La CNIL tolère les dispositifs d’alerte au sein des entreprises pour mieux les contrôler, par Odile Garlin-Ferrard, Avocat (Actu)

Dans un document d’orientation adopté le 10 novembre 2005, la CNIL a défini les conditions de conformité des dispositifs d’alerte professionnelle à la loi Informatique et Libertés du 6 août 2004.

Un projet de " code d’éthique " d’un groupe international, Mac Donald France, et la mise en oeuvre d’une " hotline ou ligne éthique" à destination des 1 500 employés de la Compagnie Européenne d’Accumulateurs (CEAC) avaient été soumis à la CNIL.

Ces dispositifs consistaient dans la mise en place de moyens, dénommés " whistleblowing ", permettant aux salariés d’une entreprise d’alerter par téléphone, e-mail, télécopie ou courrier postal, les responsables des sociétés concernées, des pratiques ou des comportements d’autres salariés, supposés contraires aux lois en vigueur, ou aux règles propres à l’entreprise.

La CNIL avait alors refusé ces deux projets le 26 mai dernier (délibération CNIL 2005-110 et 2005-111), estimant d’une part que ces projets relevaient de la procédure d’autorisation et non de celle de la déclaration, et d’autre part que ces dispositifs étaient disproportionnés au but recherché et pourraient entraîner des risques de dénonciations calomnieuses.

Toutefois, la CNIL restait bien consciente que sa position était en totale contradiction avec la loi américaine Sarbanes-Oxley, votée par le Congrès en juillet 2002 et ratifiée par le Président Bush le 30 juillet 2002, à la suite des scandales suscités par les affaires Enron et Worldcom.

En effet, cette loi oblige les Présidents des entreprises cotées aux Etats-Unis, et donc aux sociétés françaises cotées aux USA, à certifier leurs comptes auprès de la Securities and Exchanges Commission (SEC), l’organisme de régulation des marchés financiers US, et impose la mise en place de procédures de traitement des alertes concernant des dysfonctionnements dans le domaine financier.

Face aux protestations des entreprises contraintes de mettre en place les alertes éthiques imposées par la loi Sarbanes-Oxley, la CNIL, après un large processus de consultations auprès des autorités américaines et européennes compétentes, des représentants des entreprises, des syndicats et différents experts, a finalement défini les conditions à remplir par les dispositifs d’alerte pour être conformes à la Nouvelle Loi Informatique et Libertés et répondre aux exigences de la loi Sarbanes Oxley.

Ainsi, quatre règles ont été définies par la CNIL :

1°) Restreindre le dispositif d’alerte au domaine comptable, bancaire, au contrôle des comptes et à la lutte contre la corruption

La mise en place de dispositifs d’alerte sera acceptable si elle répond, soit à une obligation législative ou réglementaire de droit français, visant à l’établissement de procédures de contrôle interne, comme dans le domaine bancaire, soit à un intérêt dont la légitimité est bien établie.

Ces dispositifs bénéficieront auprès de la CNIL de la procédure simplifiée de l’autorisation unique, si les entreprises responsables du dispositif ont déclaré se conformer au texte de l’autorisation unique émise par la CNIL.

2°) Décourager les dénonciations anonymes

La CNIL veut empêcher toute incitation à l’utilisation anonyme de la procédure de dénonciation.

Ainsi, les auteurs d’alerte mettant en cause des comportements de personnes désignées doivent s’identifier, ceci afin d’éviter des délations.

3°) Mettre en place une organisation spécifique pour recueillir et traiter les alertes

L’entreprise concernée devra confier à une organisation spécifique mise en place au sein de l’entreprise le recueil et le traitement des alertes professionnelles, laquelle organisation devra veiller à limiter la circulation des informations, pour éviter toute stigmatisation des personnes visées par ces alertes.

Avec le statut légal accordé depuis le 22 octobre 2005 au correspondant aux données, ne pourrait-on concevoir que cette tâche lui incombe également ?

4°) Informer la personne visée par une alerte

L’esprit de la Nouvelle Loi Informatique et Libertés requiert que la personne visée par une alerte soit informée, dés l’enregistrement de celle-ci, afin de pouvoir exercer, conformément à cette loi, ses droits d’accès, de rectification ou d’opposition.

La CNIL, bien consciente de l’existence officieuse de ces dispositifs au sein de certaines entreprises, a donc préféré infléchir sa position afin de pouvoir exercer son contrôle. Mais l’art de gouverner, n’est-il pas celui de composer ?