AgentPublic/cnil huggingface dataset:
Sous un délai de deux (2) mois à compter de la notification de la présente décision, et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
établir un registre des activités de traitement comprenant l’ensemble des informations prévues à l’article 30 du règlement (UE) 2016/679 ;
procéder à l’information des personnes concernées, conformément aux dispositions des articles 12 et 13 du règlement (UE) 2016/679, notamment en portant à la connaissance des salariés les informations relatives au dispositif vidéo par exemple, au sein d’un document annexé au contrat de travail ou par le biais d’une note de service qui leur sera remise contre émargement ou au sein du règlement intérieur mis à jour ;
établir un contrat ou un autre acte juridique au titre du droit de l’Union ou du Code civil avec la société de prestation informatique, qui régit les traitements de données à caractère personnel réalisés par cette dernière et comporte l’ensemble des mentions visées à l’article 28-3) du règlement (UE) 2016/679 ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans les délais impartis.
À l’issue de ces délais, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure à l’issue des délais respectifs, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des mesures correctrices prévues par l’article 20 de la loi du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 22 novembre 2019 sous la présidence de Mme Marie-Laure DENIS ;
Étaient aussi présents Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur Éric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi
n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED 2019-025 du 5 novembre 2019 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante :
Par décision du 5 novembre 2019, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, décidé de mettre en demeure la société x sise[…], de cesser :
- sous un délai de 10 jours à compter de la notification de la décision, les manquements relatifs à la mise en œuvre d’un dispositif de vidéosurveillance à des fins de localisation des salariés et à l’absence de mesures de sécurité pour l’accès aux flux vidéo des caméras ;
- sous un délai de deux mois à compter de la notification de la décision, les manquements relatifs à l’absence de registre des activités de traitement, à l’absence d’information des salariés sur la mise en œuvre d’un dispositif de vidéosurveillance et à l’absence de contrat avec la société de prestation informatique.
En application du dernier alinéa du II de l’article 20 de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 22 novembre 2019.
Après en avoir délibéré, le bureau considère que la publicité de la décision de mise en demeure se justifie par la gravité des manquements constatés à savoir le caractère excessif du système de vidéosurveillance qui filme en continu des salariés à des fins de localisation, plaçant ainsi les salariés sous une surveillance constante, et ce y compris en vue d’une consultation des images à distance. Le bureau relève que l’information délivrée aux salariés à ce sujet est incomplète et inadaptée.
Le bureau souhaite rappeler aux professionnels le cadre juridique applicable aux dispositifs de vidéosurveillance qui ne peut conduire à localiser les salariés de manière permanente à des fins de surveillance, en dehors de toute circonstance exceptionnelle. Ces systèmes de vidéosurveillance, qui placent les salariés sous surveillance constante pour les localiser, sont excessifs et portent atteinte à la liberté individuelle des salariés.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision no 2019-025 du 5 novembre 2019 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. À ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans les délais impartis. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du commerce, notamment ses articles L. 225-102-3 et R. 822-33 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (loi Sapin 2 ), notamment ses articles 6, 8 et 17 ;
Vu la loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d'ordre (loi devoir de vigilance ) ;
Vu le décret n° 2017-564 du 19 avril 2017 relatif aux procédures de recueil des signalements émis par les lanceurs d'alerte au sein des personnes morales de droit public ou de droit privé ou des administrations de l'Etat ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu les recommandations de l'Agence française anticorruption destinées à aider les personnes morales de droit public et de droit privé à prévenir et à détecter les faits de corruption, de trafic d'influence, de concussion, de prise illégale d'intérêt, de détournement de fonds publics et de favoritisme ;
Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations ;
Adopte le référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles, qui sera publié au Journal officiel de la République française.
ANNEXE
1. A qui s'adresse ce référentiel ?
	Ce référentiel s'adresse aux organismes privés ou publics qui sont tenus ou qui décideraient de mettre en œuvre un dispositif de recueil et de gestion des alertes professionnelles nécessitant un traitement de données à caractère personnel. Il couvre dès lors deux types de dispositifs.
D'une part, le présent référentiel concerne les dispositifs d'alerte encadrés par des dispositions législatives ou réglementaires spécifiques, que l'organisme soit ou non assujetti juridiquement à ces dispositions. Il peut s'agir, notamment, des dispositifs prévus par les articles 8 et/ou 17 de la loi dite loi Sapin 2 (1), ou bien mis en œuvre en application de la loi relative au devoir de vigilance (2), quels que soient la taille des effectifs, la nature juridique ou encore le chiffre d'affaires des organismes concernés.
	Dans cette première hypothèse, constitue une alerte professionnelle tout signalement effectué de bonne foi et qui révèle ou signale une infraction pénale, une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, de la loi ou du règlement, ou une menace ou un préjudice graves pour l'intérêt général, lorsque les faits en question ne sont pas couverts par le secret de la défense nationale, le secret médical ou le secret des relations entre un avocat et son client.
	D'autre part, le présent référentiel a également vocation à régir les dispositifs d'alertes éthiques adoptés de sa propre initiative par un organisme en vue de prohiber des comportements jugés incompatibles avec sa charte éthique ou son règlement intérieur.
Dans cette seconde hypothèse, constitue une alerte professionnelle tout signalement effectué de bonne foi et qui révèle ou signale une violation de règles éthiques adoptées par un organisme ou un groupe, dès lors que les règles en question sont codifiées dans un document écrit (tel qu'un règlement intérieur, une charte éthique, etc.) qui respecte l'ensemble du cadre juridique existant (en particulier la législation du travail et l'ensemble des droits et libertés fondamentales des personnes concernées), et dont l'existence et le caractère opposable sont préalablement portés à la connaissance de l'ensemble des personnes concernées.
	Les organismes mettant en place un dispositif d'alerte doivent s'assurer de sa conformité :
	- aux dispositions du Règlement général sur la protection des données (RGPD) ainsi qu'à celles de la loi du 6 janvier 1978 dite informatique et libertés (LIL). En effet, lorsque ces dispositifs, comme c'est le cas en règle générale, nécessitent un traitement de données relatives à des personnes physiques identifiées ou identifiables (notamment celles de l'auteur et de la ou les personnes visées par l'alerte), ils sont soumis aux règles relatives à la protection des données personnelles ;
- à l'ensemble d'autres règles de droit applicables en vertu des législations spécifiques (loi dite Sapin 2 , etc.) ou générales (droit du travail). Le responsable de traitement doit garantir le respect les droits et les libertés fondamentales ainsi que des intérêts légitimes des personnes concernées.
	En l'absence d'encadrement précis par les textes législatifs et réglementaires en vigueur, les dispositifs créés à l'initiative des organismes sous la forme par exemple de chartes éthiques ou dans leurs règlements intérieurs doivent faire l'objet d'une attention particulière.
	2. Portée du référentiel
	Ce référentiel a pour objectif de fournir un outil d'aide à la mise en conformité des organismes publics et privés souhaitant se doter de dispositifs de traitement d'alertes professionnelles, à la réglementation relative à la protection des données privées.
	Le respect de ce référentiel permet aux organismes de s'assurer de la conformité des traitements de données mis en œuvre dans le cadre des dispositifs d'alertes aux principes relatifs à la protection des données.
	Les organismes qui s'écarteraient du référentiel au regard des conditions particulières tenant à leur situation doivent être en mesure de justifier l'existence d'un tel besoin, puis prendre toutes les mesures appropriées à même de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel.
Le référentiel n'a pas pour objet d'interpréter les règles de droit autres que celles relatives à la protection des données à caractère personnel. Il appartient aux acteurs concernés de s'assurer qu'ils respectent les autres réglementations qui peuvent par ailleurs trouver à s'appliquer.
	Ce référentiel constitue également une aide à la réalisation d'une analyse d'impact relative à la protection des données (AIPD).
	La mise en place d'un dispositif d'alertes professionnelles doit en effet systématiquement donner lieu à la réalisation préalable d'une AIPD. En effet, ces dispositifs figurent dans la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise (cf. la délibération n° 2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise).
Pour réaliser une étude d'impact, le responsable de traitement pourra se reporter aux outils méthodologiques proposés par la CNIL sur son site web. Il pourra également se reporter au présent référentiel pour Les organismes pourront ainsi définir les mesures permettant d'assurer la proportionnalité et la nécessité de leurs traitements (points 3 à 7), de garantir les droits des personnes (points 8 et 9) et la maîtrise de leurs risques (point 10). A cette fin, l'organisme pourra se référer aux lignes directrices de la CNIL sur les analyses d'impact relatives à la protection des données (AIPD). Si l'organisme en a désigné un, le délégué à la protection des données (DPD/DPO) devra être consulté.
	3. Objectif(s) poursuivi(s) par le traitement (Finalités)
	Le traitement mis en œuvre doit répondre à un objectif précis et être justifié au regard des missions et des activités de l'organisme.
	En ce qui concerne le dispositif d'alerte, le traitement de données est mis en œuvre afin de recueillir et traiter les alertes ou signalements visant à révéler un manquement à une règle spécifique.
	Exemple 1.1 (alertes de l'article 8 de la Loi Sapin 2 ) :
	Un dispositif d'alerte mis en œuvre pour répondre aux exigences de l'article 8.III de la loi Sapin 2 vise à permettre aux membres du personnel et aux collaborateurs extérieurs et occasionnels d'un organisme, de signaler :
	- un crime ou délit ;
- une violation grave et manifeste d'un engagement international régulièrement ratifié ou approuvé par la France ;
	- une violation grave et manifeste d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un engagement international régulièrement ratifié ;
	- une violation grave et manifeste de la loi ou du règlement ;
	- une menace ou préjudice graves pour l'intérêt général, dont l'émetteur de l'alerte a eu personnellement connaissance.
	Exemple 1.2 (lutte contre la corruption et le trafic d'influence) :
	Un dispositif d'alerte mis en œuvre pour répondre aux exigences de l'article 17.II.2° de la loi Sapin 2 , vise à permettre le recueil des signalements émanant des employés de l'organisme concerné et relatifs à l'existence de conduites ou de situations contraires au code de conduite de la société et susceptibles de caractériser des faits de corruption ou de trafic d'influence.
	Exemple 1.3 (devoir de vigilance) :
Un dispositif d'alerte prévu par l'article L. 225-102-4 du Code de commerce, issu de la Loi dite de devoir de vigilance , aura pour finalité le recueil des signalements relatifs à l'existence ou à la réalisation des risques d'atteintes graves envers les droits humains et les libertés fondamentales, la santé et la sécurité des personnes ainsi que l'environnement, résultant des activités de la société et de celles des sociétés qu'elle contrôle au sens du II de l'article L. 233-16, directement ou indirectement, ainsi que des activités des sous-traitants ou fournisseurs avec lesquels est entretenue une relation commerciale établie, lorsque ces activités sont rattachées à cette relation.
	Exemple 2 (codes éthiques) :
	Un dispositif d'alerte mis en place sur une base volontaire par l'organisme, en dehors d'une obligation légale spécifique, pourrait par exemple avoir pour finalité le recueil de tout signalement d'un risque existant ou réalisé d'un comportement ou d'une situation contraires à une charte éthique de l'organisme, quel que soit l'auteur de l'alerte ou son lien avec l'organisme.
	Exemple 3 (dispositifs hybrides) :
Un dispositif visant à la fois les alertes de droit commun (article 8.III de la Loi Sapin 2 ), celles répondant au devoir de vigilance (art. L. 225-102-4 du code du commerce) et celles résultant de l'application d'une charte ou d'un code éthique, devra explicitement viser l'ensemble des finalités correspondantes, en distinguant celles qui résultent d'une disposition obligatoire spécifique de celles qui sont adoptées volontairement par l'organisme.
	Les informations recueillies pour l'une de ces finalités ne peuvent pas être réutilisées pour poursuivre un autre objectif qui serait incompatible avec la finalité première. Tout nouvel usage des données doit en effet respecter les principes de protection des données personnelles. Les traitements mis en œuvre ne doivent pas donner lieu à des interconnexions ou échanges autres que ceux nécessaires à l'accomplissement des finalités ci-dessus énoncées.
	4. Base(s) légale(s) du traitement
	Chaque finalité du traitement doit reposer sur l'une des bases légales fixées par la réglementation. Les différents fondements autorisant un organisme à traiter des données personnelles dans le cadre d'un dispositif d'alerte sont listés ci-dessous.
	Dans le cadre du présent traitement, la base légale peut être :
	a) Le respect d'une obligation légale incombant à l'organisme, imposant la mise en œuvre d'un dispositif d'alerte ;
	Afin de pouvoir invoquer ce fondement, le responsable du traitement s'assure de la réalisation des conditions suivantes :
- l'obligation de mettre en œuvre un dispositif d'alerte résulte d'une source interne du droit français (par exemple, la loi Sapin et son décret d'application), d'un engagement international signé et ratifié par la France (par exemple, une convention internationale), ou encore du droit dérivé des organisations internationales et européennes dont la France est partie ;
	- l'organisme y est effectivement soumis au regard des critères retenus par la réglementation en question (par exemple, le dépassement des seuils de taille des effectifs, du chiffre d'affaires, la réalisation des opérations d'une certaine nature, etc.).
	b) La réalisation de l'intérêt légitime poursuivi par l'organisme ou par le destinataire des données, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.
	Ce fondement juridique s'applique lorsque la mise en place d'un dispositif d'alerte ne résulte pas d'une obligation légale s'imposant au responsable du traitement.
	Il incombe à chaque responsable du traitement de s'assurer du choix de l'une et/ou de l'autre de ces bases, en fonction des règles qui sont applicables à son entité.
Lorsqu'un dispositif répond à une obligation légale précise (par exemple, celles résultant des articles 8 et/ou 17 de la Loi Sapin II , de la Loi devoir de vigilance , etc.), tout en permettant le recueil d'alertes relatives à un engagement volontaire de l'organisme (par exemple, prévues par un code éthique interne, ou encore prévues par un texte législatif auquel l'organisme n'est pas juridiquement soumis), il appartient au responsable du traitement de distinguer les bases légales qui fondent chacune de ces finalités.
	5. Données personnelles concernées
	5.1. Principes de pertinence et de minimisation des données
	5.1.1. Au stade de l'émission de l'alerte
	De manière générale, le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. Une attention particulière doit à cet égard être portée aux faits pouvant être signalés via les dispositifs d'alertes professionnelles mis en place, d'initiative, par des organismes qui ne sont pas assujettis à des obligations spécifiques en ce sens. En l'absence d'encadrement spécifique par les textes législatifs et réglementaires en vigueur, il incombe au responsable du traitement de s'assurer tout particulièrement du respect, dans cette hypothèse, des droits, libertés et intérêts légitimes de l'ensemble des personnes pouvant être concernées par une alerte.
Toutefois, dans le cas des dispositifs d'alerte professionnelle, seul le lanceur d'alerte est en capacité de déterminer la nature et le volume des informations, notamment à caractère personnel, communiquées à l'occasion du signalement.
	Partant, le responsable du traitement doit rappeler aux auteurs de signalements que les informations communiquées dans le cadre d'un dispositif d'alerte, doivent rester factuelles et présenter un lien direct avec l'objet de l'alerte.
	5.1.2. Au stade de l'instruction de l'alerte
	Pour les besoins de ce référentiel, la phase d'instruction d'une alerte est entendue comme la période qui débute par la réception de l'alerte par l'organisme, et qui se termine par la prise de décision quant aux suites réservées à celle-ci.
	Cette phase permet à l'organisme de mener une enquête sur les faits signalés. Pendant cette période, le dispositif d'alerte peut être utilisé en vue de documenter les diligences accomplies par l'organisme en ce sens (analyse juridique et technique des faits, collecte des preuves, échanges avec différentes parties prenantes, audition des témoins, réalisation d'actes d'expertise, etc.).
	La phase d'instruction est caractérisée par le rôle du responsable de traitement dans la détermination des éléments qui pourront être collectés ou conservés dans le dispositif.
Il lui appartient donc de s'assurer que seules les informations pertinentes et nécessaires au regard des finalités du traitement sont collectées et/ou conservées dans le dispositif d'alerte. Tel est généralement le cas des catégories suivantes :
	- identité, fonctions et coordonnées de l'émetteur de l'alerte ;
	- identité, fonctions et coordonnées des personnes faisant l'objet de l'alerte ;
	- identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;
	- faits signalés ;
	- éléments recueillis dans le cadre de la vérification des faits signalés ;
	- comptes rendus des opérations de vérification ;
	- suites données à l'alerte.
	5.2. Le traitement de données sensibles et de données d'infraction
	Deux catégories de données appellent une vigilance renforcée.
	D'une part, certaines données, en raison de leur caractère particulièrement sensible, notamment celles qui révèlent l'origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne, des données génétiques, des données biométriques, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne, bénéficient d'une protection particulière et ne peuvent être traitées que moyennant le respect de conditions spécifiques figurant à l'article 9 du RGPD et aux articles 6 et 44 de la LIL.