir. La tentation de tout scanner « au cas où » est forte, parce qu'elle donne le sentiment de bien faire. C'est l'inverse : une pile de photocopies sensibles devient un problème de protection des données au moment même où l'on cherchait à démontrer sa rigueur.

Trace du contrôle, suivi des échéances, accès restreint au dossier du personnel et journalisation des consultations font partie de la construction du produit : l'ensemble est présenté sur la page d'accueil de ShieldOne.