ge_gerichte · ATA/1316/2024 · 2024-11-12 · fr

Résumé:
 Recours d’une fonctionnaire des EPI contre le traitement de ses données personnelles générées par la journalisation de ses entrées au moyen de sa clé électronique. Finalité du traitement ne ressortant pas explicitement de la charte informatique des EPI. La collecte des données est en lien avec la sécurité des locaux. Le terme malversation utilisé dans la charte informatique ne peut être compris, dans ce cadre, qu’en lien avec un accès indu aux locaux, tout comme le contexte dans lequel le terme est inséré dans la charte, en lien avec un « délit » au sens du droit pénal, comme par exemple un vol, un accès indu aux locaux, une violation de domicile ou encore un dommage à la propriété. Principe de reconnaissabilité non respecté, la charte informatique ne mentionnant pas la journalisation des accès au moyen de la clé électronique et la recourante n’avait pas signé de quittance en recevant sa clé. Impossibilité de retenir un lien évident, reconnaissable, entre la journalisation des données et une problématique de gestion du personnel relative aux horaires. Le choix d'une option de traitement moins incisif aurait dû être privilégié pour contrôler l’heure réelle d’arrivée de la recourante afin de confirmer ou infirmer les soupçons du supérieur hiérarchique. Non-respect du principe de la proportionnalité. Admission partielle du recours et renvoi du dossier à l'autorité intimée pour constat de l’illicéité du traitement des données et destruction des données correspondantes, conformément à la recommandation du préposé.

RÉPUBLIQUE ET 
 
CANTON DE GENÈVE 
POUVOIR JUDICIAIRE 
A/1536/2024-LIPAD 
ATA/1316/2024 
COUR DE JUSTICE 
Chambre administrative 
Arrêt du 12 novembre 2024 
 
 
 dans la cause 
 
 
A______ 
recourante 
représentée par Me Yann LAM, avocat 
contre 
ÉTABLISSEMENTS PUBLICS POUR L'INTÉGRATION (EPI) 
intimés 
représentés par Me Sébastien VOEGELI, avocat 
et 
PRÉPOSÉ CANTONAL À LA PROTECTION DES DONNÉES ET À LA 
TRANSPARENCE 
appelé en cause 
_________ 


- 2/14 - 
A/1536/2024 
EN FAIT 
A. a. A______ était collaboratrice au sein des Établissements publics médicaux (ci-
après : EPI) du 1er janvier 2008 au 23 février 2024. 
b. Elle travaillait en qualité de gestionnaire des ressources humaines 
(ci- après : RH), chargée de la formation. 
B. a. Le 9 janvier 2024, en raison de soupçons de sa hiérarchie en lien avec ses 
horaires, les EPI ont extrait les données concernant ses entrées au moyen de sa clé 
électronique dans les locaux sis au __ étage du bâtiment où elle travaillait, sis route 
B______ (service C______), pendant la période du 16 janvier 2023 au 
4 janvier 2024. Ils ont croisé ce fichier de données avec les entrées manuelles des 
horaires de la collaboratrice dans l’application officielle dédiée à l’enregistrement 
du temps de travail des membres du personnel, MOBATIME. 
Une seconde extraction des données a été réalisée le 11 janvier 2024 concernant les 
recherches et consultations de données personnelles effectuées dans la base de 
données Vision RH (ci-après : VRH) par la collaboratrice afin d’établir l’existence 
ou non d’un manquement à ses obligations professionnelles et son étendue. 
b. Ces deux fichiers contenaient des données personnelles de la collaboratrice, 
notamment ses noms et prénoms ainsi que les données de consultations des 
applications. 
c. Le 15 janvier 2024 s’est tenu un entretien de service, au cours duquel la hiérarchie 
a reproché à A______ une manipulation des timbrages dans l’application 
MOBATIME et des consultations non autorisées de données sur l’application VRH. 
Elle a appris à cette occasion que des données la concernant avait été récoltées 
durant une année. 
d. Le 22 février 2024, une décision de résiliation des rapports de service avec effet 
immédiat a été notifiée à A______ par les EPI en raison de soupçons de 
manquements graves à ses devoirs de fonction, découverts fortuitement les 4 et 11 
janvier 2024 en lien avec des manipulations de timbrages et des consultations non 
autorisées de données personnelles de collaborateurs de l’institution dans 
l’application VRH. 
Son licenciement se fondait sur les fichiers obtenus dans le cadre des extractions de 
VRH et de la journalisation relative à l’utilisation de sa clé électronique pour ouvrir 
les portes sécurisées du 1er étage. Les manquements ainsi constatés étaient 
suffisants pour mettre fin aux rapports de service de leur collaboratrice avec effet 
immédiat. 
e. Le 21 mars 2024, A______ a interjeté recours à l’encontre de cette décision 
(procédure A/981/2024) auprès de la chambre administrative de la Cour de justice 
(ci-après : la chambre administrative). 


- 3/14 - 
A/1536/2024 
C. a. Le 14 février 2024, A______ a formulé une requête auprès de son employeur en 
constat du caractère illicite du traitement de ses données personnelles en lien avec 
les deux extractions citées sous let. B.a. Ces éléments devaient être détruits 
conformément à l’art. 47 al. 1 let. b et c de la loi sur l’information du public, l’accès 
aux documents et la protection des données personnelles du 5 octobre 2001 
(LIPAD - A 2 08). 
b. Le 27 février 2024, cette requête a été transmise au préposé cantonal à la 
protection des données (ci-après : le préposé) par les EPI, afin qu’il leur adresse une 
recommandation sur la suite à lui donner. 
c. Dans sa recommandation du 15 mars 2024, le préposé a considéré que la 
journalisation des accès dans l’application VRH était conforme à la LIPAD et ne 
constituait pas un traitement illicite des données personnelles de la collaboratrice. 
En revanche, l’utilisation à des fins de contrôle horaire de la journalisation des 
données de la collaboratrice relative aux ouvertures des portes sécurisées du service 
C______ au moyen de sa clé électronique constituait un traitement illicite de ses 
données. Il s’agissait d’y mettre fin. Les principes de finalité et de reconnaissabilité 
n’étaient pas respectés, car la notion indiquée dans les quittances de remise des clés 
« en cas de soupçon de malversation » ne pouvait se comprendre qu’en lien avec la 
sécurité des lieux (accès indu aux locaux) et non en lien avec un contrôle horaire. 
Le préposé estimait en outre que le principe de proportionnalité n’était pas respecté 
en l’espèce, au motif que l’employeur aurait pu constater la manipulation alléguée 
des horaires d’une autre manière, par exemple par la surveillance directe du 
supérieur hiérarchique. 
D. a. Par décision déclarée exécutoire nonobstant recours du 28 mars 2024, les EPI ont 
constaté que la journalisation des accès dans l’application VRH (ch. 1) et celle 
relative à la clé d’ouverture des portes sécurisées du service RH (ch. 2) étaient 
conformes à la LIPAD. Ils considéraient que l’utilisation de la journalisation 
précitée à des fins de contrôle des horaires de travail dans le contexte de la 
procédure administrative A/981/2024 était ainsi licite (ch. 3). Ils ont refusé de 
procéder à la destruction des fichiers générés par les deux extractions querellées 
aussi longtemps que la procédure de recours A/981/2024 était pendante (ch. 4). 
Ils suivaient la recommandation du préposé au sujet de la journalisation des accès 
dans l’application VRH. En revanche, leur position divergeait de l’interprétation du 
préposé s’agissant de la notion de « soupçons de malversation » figurant sur la 
quittance de remise de la clé électronique. Ces termes ne leur permettaient pas 
uniquement de procéder à une extraction de cette journalisation en cas de problèmes 
liés à la sécurité des lieux mais également en cas de problématiques liées à la gestion 
du personnel comme celles visées dans la procédure administrative concernant la 
collaboratrice. Le but de la collecte des données, soit le contrôle des horaires de 
travail et la possibilité d’extraire les données correspondantes, était reconnaissable, 
en particulier par le fait que la directrice RH était nommée comme disposant de la 


- 4/14 - 
A/1536/2024 
faculté de demander ces extractions en cas de soupçons de malversations par un 
collaborateur. 
Il n’existait pas de mesure plus proportionnée, telle qu’une surveillance 
hiérarchique pour ce type particulier de résiliation, au regard des exigences légales 
en matière de rapidité de réaction qu’imposaient ces décisions. 
Enfin, dans la mesure où la collaboratrice avait interjeté recours le 21 mars 2024 à 
l’encontre de la décision de résiliation de ses rapports de service (procédure 
A/981/2024), il n’y avait pas lieu de procéder à la destruction des fichiers générés 
par les extractions querellées dans la mesure où ils constituaient des moyens de 
preuve faisant partie intégrante du dossier de recours. 
b. Par acte du 6 mai 2024, A______ a interjeté recours devant la chambre 
administrative contre la décision précitée, concluant à l’annulation des points 2 à 4 
de cette décision et au constat que l’utilisation de la journalisation relative à la clé 
d’ouverture des portes sécurisées du service C______ à des fins de contrôle horaire 
constituait un traitement illicite de ses données. Celles-ci devaient être détruites. 
À titre liminaire, elle soulignait que la question du traitement des données liées à 
l’utilisation de l’application VRH, considéré comme licite par le préposé, n’était 
pas contestée. 
La journalisation et l’extraction des données liées à l’utilisation de la clé 
d’ouverture des portes n’était pas un moyen fiable permettant de procéder à un 
contrôle horaire. Cette clé ne permettait que d’ouvrir la porte depuis l’extérieur, 
alors que le départ de la zone sécurisée ne nécessitait pas de badger, la porte étant 
automatique. Si l’autorité intimée souhaitait utiliser ce moyen comme contrôle 
auxiliaire, outre la pointeuse, elle aurait dû installer un système nécessitant de 
pointer aussi pour quitter la zone sécurisée. 
La récolte de telles données n’atteignait pas son but. Le préposé avait estimé à juste 
titre que le principe de finalité avait été violé. En outre, les principes d’information 
et de reconnaissabilité avaient été violés. Elle n’avait jamais signé la quittance de 
remise des clés et le fait que la directrice RH soit mentionnée comme pouvant 
ordonner une telle extraction ne pouvait être interprété comme un élément 
permettant de reconnaitre le but de la collecte des données. Le principe de 
proportionnalité n’était pas respecté non plus, dès lors que l’autorité aurait pu 
prendre le temps de faire son enquête, la rapidité de réaction attendue aux fins d’un 
licenciement immédiat requise par la jurisprudence ne s’appliquant qu’entre le 
moment où les faits de nature à rompre les liens de confiance étaient découverts et 
la décision qui s’ensuivait. Le litige ne portait pas sur la question de la validité du 
licenciement immédiat mais bien sur l’enquête qu’aurait dû effectuer l’employeur. 
Enfin, en prétendant qu’il était exclu de procéder à une destruction des fichiers 
servant de moyens de preuve dans le cadre d’une procédure pendante à la chambre 
administrative, les EPI se méprenaient, l’existence d’une telle procédure ne 
présupposant pas un droit de l’autorité intimée à violer la loi, en particulier celle 


- 5/14 - 
A/1536/2024 
liée à la protection des données. Admettre cette hypothèse revenait à avantager la 
partie violant la loi, ce qui n’était pas admis d’une autorité administrative, l’abus de 
droit ne méritant aucune protection. 
c. Dans leurs observations du 21 mai 2024, le préposé et la préposée adjointe ont 
maintenu leur position exprimée dans la recommandation du 15 mars 2024. Le 
traitement des données querellées avait trait au croisement des données horaires 
insérées manuellement par la recourante dans l’application MOBATIME avec 
celles issues des relevés de l’utilisation de sa clé électronique pour accéder au 
secteur du service C______. Comme déjà exprimé, le traitement ne respectait pas 
le principe de la finalité de la collecte, la journalisation de l’ouverture des portes 
intervenant à des fins de sécurité et non de contrôle horaire. Il était recommandé 
aux EPI d’y mettre fin et d’en supprimer les effets, conformément à l’art. 47 al. 1 
let. b LIPAD. Sur ce point, leur recommandation n’avait pas été suivie par les EPI. 
d. Dans leurs observations du 8 juillet 2024, les EPI ont conclu au rejet du recours. 
La procédure s’inscrivait dans un rapport étroit de connexité avec la cause 
A/981/2024. Ils avaient déjà pris position de manière détaillée sur le reproche qui 
leur était adressé de traitement illicite des données dans le cadre de leurs 
observations du 22 avril 2024 dans cette cause. 
Le traitement respectait le principe de finalité, contrairement à l’avis du préposé. 
La définition du terme « malversation » allait dans le sens d’un comportement 
humain répréhensible, cela au sens du droit pénal ou du droit administratif. Le terme 
de malversation n’était pas limité à la sécurité des lieux, comme le soutenait le 
préposé. Cette interprétation était corroborée par la mention du terme malversation 
dans le paragraphe consacré aux actes illicites de la charte informatique des EPI. 
Elle l’était également dans la quittance de remise de la clé électronique. Le timbrage 
inexact au détriment de l’employeur constituait une grave violation du devoir de 
fidélité du travailleur, justifiant son renvoi immédiat. L’acte de timbrer 
inexactement ses horaires de travail était « à l’évidence englobé dans la définition 
du terme de malversation ». Le principe de finalité n’avait pas été violé : le 
traitement des données avait été effectué dans les limites du cadre annoncé, à savoir 
la prévention et l’investigation de comportements potentiellement illicites de la part 
des porteurs de badges. 
Le principe de reconnaissabilité avait également été respecté, tout porteur de badge 
étant informé que la journalisation de ses accès serait utilisée pour élucider des 
soupçons de malversation. 
Enfin, le principe de proportionnalité avait été respecté, la solution proposée par le 
préposé n’étant ni praticable ni souhaitable. Au titre de la surveillance des 
employés, le SECO préconisait par exemple un contrôle ponctuel effectué par 
badge au lieu d’une surveillance permanente. La solution mise en place par les EPI, 
à savoir de croiser les données d’accès à la porte avec les entrées dans MOBATIME 
était proportionnée car étant moins intrusive qu’une surveillance de la recourante 


- 6/14 - 
A/1536/2024 
par sa hiérarchie. Ils avaient ainsi ménagé le principe de proportionnalité en 
choisissant la solution la moins intrusive possible. 
e. Dans sa réplique du 22 août 2024, la recourante a rappelé ne jamais avoir été 
chargée de remettre les clés et badges aux utilisateurs, de sorte qu’elle ne savait pas 
que la journalisation des accès était enregistrée et pouvait être exploitée, comme la 
quittance de remise des médias utilisateurs le précisait. 
Le principe de reconnaissabilité n’avait pas été respecté. Elle n’avait jamais été 
informée que des données étaient récoltées lors de l’ouverture de la porte avec un 
badge. Il n’était enfin pas nécessaire de badger pour sortir du secteur, rendant un 
contrôle horaire de facto impossible. Enfin, elle bénéficiait d’un horaire variable et 
il aurait donc fallu en toute cohérence disposer d’un contrôle de sortie pour 
reconstituer un horaire. Sous l’angle de l’aptitude, le moyen ne permettait pas 
d’atteindre les buts fixés par l’employeur, violant le principe de la proportionnalité. 
L’exploitation des données ainsi récoltées en vue du contrôle horaire était illicite. 
f. Sur ce, les parties ont été informées que la cause était gardée à juger. 
EN DROIT 
1. 
Interjeté en temps utile devant la juridiction compétente, le recours est recevable 
(art. 132 de la loi sur l'organisation judiciaire du 26 septembre 2010 - LOJ - E 2 05 ; 
art. 62 al. 1 let. a de la loi sur la procédure administrative du 12 septembre 1985 - 
LPA - E 5 10). 
2. 
Il y a lieu préalablement de préciser l’objet du litige. 
2.1 L'objet du litige est principalement défini par l'objet du recours (ou objet de la 
contestation), les conclusions du recourant et, accessoirement, par les griefs ou 
motifs qu'il invoque. L'objet du litige correspond objectivement à l'objet de la 
décision attaquée, qui délimite son cadre matériel admissible (ATF 136 V 
362 consid. 3.4 et 4.2 ; arrêt du Tribunal fédéral 2C_581/2010 du 28 mars 2011 
consid. 1.5 ; ATA/499/2021 du 11 mai 2021 consid. 2a). La contestation ne peut 
excéder l'objet de la décision attaquée, c'est-à-dire les prétentions ou les rapports 
juridiques sur lesquels l'autorité inférieure s'est prononcée ou aurait dû se 
prononcer. L'objet d'une procédure administrative ne peut donc pas s'étendre ou 
qualitativement se modifier au fil des instances, mais peut tout au plus se réduire 
dans la mesure où certains éléments de la décision attaquée ne sont plus contestés. 
Ainsi, si un recourant est libre de contester tout ou partie de la décision attaquée, il 
ne peut pas prendre, dans son mémoire de recours, des conclusions qui sortent du 
cadre des questions traitées dans la procédure antérieure (ATA/499/2021 du 11 mai 
2021 consid. 2a). 
2.2 En l’espèce, l’objet du litige est limité aux points 2 à 4 de la décision des EPI 
du 28 mars 2024, soit le constat par ces derniers de la conformité à la LIPAD de la 
journalisation des données relatives à la clé d’ouverture des portes sécurisées, 


- 7/14 - 
A/1536/2024 
l’utilisation considérée comme licite de ces données à des fins de contrôle des 
horaires de travail dans le contexte de la procédure administrative à l’encontre de 
la recourante et leur refus de détruire ces données. 
La question de la journalisation des accès dans l’application VRH n’est plus 
litigieuse, la recourante ayant admis la position du préposé, lequel estimait que le 
traitement de ces données était licite et proportionné. 
3. 
La recourante souhaite le constat de l’illicéité du traitement des données issues de 
la journalisation de ses entrées au moyen de la clé électronique ainsi que la 
destruction des fichiers correspondants. 
3.1 La LIPAD régit l’information relative aux activités des institutions et la 
protection des données personnelles (art. 1 al. 1 LIPAD). Elle poursuit deux 
objectifs, à savoir, d’une part, favoriser la libre formation de l’opinion et la 
participation à la vie publique et, d’autre part, protéger les droits fondamentaux des 
personnes physiques ou morales de droit privé quant aux données personnelles les 
concernant (art. 1 al. 2 let. a et b LIPAD). Elle comporte ainsi deux volets, l’un 
concernant l’information du public et l’accès aux documents réglé dans le titre II 
(art. 5 ss LIPAD), qui n’est pas en cause dans le cadre du présent recours, et l’autre 
portant sur la protection des données personnelles, dont la réglementation est 
prévue au titre III (art. 35 ss LIPAD). 
3.2 Elle s'applique notamment aux institutions, établissements et corporations de 
droit public cantonaux et communaux, ainsi que leurs administrations et les 
commissions qui en dépendent (art. 3 al. 1 let. c LIPAD). 
3.3 Par données personnelles ou données, la LIPAD vise toutes les informations se 
rapportant à une personne physique ou morale de droit privé, identifiée ou 
identifiable (art. 4 let. a LIPAD). Selon l’art. 4 let. b LIPAD, par données 
personnelles sensibles, on entend les données personnelles sur la sphère intime 
(ch. 2) et des poursuites ou sanctions pénales ou administratives (ch. 4). 
Par ailleurs, constitue un traitement de ces données toute opération relative à 
celles‑ci - quels que soient les moyens et procédés utilisés - notamment leur 
collecte, conservation, exploitation, modification, communication, archivage ou 
destruction (art. 4 let. e LIPAD). 
3.4 Selon l'art. 35 LIPAD, les institutions publiques ne peuvent traiter des données 
personnelles que si, et dans la mesure où, l'accomplissement de leurs tâches légales 
le rend nécessaire (al. 1). Des données personnelles sensibles ou des profils de la 
personnalité ne peuvent être traités que si une loi définit clairement la tâche 
considérée et si le traitement en question est absolument indispensable à 
l'accomplissement de cette tâche ou s’il est nécessaire et intervient avec le 
consentement explicite, libre et éclairé de la personne concernée (al. 2). 
3.5 L'art. 36 al. 1 LIPAD dispose que les institutions publiques veillent, lors de tout 
traitement de données personnelles, à ce que ces dernières soient pertinentes et 
nécessaires à l'accomplissement de leurs tâches légales (let. a) ainsi qu'exactes et si 


- 8/14 - 
A/1536/2024 
nécessaire mises à jour et complétées, autant que les circonstances permettent de 
l’exiger (let. b). Lorsqu’une institution publique constate que des données 
personnelles qu’une autre institution lui a communiquées en vertu de l’art. 39 al. 1 
LIPAD, sont inexactes, incomplètes ou obsolètes, elle en informe cette dernière, à 
moins que cette information ne soit contraire à une loi ou à un règlement (al. 2). 
3.6 La collecte de données personnelles doit être faite de manière reconnaissable 
pour la personne concernée (art. 38 al. 1 LIPAD). 
3.7 Les institutions publiques détruisent ou rendent anonymes les données 
personnelles dont elles n'ont plus besoin pour accomplir leurs tâches légales, dans 
la mesure où ces données ne doivent pas être conservées en vertu d’une autre loi 
(art. 40 al. 1 LIPAD). Sur décision de l'instance dirigeante de l'institution publique 
concernée, la destruction de données personnelles peut être différée durant deux ans 
au maximum à des fins d'évaluation de politiques publiques. Ces données sont dès 
lors soustraites à communication, sauf si elles sont accessibles au regard de la loi 
sur les archives publiques, du 1er décembre 2000, ou du titre II de la LIPAD (art. 40 
al. 2 LIPAD). 
3.8 L'art. 47 al. 1 LIPAD prévoit que toute personne physique ou morale de droit 
privé peut notamment, à propos des données la concernant, exiger des institutions 
publiques qu’elles s’abstiennent de procéder à un traitement illicite (let. a), mettent 
fin à un traitement illicite et en suppriment les effets (let. b) ou constatent le 
caractère illicite du traitement (al. 3). 
Sauf disposition légale contraire, elle est en particulier en droit d’obtenir des 
institutions publiques, à propos des données la concernant, qu’elles détruisent celles 
qui ne sont pas pertinentes ou nécessaires (al. 2 let. a), qu'elles rectifient, complètent 
ou mettent à jour celles qui sont respectivement inexactes, incomplètes ou 
dépassées (al. 2 let. b). 
3.9 Selon l'art. 49 LIPAD, toute requête fondée sur l'art. 47 LIPAD notamment doit 
être adressée par écrit au responsable chargé de la surveillance de l’organe dont 
relève le traitement considéré (al. 1). Si le responsable n’entend pas faire droit 
intégralement aux prétentions du requérant ou en cas de doute sur le bien-fondé de 
celles-ci, il transmet la requête au préposé avec ses observations et les pièces utiles 
(al. 2). Le préposé cantonal instruit la requête de manière informelle, puis il 
formule, à l’adresse de l’institution concernée et du requérant, une recommandation 
écrite sur la suite à donner à la requête (al. 3). L’institution concernée statue alors 
par voie de décision dans les dix jours sur les prétentions du requérant (al. 4). 
À cet égard, la chambre de céans a d'ores et déjà jugé que l'absence d'une 
recommandation préalable du préposé ne pouvait conduire à une irrecevabilité du 
recours contre la décision querellée mais plutôt à son annulation pour violation 
d'une règle essentielle de procédure (ATA/229/2018 du 13 mars 2018 consid. 6 d). 
3.10 En droit privé, l'art. 328b de la loi fédérale du 30 mars 1911, complétant le 
Code civil suisse (CO, Code des obligations - RS 220), prévoit que l’employeur ne 


- 9/14 - 
A/1536/2024 
peut traiter des données concernant le travailleur que dans la mesure où ces données 
portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à 
l’exécution du contrat de travail. En outre, les dispositions de la loi fédérale sur la 
protection des données du 19 juin 1992 (LPD - RS 235.1) sont applicables. Cet 
article règlemente les questions liées à la protection des données dans le contrat de 
travail (Marie MAJOR, Questions spécifiques/Le droit d’accès de l’employé à son 
dossier personnel ; in Jean-Philippe DUNAND/Pascal MAHON [éd.], La protection 
des données dans les relations de travail, 2017, p. 289). 
À l'instar de ce qui prévaut pour l'art. 328 CO, l'art. 328b CO doit également 
s'appliquer par analogie en droit public, en l’absence de dispositions expresses 
prévues par le droit de la fonction publique (ATA/649/2023 du 20 juin 2023 
consid. 2.3.2.3 et les références citées). 
3.11 L’art. 26 al. 1 de l’ordonnance 3 relative à la loi fédérale sur le travail dans 
l'industrie, l'artisanat et le commerce du 13 mars 1964 (LTr - RS 822.11) 
(ci-après : OLT 3) concerne la surveillance des travailleurs. La protection de la 
personnalité des travailleurs, ancrée à l’art. 328 CO, qui s’étend par cet article au 
droit public du travail, rappelle que le traitement des données personnelles doit 
respecter le principe de la bonne foi. Dans ce cadre, cela signifie que le traitement 
des données doit être effectué de manière transparente pour la personne concernée, 
c’est-à-dire qu’elle doit être informée au préalable de manière détaillée du type et 
du but du traitement. Le principe de proportionnalité doit être systématiquement 
respecté (Commentaire de l’OLT 3 du Secrétariat d’État à l’économie ad art. 26 
p. 6). 
3.12 Les relations entre les EPI et son personnel sont régies par la loi générale 
relative au personnel de l’administration cantonale, du pouvoir judiciaire et des 
établissements publics médicaux du 4 décembre 1997 (LPAC - B 5 05) (art. 43 
al. 1 de 
la 
loi 
sur 
l’intégration 
des 
personnes 
handicapées 
du 
16 mai 2003 - LIPH - K 1 36). Des contrôles statistiques et non individualisés de 
l’utilisation des ressources informatiques par le personnel peuvent être effectués 
(art. 23A al. 4 du règlement d’application de la loi générale relative au personnel de 
l’administration cantonale, du pouvoir judiciaire et des établissements publics 
médicaux du 24 février 1999 - RPAC - B 5 05.01). Lorsque les intérêts 
prépondérants de l’État de Genève, tels que la sécurité informatique ou le bon 
fonctionnement du service l’exigent, des contrôles individualisés, et le cas échéant, 
un accès à la liste des appels, à leur durée, au poste de travail informatique ou au 
compte de messagerie peuvent être ordonnés par le chef du département ou son 
secrétaire général. Ces mesures respectent dans tout la mesure du possible la sphère 
privée des membres du personnel concernés (art. 23A al. 5 RPAC). 
3.13 Les directives sont des ordonnances administratives dont les destinataires sont 
ceux qui sont chargés de l'exécution d'une tâche publique, et non les administrés. 
Elles ne sont pas publiées dans le recueil officiel de la collectivité publique et ne 
peuvent 
donc 
avoir 
pour 
objet 
la 
situation 
juridique 
de 
tiers 


- 10/14 - 
A/1536/2024 
(Pierre MOOR/Alexandre 
FLÜCKIGER/Vincent 
MARTENET, 
Droit 
administratif, vol. I, 3e éd., 2012, ch. 2.8.3.1). Une ordonnance administrative ne lie 
pas le juge, mais celui-ci la prendra en considération, surtout si elle concerne des 
questions d’ordre technique, tout en s’en écartant dès qu’il considère que 
l’interprétation qu’elle donne n’est pas conforme à la loi ou à des principes 
généraux (arrêt du Tribunal fédéral 2C_348/2022 du 7 mars 2023 ; ATA/697/2016 
du 23 août 2016 consid. 5c ; ATA/722/2015 du 14 juillet 2015 consid. 4b ; 
ATA/31/2012 du 17 janvier 2012 consid. 7). 
3.14 La charte informatique des EPI (ci-après : la charte informatique) est, comme 
le rappelle son al. 1, une directive. Elle précise à son art. 9 les mesures de contrôles 
possibles. Notamment, différentes informations peuvent être enregistrées de 
manière automatique à savoir : le trafic de messagerie et d’internet, les données 
d’authentification, les accès aux serveurs de fichiers et les statistiques d’appels 
téléphonique (ch. 9.1.1). Si un responsable hiérarchique dispose d’éléments 
concrets faisant soupçonner qu’un délit a été commis dans l’utilisation des 
ressources informatiques, il mandate le service des systèmes d’information afin que 
celui-ci réunisse les éventuelles preuves liées à la malversation. Il doit réunir les 
preuves matérielles (journaux, sauvegardes complètes et/ou partielles) qui le cas 
échéant seront remises aux autorités compétentes (ch. 9.3.1). 
La quittance de remise des « médias utilisateurs » des EPI précise que : 
« L’utilisation de cette clé donne lieu à une journalisation de ses accès aux 
différentes portes sécurisées. Ces données sont collectées à des fins de sécurité et 
conservées au sein de la base de donnée EXOS gérée par les services généraux et 
systèmes d’information des EPI. L’historique des accès est détruit après une année 
et des extractions de cette journalisation peuvent être demandées au service précité 
par la direction des ressources humaines en cas de soupçon de malversation. ». 
3.15 En l’espèce, les EPI considèrent que la journalisation des données liées à 
l’utilisation de la clé est conforme à la LIPAD et refusent donc sa destruction. Les 
termes utilisés dans la charte informatique étaient clairs et couvraient également la 
question du timbrage. 
Le préposé a retenu que tel n’était pas le cas, faute pour l’usage des données d’être 
conforme aux principes de la finalité, de reconnaissabilité et de proportionnalité. La 
recourante souscrit à l’avis de ce dernier. 
À titre préalable, il sera rappelé que les EPI sont un établissement public, doté de la 
personnalité juridique et dont le siège est à Genève (art. 28 LIPH). La LIPAD leur 
est applicable (art. 3 al. 1 let. c LIPAD). 
Il n’est pas querellé que les données journalisées sont liées à une personne identifiée 
et qu’il s’agit ainsi d’un traitement des données personnelles au sens de la LIPAD. 
La chambre de céans ne peut que suivre l’avis du préposé relatif au traitement 
illicite du croisement des données horaires insérées manuellement par la recourante 
dans MOBATIME et celles issues de relevés de l’utilisation de sa clé électronique 


- 11/14 - 
A/1536/2024 
pour accéder au service RH. En effet, selon le préposé, le principe de finalité (art. 35 
al. 1 LIPAD) implique que les données collectées ne peuvent être traitées que pour 
atteindre un but légitime qui a été communiqué lors de leur collecte, qui découle 
des circonstances ou qui est prévu par la loi. Les données collectées n’ont pas à être 
utilisées à d’autres fins. Or, in casu, la finalité du traitement, contrairement à l’avis 
des intimés, ne ressort pas explicitement de la charte. La collecte des données est, 
de prime abord, en lien avec la sécurité des locaux. Le terme malversation ne peut 
être compris, dans ce cadre, qu’en lien avec un accès indu aux locaux, tout comme 
le contexte dans lequel le terme est inséré dans la charte, en lien avec un « délit » 
au sens du droit pénal, comme par exemple un vol, un accès indu aux locaux, une 
violation de domicile ou encore un dommage à la propriété. L’utilisation de 
« malversation », bien que signifiant un comportement humain répréhensible, ne 
peut donc être compris qu’en lien avec la sécurité des lieux, au vu de la formulation 
choisie par les EPI dans leur charte informatique et non en lien avec toute possibilité 
de malversation, comme avec le contrôle horaire et le respect du timbrage. 
Cette conclusion est corroborée par les EPI eux-mêmes, qui indiquent qu’ils ne 
contrôlent pas les horaires par la porte d’entrée mais bien par l’application 
MOBATIME. Ils ne peuvent donc justifier sous cet angle l’usage des données à des 
fins de surveillance. En outre, faute de système de timbrage pour sortir du secteur, 
l’analyse des données est imprécise et ne peut reconstituer un horaire entier. 
Finalement, la recourante donne de manière convaincante plusieurs explications 
concernant une absence de timbrage ou une insertion manuelle des horaires, comme 
par exemple que l’entrée peut se faire avec plusieurs collègues, un seul ouvrant la 
porte pour tous, ne permettant pas de vérifier systématiquement l’entrée de chacun 
ni de reconstituer un horaire complet, pas plus que l’heure exacte d’arrivée. Dans 
ces conditions, l’utilisation de la base de données liées à la sécurité des locaux ne 
peut être utilisée à des fins de contrôle horaire, rendant cet usage contraire au 
principe de finalité. Pour ce motif déjà, le traitement est illicite. 
Le préposé rappelle que les finalités du traitement doivent être reconnaissables pour 
la personne concernée. Cette exigence concrétise le principe de la bonne foi et 
augmente la transparence du traitement des données. L’art. 38 LIPAD implique que 
selon le cours ordinaire des choses, la personne concernée doit pouvoir percevoir 
que des données la concernant sont ou vont être collectées. Elle doit pouvoir 
identifier la finalité du traitement, soit que celles-ci lui sont indiquées à la collecte 
ou qu’elles découlent des circonstances. En l’espèce, il sera tout d’abord souligné 
que la charte informatique des EPI ne mentionne pas la journalisation des accès au 
moyen de la clé électronique. En effet, le ch. 9.1 qui concerne la journalisation, 
indique que différentes informations sont enregistrées de manières automatiques 
(sic), à savoir « le trafic de messagerie et d’internet, les données d’authentification, 
les accès aux serveurs de fichiers, les statistiques d’appels téléphoniques » 
(ch. 9.1.1). Sous cet angle, on peut douter que la journalisation des accès liée aux 
clés électroniques soit ainsi conforme à la charte informatique et par conséquent 
licite au plan de la reconnaissabilité. En outre, il ressort du dossier que la recourante 


- 12/14 - 
A/1536/2024 
n’a pas signé une telle quittance, ayant reçu sa clé avant l’existence de ce document. 
Ainsi, de ce point de vue, le principe de la bonne foi n’est pas respecté ni s’agissant 
de l’utilisation des données à des fins de sécurité ni à des fins de contrôle horaire. 
À titre superfétatoire, il sera souligné que même si la recourante avait effectivement 
eu connaissance du contenu de cette quittance, ce dernier ne permet pas de 
comprendre que les termes « en cas de soupçon de malversation » recouvrent 
l’utilisation des données à des fins de contrôle des horaires. On ne peut ainsi retenir, 
contrairement à l’avis des EPI, un lien évident, reconnaissable, entre la 
journalisation des données et une problématique de gestion du personnel relative 
aux horaires, étant rappelé que la charte informatique ne comprend pas la 
journalisation des entrées. Le principe de reconnaissabilité n’est ainsi pas respecté. 
Finalement, le préposé peut également être suivi quand il retient que le choix d'une 
option de traitement moins incisif aurait dû être privilégié. Contrairement aux dires 
des intimés, il n’est pas exact de retenir que seul le croisement des données, au 
demeurant imprécis, permettait de vérifier les horaires de la recourante. Par 
exemple, comme mentionné par le préposé, il était loisible aux intimés de vérifier 
l’heure inscrite dans MOBATIME et de contrôler immédiatement l’heure réelle 
d’arrivée de la recourante afin de confirmer ou infirmer les soupçons du supérieur 
hiérarchique. Contrairement à l’avis des intimés, cet aménagement n’est ni si 
coûteux en temps et en argent public que cela se révèle impraticable, étant précisé 
que l’horaire variable de la recourante implique que ce n’est pas un timbrage horaire 
total inexact qui lui est reproché mais bien un timbrage d’arrivée différent de 
l’horaire réel d’arrivée. Le principe de la proportionnalité n’est ainsi pas respecté. 
Au vu de ce qui précède, le recours sera admis, les points 2 à 4 de la décision 
attaquée annulés et le dossier sera renvoyé à l'autorité intimée afin qu'elle constate 
l’illicéité du traitement des données et procède à la destruction des données 
correspondantes, conformément à la recommandation du préposé. 
4. 
Vu l'issue du litige, aucun émolument ne sera mis à la charge de la recourante qui 
obtient gain de cause (art. 87 al. 1 LPA). Une indemnité de procédure de 
CHF 1'000.- lui sera allouée, à la charge des intimés (art. 87 al. 2 LPA). 
Le litige s'inscrit dans le contexte des rapports de service de la recourante. Il 
concerne toutefois une contestation non pécuniaire (art. 83 let. a de la loi fédérale 
sur le Tribunal fédéral du 17 juin 2005 - LTF - RS 173.110). 
 
* * * * * 
PAR CES MOTIFS 
LA CHAMBRE ADMINISTRATIVE 
à la forme : 


- 13/14 - 
A/1536/2024 
déclare recevable le recours interjeté le 6 mai 2024 par A______ contre la décision des 
Établissements publics pour l'intégration (EPI) du 28 mars 2024 ; 
au fond : 
l’admet ; 
constate que l’utilisation de la journalisation des accès au moyen de la clé électronique 
d’A______ à des fins de contrôle horaire constituait un traitement de données illicite ; 
ordonne la destruction des fichiers récapitulant les accès d’A______ au moyen de sa clé 
électronique ; 
dit qu’il n’est pas perçu d’émolument ; 
alloue à A______ une indemnité de procédure de CHF 1'000.-, à la charge des EPI ; 
dit que, conformément aux art. 82 ss LTF, le présent arrêt peut être porté dans les trente 
jours qui suivent sa notification par-devant le Tribunal fédéral : 
- par la voie du recours en matière de droit public ; 
- par la voie du recours constitutionnel subsidiaire, aux conditions posées par les art. 113 
ss LTF ; 
le mémoire de recours doit indiquer les conclusions, motifs et moyens de preuve et porter 
la signature du recourant ou de son mandataire ; il doit être adressé au Tribunal fédéral, 
av. du Tribunal-Fédéral 29, 1000 Lausanne 14, par voie postale ou par voie électronique 
aux conditions de l'art. 42 LTF. Le présent arrêt et les pièces en possession du recourant, 
invoquées comme moyens de preuve, doivent être joints à l'envoi; 
communique le présent arrêt à Me Yann LAM, avocat de la recourante, à 
Me Sébastien VOEGELI, avocat des Établissements publics pour l'intégration (EPI), 
ainsi qu’au bureau du préposé cantonal à la protection des données et à la transparence. 
Siégeant : Michèle PERNET, présidente, Florence KRAUSKOPF, Jean-Marc 
VERNIORY, Patrick CHENAUX, Claudio MASCOTTO, juges. 
Au nom de la chambre administrative : 
le greffier-juriste : 
 
 
F. SCHEFFRE 
 
 
la présidente siégeant : 
 
 
M. PERNET 
 
 
Copie conforme de cet arrêt a été communiquée aux parties. 


- 14/14 - 
A/1536/2024 
 
Genève, le 
 
 
 
 
 
 
la greffière :