AgentPublic/cnil huggingface dataset:
Dans le cadre du présent traitement, ces données peuvent notamment être traitées dès lors que le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice, conformément à l'article 9-2-f du RGPD.
	D'autre part, les données collectées et traitées dans le cadre des dispositifs de recueil d'alertes professionnelles peuvent également comprendre des données relatives aux infractions, condamnations et mesures de sûreté concernant des personnes physiques. De telles données ne peuvent être collectées et traitées que dans des conditions strictement définies à l'article 10 du RGPD et à l'article 46 de la LIL.
	Dans le cadre du présent traitement, la collecte de ces données peut être autorisée :
	- par des dispositions spécifiques du droit national (par exemple, articles 8 ou 17 de la Loi Sapin 2 , article L. 225-102-4.-I. du Code de commerce, etc.) ;
	- ou pour permettre au responsable de traitement de préparer et, le cas échéant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci , conformément à l'article 46-3° de la LIL.
	5.4. Traitement de l'identité de l'auteur d'une alerte
	Un dispositif d'alerte peut imposer ou proposer que l'auteur de l'alerte s'identifie.
	Si l'émetteur de l'alerte professionnelle doit s'identifier, son identité est traitée de façon confidentielle par l'organisation ou les personnes chargées de la gestion des alertes.
Il est toutefois recommandé que l'organisme n'incite pas les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme, étant entendu qu'une alerte anonyme est une alerte dont l'auteur n'est ni identifié ni identifiable.
	Par exception, l'alerte d'une personne qui souhaite rester anonyme devrait être traitée sous les conditions suivantes :
	- la gravité des faits mentionnés est établie et les éléments factuels sont suffisamment détaillés ;
	- le traitement de cette alerte doit s'entourer de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif.
	Après s'être assuré de la nécessité et de la pertinence des données personnelles qu'il utilise, l'organisme doit par ailleurs s'assurer, tout au long de la durée de vie du traitement, de la qualité des données qu'il traite. Cela signifie en pratique que conformément à la règlementation, les données soient exactes et mises à jour.
	6. Destinataires des informations
	Les données personnelles doivent uniquement être rendues accessibles aux personnes habilitées à en connaitre au regard de leurs attributions.
	Les habilitations d'accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l'objet de mesures de traçabilité. Voir point 9 relatif à la sécurité.
Le responsable de traitement qui souhaite avoir recours à un sous-traitant doit veiller à ne faire appel qu'à des organismes présentant des garanties suffisantes. Un contrat définissant les caractéristiques du traitement ainsi que les différentes obligations des parties en matière de protection des données doit être établi entre elles (article 28 du RGPD). Un guide du sous-traitant, édité par la CNIL, précise ces obligations et les clauses à intégrer dans les contrats.
	6.1. Les personnes accédant aux données pour le compte de l'employeur
	Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions, doivent pouvoir accéder aux données à caractère personnel traitées, et ce dans la stricte limite de leurs attributions respectives et de l'accomplissement de ces missions et fonctions.
	Il peut s'agir, par exemple :
	- des personnes spécialement chargées de la gestion des alertes au sein de l'organisme ;
	- du référent ou prestataire de service chargé de recueillir et traiter les alertes. Le référent ou prestataire de service éventuellement désigné pour gérer tout ou partie de ce dispositif s'engage notamment, par voie contractuelle, à ne pas utiliser les données à des fins autres que la gestion des alertes, à assurer leur confidentialité, à respecter la durée de conservation limitée des données et à procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation.
6.2. Les destinataires des données
	Le RGPD définit les destinataires comme tout organisme qui reçoit la communication des données .
	Dans le cadre de ce traitement, les données peuvent être communiquées au sein du groupe de sociétés auquel appartient l'organisme concerné si cette communication est nécessaire aux seuls besoins de la vérification ou du traitement de l'alerte.
	Certaines dispositions légales ou réglementaires encadrent strictement la communication d'information. Ainsi, les éléments de nature à identifier l'émetteur de l'alerte ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'avec le consentement de la personne. De même, les éléments de nature à identifier la personne mise en cause par un signalement ne peuvent être divulgués, sauf à l'autorité judiciaire, qu'une fois établi le caractère fondé de l'alerte.
	Pour assurer la continuité de la protection des données à caractère personnel, leur transfert en dehors de l'Union européenne est soumis à des règles particulières. Ainsi, conformément aux dispositions des articles 44 et suivants du RGPD, toute transmission de données hors de l'UE doit :
	- être fondée sur une décision d'adéquation ;
	- ou être encadrée par des règles internes d'entreprise ( BCR ), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé par la CNIL ;
	- ou être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
- ou répondre à une des dérogations prévues à l'article 49 du RGPD.
	Pour en savoir plus, consulter la rubrique Transférer des données hors de l'UE sur le site de la CNIL.
	7. Durées de conservation
	Conformément à l'article 5-1-e du RGPD, les données à caractère personnel ne doivent être conservées sous une forme permettant l'identification des personnes que le temps strictement nécessaire à la réalisation des finalités poursuivies. C'est donc au regard de la finalité que la durée de conservation sera déterminée.
	La durée de conservation de données ou, lorsqu'elle est impossible, les critères utilisés pour déterminer cette durée, font partie des informations qui doivent être communiquées aux personnes concernées.
	Dans ces conditions, il incombe au responsable du traitement de déterminer cette durée en amont de la réalisation du traitement.
	7.1. Les durées de conservation
	Au regard des finalités pouvant justifier la mise en place d'un dispositif d'alerte, et sauf disposition légale ou réglementaire contraire :
	- les données relatives à une alerte considérée par le responsable du traitement comme n'entrant pas dans le champ du dispositif, sont détruites sans délai du dispositif d'alertes professionnelles ou anonymisées conformément à l'avis 05/2014 relatif aux techniques d'anonymisation du Comité européen de la protection des données (CEPD).
- Lorsqu'aucune suite n'est donnée à une alerte rentrant dans le champ du dispositif, les données relatives à cette alerte sont détruites ou anonymisées par l'organisation chargée de la gestion des alertes, dans un délai de deux mois à compter de la clôture des opérations de vérification. Pour les besoins du présent référentiel, l'expression suites désigne toute décision prise par l'organisme pour tirer des conséquences de l'alerte. Il peut s'agit de l'adoption ou de la modification des règles internes (règlement interne, charte éthique, etc.) de l'organisme, d'une réorganisation des opérations ou des services de la société, du prononcé d'une sanction ou de la mise en œuvre d'une action en justice.
	La Commission rappelle que les décisions relatives aux suites réservées aux alertes professionnelles doivent intervenir dans un délai raisonnable à compter de l'émission de celles-ci.
	- Lorsqu'une procédure disciplinaire ou contentieuse est engagée à l'encontre d'une personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives à l'alerte peuvent être conservées par l'organisation chargée de la gestion des alertes jusqu'au terme de la procédure ou de la prescription des recours à l'encontre de la décision.
A l'exception des cas où aucune suite n'est donnée à l'alerte, le responsable de traitement peut conserver les données collectées sous forme d'archives intermédiaires aux fins d'assurer la protection du lanceur de l'alerte ou de permettre la constations des infractions continues. Cette durée de conservation doit être strictement limitée aux finalités poursuivies, déterminée à l'avance et portée à la connaissance des personnes concernées.
	Les données peuvent être conservées plus longtemps, en archivage intermédiaire, si le responsable du traitement en a l'obligation légale (par exemple, pour répondre à des obligations comptables, sociales ou fiscales).
	7.2. La conservation de données anonymisées
	La réglementation relative à la protection des données à caractère personnel ne s'applique pas, notamment en ce qui concerne les durées de conservation, aux données anonymes, c'est-à-dire celles qui ne peuvent plus être mises en relation avec une ou des personnes physiques identifiées ou identifiables.
	Partant, le responsable du traitement peut conserver sans limitation de durée les données anonymisées. Dans ce cas, l'organisme concerné doit garantir le caractère anonymisé des données de façon pérenne.
	Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
	- Sécurité : Archiver de manière sécurisée ;
	- Limiter la conservation des données .
Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu'elles auront ont été dûment anonymisées (Voir les lignes directrices du CEPD sur l'anonymisation).
	Exemple :
	Un organisme est soumis à l'obligation de mettre en place un dispositif d'alerte en application des dispositions de l'article 8 de la loi Sapin 2 (dispositif d'alerte général), mais également un dispositif d'alerte en application de l'article 17-II-2° de la même loi (dispositif visant à permettre le signalement de manquements ou situations contraires au code de conduite de l'organisme, dans le cadre de la lutte contre la corruption et le trafic d'influence).
	Il est alors possible pour l'organisme de mettre en place un seul et unique outil de recueil de ces signalements. Toutefois, il peut exister des différences d'encadrement législatif et réglementaire des traitements. Ainsi, les modalités de mise en place des dispositifs d'alerte généraux sont encadrées, notamment en ce qui concerne les durées de conservation, par le décret n° 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d'alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l'Etat.
Or, ce décret n'est pas applicable en matière de lutte contre la corruption et le trafic d'influence. Les données recueillies via les dispositifs spécifiques d'alerte ne font donc pas l'objet d'un encadrement particulier et leur traitement doit être encadré en application de la réglementation.
	La mise en place d'un outil unique de recueil des signalements implique de respecter les exigences législatives et réglementaires de chacun des dispositifs, et notamment de :
	- différencier le traitement appliqué aux signalements portant sur des soupçons ou des faits de corruption de celui appliqué aux autres signalements ;
	- d'appliquer des durées de conservation différentes selon que les données sont collectées dans le cadre de l'un ou l'autre des dispositifs d'alerte.
	8. Information des personnes
	Il incombe au responsable de traitement qui décide de mettre en place un dispositif d'alertes professionnelles, de s'assurer du respect des principes de transparence et de loyauté à l'égard des personnes dont les données peuvent être traitées.
	Le respect de cette obligation suppose d'informer les personnes concernées individuellement et collectivement, selon les modalités décrites ci-après.
	8.1. Identification des personnes concernées
Pour les besoins du présent référentiel, sont considérées comme personnes potentiellement concernées par un dispositif d'alertes professionnelles toutes les personnes qui peuvent potentiellement émettre un signalement via le dispositif ou être visées par une alerte, et notamment :
	- Les effectifs propres de l'organisme concerné, quel que soit le statut juridique de collaboration (salariés, agents, intérimaires, stagiaires, salariés détachés par une entité tierce, bénévoles, etc.) ;
	- Les collaborateurs, clients et fournisseurs extérieurs de l'organisme, lorsqu'il s'agit de personnes physiques ayant un lien contractuel direct avec l'organisme (consultants, agents, conseils, sous-traitants personnes physiques au statut d'autoentrepreneur, etc.) ;
	- Les effectifs (salariés, associés, dirigeants, etc.) des personnes morales qui entretiennent un lien contractuel avec l'organisme concerné.
	Sont considérées comme personnes concernées par un dispositif d'alertes professionnelles toutes les personnes dont les données à caractère personnel sont effectivement traitées dans le cadre du dispositif (par exemple, les auteurs des alertes, les personnes visées, les personnes entendues dans le cadre de l'enquête, etc.).
	8.2. Contenu de l'information à délivrer
	L'information communiquée aux personnes concernées doit se faire dans les conditions prévues par les articles 12, 13 et 14 du RGPD.
De manière générale, elle doit mentionner l'existence du traitement, ses caractéristiques (notamment les finalités poursuivies, les types de données susceptibles d'y figurer, les types de personnes susceptibles d'émettre l'alerte ou d'en faire l'objet, les principales étapes de la procédure déclenchée par l'alerte, les durées de conservation de données, etc.) ainsi que les droits dont disposent les personnes concernées.
	Des modèles d'information sont disponibles sur le site de la CNIL et peuvent être consultés dans la rubrique RGPD : exemples de mentions d'information .
	8.3. Les modalités de l'information
	8.3.1. Consultations préalables à la mise en place du dispositif
	Il appartient aux responsables de traitement de s'assurer, au regard de la réglementation qui leur est applicable, du respect de l'obligation d'informer et/ou de consulter les instances compétentes, lors de la mise en place des dispositifs d'alerte.
	8.3.2. Information générale lors du déploiement du traitement
	Afin de respecter pleinement les principes de loyauté et de transparence, le référentiel recommande que l'ensemble des personnes potentiellement concernées par le dispositif en soient informées préalablement à son introduction dans l'organisme.
	Cette information précise le fonctionnement du dispositif, notamment les étapes de la procédure de recueil des signalements, et en particulier les destinataires et les conditions auxquelles l'alerte peut leur être adressée.
Le responsable de traitement indique expressément que l'utilisation abusive du dispositif peut exposer son auteur à des sanctions ou des poursuites mais qu'à l'inverse, l'utilisation de bonne foi du dispositif n'exposera son auteur à aucune sanction disciplinaire, quand bien même les faits s'avéreraient par la suite inexacts ou ne donneraient lieu à aucune suite.
	Le responsable de traitement rappelle que le dispositif d'alerte n'est qu'un moyen de signalement parmi d'autres (comme peut l'être la voie hiérarchique), et que le fait de ne pas y avoir recours ne peut entrainer aucune sanction à l'encontre des membres du personnel.
	L'information individuelle des personnes (par exemple, via un envoi de courrier électronique sur la messagerie personnelle de la personne, remise d'un document individuel d'information sous forme papier, etc.) doit être privilégiée dans la mesure du possible.
	8.3.3. Information spécifique du lanceur de l'alerte
	Conformément à l'article 13 du RGPD, les personnes qui émettent un signalement via le dispositif, doivent recevoir les informations relatives au traitement dès le début du processus du recueil de l'alerte.
Elle peut notamment prendre forme d'un affichage d'une page ou d'un bloc de texte, préalablement à l'étape de la saisine des informations relatives à l'alerte. Le responsable de traitement peut subordonner l'accès à la réalisation d'une action (par exemple, le fait de cocher une case) indiquant que l'auteur de l'alerte a pris connaissance de ces informations.
	Lorsqu'une alerte est émise, un accusé de réception de celle-ci doit être fourni au lanceur d'alerte pour permettre à celui-ci de bénéficier, le cas échéant, d'un régime de protection spécifique. Cet accusé de réception doit être horodaté. Il récapitule l'ensemble des informations et, le cas échéant, des pièces jointes communiquées dans le cadre du signalement. La remise de ce récépissé à l'auteur de l'alerte ne doit pas être subordonnée à la production d'informations identifiantes (adresse électronique ou postale, etc.) lorsque la personne souhaite conserver son anonymat.
	Lorsqu'une décision sur les suites de l'alerte a été prise par le responsable du traitement, l'auteur de l'alerte en est informé.
	8.3.4. Information spécifique de la personne visée par l'alerte
	Conformément à l'article 14 du RGPD, le responsable de traitement doit informer la personne visée par une alerte (par exemple, en tant que témoin, victime ou auteur présumé des faits) dans un délai raisonnable, ne pouvant pas dépasser un mois, à la suite de l'émission d'une alerte.
Néanmoins, conformément à l'article 14-5-b du RGPD, cette information peut être différée lorsqu'elle est susceptible de compromettre gravement la réalisation des objectifs dudit traitement . Tel pourrait par exemple être le cas lorsque la divulgation de ces informations à la personne visée compromettrait gravement les nécessités de l'enquête, par exemple en présence d'un risque de destruction de preuves. L'information doit alors être délivrée aussitôt le risque écarté.
	Cette information est réalisée selon des modalités permettant de s'assurer de sa bonne délivrance à la personne concernée. Elle ne contient pas d'informations relatives à l'identité de l'émetteur de l'alerte ni à celle des tiers.
	Toutefois, lorsqu'une sanction disciplinaire ou une procédure contentieuse est engagée suite à l'alerte à l'égard de la personne visée, celle-ci peut obtenir la communication de ces éléments en vertu des règles de droit commun (droits de la défense notamment).
	9. Droits des personnes
	Les personnes concernées disposent des droits suivants, qu'ils exercent dans les conditions prévues par le RGPD (voir la rubrique qui s'intitule respecter les droits des personnes sur le site de la CNIL) :
	- droit de s'opposer au traitementde leurs données, sous réserve des conditions d'exercice de ce droit en application des dispositions de l'article 21 du RGPD ;
	- droit d'accès, de rectification et d'effacement des données qui les concernent ;
- droit à la limitation du traitement. Par exemple, lorsque la personne conteste l'exactitude de ses données, celle-ci peut demander à l'organisme le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires.
	9.1. Droit d'accès
	Toute personne dont les données à caractère personnel font ou ont fait l'objet d'un traitement dans le cadre d'une alerte professionnelle (lanceur de l'alerte, victimes présumées des faits, personnes visées par l'alerte, témoins et personnes entendues lors de l'enquête, etc.), a le droit d'y avoir accès conformément aux dispositions de l'art. 15 du RGPD.
	L'exercice de ce droit ne doit pas permettre à la personne qui l'exerce d'accéder aux données à caractère personnel relatives à d'autres personnes physiques.
	Cette limitation est propre aux règles relatives à la protection des données personnelles et ne fait pas obstacle à l'application, le cas échéant, des règles du droit processuel, des libertés fondamentales (et notamment du principe du contradictoire), etc.
	9.2. Droit d'opposition
	Conformément à l'article 21 du RGPD, le droit d'opposition ne peut pas être exercé pour les traitements nécessaires au respect d'une obligation légale à laquelle est soumis le responsable du traitement.
Il ne peut donc pas être exercé à l'égard des traitements mis en place par des sociétés remplissant les conditions des articles 8 et/ou 17 de la Loi Sapin II ou encore celles de la partie I-4 de l'article L. 225-102-4 du code de commerce.
	En revanche, lorsqu'un organisme ne remplit pas ces conditions, mais se dote d'un dispositif d'alertes sur une base purement volontaire, le droit d'opposition existe. Partant, les personnes concernées devront être informées de son existence et le responsable du traitement devra veiller à en assurer le respect.
	Toutefois, l'exercice de ce droit n'est pas automatique : la personne qui l'exerce doit caractériser l'existence de raisons tenant à sa situation particulière .
	Le responsable du traitement devra prendre en compte l'opposition, sauf à démontrer :
	- qu'il existe des motifs légitimes et impérieux qui prévalent sur les intérêts et les droits et intérêts de la personne concernée ou ;
	- que le traitement est nécessaire pour la constatation, l'exercice ou la défense de droits en justice.
	Or, les faits susceptibles de faire l'objet d'un signalement sont par leur nature même liés à la constatation, l'exercice et la défense des droits (notamment ceux des victimes ou responsables présumés des faits signalés, ou encore ceux de l'organisme, si sa responsabilité civile ou pénale peut être engagée, ou encore si l'alerte n'a pas été faite de bonne foi mais avait pour l'intention de nuire à la bonne marche de l'organisme, etc.).
Dans ces conditions, il appartient aux organismes concernés d'examiner chaque demande d'opposition en tenant compte de ces critères.
	9.3. Droits de rectification et d'effacement
	Le droit de rectification, prévu à l'article 16 du RGPD, doit s'apprécier au regard de la finalité du traitement.
	Dans le cas des dispositifs d'alerte professionnelle, il ne doit notamment pas permettre la modification rétroactive des éléments contenus dans l'alerte ou collectées lors de son instruction. Son exercice, lorsqu'il est admis, ne doit pas aboutir à l'impossibilité de reconstitution de la chronologie des éventuelles modifications d'éléments importants de l'enquête.
	Aussi ce droit ne peut-il être exercé que pour rectifier les données factuelles, dont l'exactitude matérielle peut être vérifiée par le responsable du traitement à l'appui d'éléments probants, et ce sans que soient effacées ou remplacées les données, même erronées, collectées initialement.
	Le droit à l'effacement est exercé dans les conditions prévues par l'article 17 du RGPD.
	10. Sécurité
	L'organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.