AgentPublic/cnil huggingface dataset:
66. La réglementation relative à la protection des données à caractère personnel (le RGPD, la loi "informatique et libertés" modifiée, etc.) ne s’applique pas, notamment en ce qui concerne les durées de conservation, aux données anonymisées, c’est-à-dire celles qui ne peuvent plus être mises en relation avec une ou des personnes physiques identifiées ou identifiables (voir, pour plus de précisions, l’avis n° 05/2014 relatif aux techniques d'anonymisation du Groupe 29 (devenu Comité européen de la protection des données ou "CEPD").
67. De même, la loi Sapin 2 modifiée prévoit désormais pour les alertes internes que "les données relatives aux signalements peuvent toutefois être conservées au-delà de [la durée nécessaire pour leur traitement et pour la protection des parties prenantes] à la condition que les personnes physiques concernées n’y soient ni identifiées ni identifiables".
68. Pour les besoins de ce référentiel, les expressions "données [dans lesquelles]
les personnes physiques concernées [ne sont] ni identifiées ni identifiables" (au sens de la loi Sapin 2 modifiée) et "données anonymisées" (au sens de l’avis n° 95/2004 du G29, précité) sont considérées comme équivalentes.
69. Le responsable du traitement peut conserver sans limitation de durée les données anonymisées. Dans ce cas, l’organisme concerné doit garantir le caractère anonymisé des données de façon pérenne.
70. Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
·
"Sécurité : Archiver de manière sécurisée"
 ;
· 
"Limiter la conservation des données"
.
Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu’elles auront ont été dûment anonymisées.
Il est à noter que les termes "signalement / alerte anonyme" et "anonymat [de l’auteur du signalement]", utilisés dans la loi Sapin 2 modifiée, sont propres à ce texte et n’ont pas d’impact direct sur la qualification des données à caractère personnel traitées dans ce cadre. Il en résulte qu’un signalement anonyme au sens de la loi Sapin 2 modifiée peut ne pas être anonyme au sens de la réglementation en matière de la protection des données à caractère personnel (Voir les lignes directrices du CEPD sur l’anonymisation).
8. Information des personnes
71. Il incombe au responsable de traitement qui décide de mettre en place un DAP de s’assurer du respect des principes de transparence et de loyauté à l’égard des personnes dont les données peuvent être traitées.
72. Le respect de cette obligation suppose d’informer les personnes concernées individuellement et collectivement, selon les modalités décrites ci-après.
8.1 Identification des personnes concernées.
73. Pour les besoins du présent référentiel, sont considérées comme "
personnes potentiellement concernées
" par un DAP toutes les personnes qui sont susceptibles d’émettre un signalement via le DAP ou d’être visées par une alerte, et notamment :
· les effectifs propres de l’organisme concerné, quel que soit le statut juridique de collaboration (salariés, agents, intérimaires, stagiaires, salariés détachés par une entité tierce, bénévoles, etc.) ;
· les collaborateurs, clients et fournisseurs extérieurs de l’organisme, lorsqu’il s’agit de personnes physiques ayant un lien contractuel direct avec l’organisme (consultants, agents, conseils, sous-traitants personnes physiques au statut d’autoentrepreneur, etc.) ;
· les effectifs (salariés, associés, dirigeants, etc.) des personnes morales qui entretiennent un lien contractuel avec l’organisme concerné.
74. Sont considérées comme "
personnes concernées
" par un DAP toutes les personnes physiques dont les données à caractère personnel sont effectivement traitées dans le cadre du DAP (par exemple, les auteurs des alertes, les personnes visées, les facilitateurs personnes physiques, l’ensemble des personnes susceptibles de fournir des informations sur le signalement, qu’elles aient été nommées ou non par l’auteur du signalement, ainsi que les personnes protégées par ricochet conformément aux 2° et 3° de l’article 6-1 de la loi "Sapin 2" modifiée).
8.2 Contenu de l’information à délivrer
75. L’information communiquée aux personnes concernées doit se faire dans les conditions prévues par les articles 12, 13 et 14 du RGPD.
76. De manière générale, elle doit mentionner l’existence du traitement, ses caractéristiques (notamment les finalités poursuivies, les types de données susceptibles d’y figurer, les types de personnes susceptibles d’émettre l’alerte ou d’en faire l’objet, les principales étapes de la procédure déclenchée par l’alerte, les durées de conservation de données, etc.) ainsi que les droits d’accès, de rectification et d’effacement dont disposent les personnes concernées, des règles applicables en cas de transfert hors UE et du droit d’introduire une plainte auprès de l’autorité compétente.
77. Des modèles d’information sont disponibles sur le site de la CNIL et peuvent être consultés dans la rubrique "RGPD : exemples de mentions d'information" .
8.3 Les modalités de l’information
8.3.1 Consultations préalables à la mise en place du DAP
78. Il appartient aux responsables de traitement de s’assurer, au regard de la réglementation qui leur est applicable, du respect de l’obligation d’informer et/ou de consulter les éventuelles instances compétentes, lors de la mise en place des DAP.
79. Il est également recommandé aux organismes de rendre régulièrement compte de l’utilisation des DAP aux instances représentatives de personnel.
8.3.2 Information générale lors du déploiement du traitement
80. Afin de respecter pleinement les principes de loyauté et de transparence, le référentiel recommande que l’ensemble des personnes potentiellement concernées par le DAP en soient informées préalablement à son introduction dans l’organisme.
81. Lorsque l’information individuelle, ou collective, des personnes potentiellement concernées se heurte à des difficultés pratiques (notamment pour des DAP dont l’utilisation est ouverte à des personnes extérieures à un organisme ou un groupe), il est recommandé aux responsables de traitement de rendre cette information facilement accessible (par exemple, via le site web de l’entité).
82. Cette information précise le fonctionnement du DAP, notamment les étapes de la procédure de recueil des signalements, et en particulier les destinataires et les conditions auxquelles l'alerte peut leur être adressée.
83. Le responsable de traitement indique expressément que l'utilisation abusive du DAP peut exposer son auteur à des sanctions ou des poursuites, mais qu'à l'inverse, l'utilisation de bonne foi du DAP n'exposera son auteur à aucune sanction disciplinaire, quand bien même les faits s'avéreraient par la suite inexacts ou ne donneraient lieu à aucune suite.
84. Le responsable de traitement rappelle que le DAP n’est qu’un moyen de signalement parmi d’autres (comme peut l’être la voie hiérarchique), et que le fait de ne pas y avoir recours ne peut entraîner aucune sanction à l’encontre des membres du personnel.
85. L’information individuelle des personnes (par exemple, via un envoi de courrier électronique sur la messagerie personnelle de la personne, la remise d’un document individuel d’information sous forme papier, etc.) doit être privilégiée dans la mesure du possible.
8.3.3 Information spécifique du lanceur de l’alerte
86. Conformément à l’article 13 du RGPD, les personnes qui émettent un signalement via le DAP doivent recevoir les informations relatives au traitement dès le début du processus du recueil de l’alerte.
87. Dans le cas des signalements effectués en ligne, via un portail ou une application dédiée, cette information peut notamment prendre forme d’un affichage d’une page ou d’un bloc de texte, préalablement à l’étape de la saisine des informations relatives à l’alerte. Le responsable de traitement peut subordonner l’accès à la réalisation d’une action (par exemple, le fait de cocher une case) indiquant que l’auteur de l’alerte a pris connaissance de ces informations.
88. Lorsque le signalement est effectué d’une autre manière (par voie postale, par courrier électronique, par visioconférence, oralement, etc.), ces informations sont communiquées à l’intéressé dans les meilleurs délais et au plus tard au moment de l’envoi de l’accusé de réception de l’alerte.
89. Lorsqu’une alerte est émise, un accusé de réception de celle-ci doit être fourni au lanceur d’alerte, quel que soit le régime applicable au signalement,
[5]
pour permettre à celui-ci de bénéficier, le cas échéant, d’un régime de protection spécifique. Cet accusé de réception devrait être horodaté et récapituler l’ensemble des informations et, le cas échéant, des pièces jointes communiquées dans le cadre du signalement. La remise de ce récépissé à l’auteur de l’alerte ne doit pas être subordonnée à la production d’informations identifiantes (adresse électronique identifiante ou postale, etc.) lorsque la personne souhaite conserver son anonymat, mais seulement d’une information de contact lui permettant de délivrer l’accusé de réception.
90. Par ailleurs, la loi Sapin 2 modifiée ainsi que son décret d’application créent pour les auteurs des signalements le droit d’être informés sur les mesures envisagées
ou prises pour évaluer l’exactitude des allégations et, le cas échéant, remédier à l’objet du signalement ainsi que sur les motifs de ces dernières
[6]
. Cette information doit être effectuée par écrit. Sa délivrance ne peut pas être subordonnée à la production d’informations identifiantes de l’auteur du signalement : seul un moyen de contacter le lanceur d’alerte est nécessaire.
8.3.4 Information spécifique de la personne visée par l’alerte
91. Conformément à l’article 14 du RGPD, le responsable de traitement doit informer la personne visée par une alerte (par exemple, en tant que témoin, victime ou auteur présumé des faits) dans un délai raisonnable, ne pouvant pas dépasser un mois, sauf exception dûment justifiée, à la suite de l’émission d’une alerte.
92. Conformément à l’article 14-5-b) du RGPD, cette information peut effectivement être différée lorsqu’elle est susceptible "de compromettre gravement la réalisation des objectifs dudit traitement". Tel pourrait par exemple être le cas lorsque la divulgation de ces informations à la personne visée compromettrait gravement les nécessités de l’enquête, par exemple en présence d’un risque de destruction de preuves. L’information doit alors être délivrée aussitôt le risque écarté.
93. Cette information est réalisée selon des modalités permettant de s'assurer de sa bonne délivrance à la personne concernée. Elle ne contient pas d’informations relatives à l’identité de l’émetteur de l’alerte ni à celle des tiers.
9. Droits des personnes
94. Les personnes concernées disposent des droits suivants, qu’elles exercent dans les conditions prévues par le RGPD (voir la rubrique intitulée "respecter les droits des personnes" sur le site de la CNIL) :
· droit de s’opposer au traitement de leurs données, sous réserve des conditions d’exercice de ce droit en application des dispositions de l’article 21 du RGPD ;
· droits d’accès, de rectification et d’effacement des données qui les concernent ;
· droit à la limitation du traitement. Par exemple, lorsque la personne conteste l’exactitude de ses données, celle-ci peut demander à l’organisme le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires.
9.1. Droit d’accès
95. Toute personne dont les données à caractère personnel font ou ont fait l’objet d’un traitement dans le cadre d’une alerte professionnelle (lanceur de l’alerte, victimes présumées des faits, personnes visées par l’alerte, témoins et personnes entendues lors de l’enquête, facilitateurs, personnes protégées par ricochet, etc.), a le droit d’y avoir accès conformément aux dispositions de l’art. 15 du RGPD.
96. L’exercice de ce droit ne doit pas porter atteinte aux droits et libertés d'autrui, y compris au secret des affaires ou à la propriété intellectuelle, notamment au droit d'auteur protégeant le logiciel. Néanmoins, cette limitation ne peut pas avoir pour conséquence de priver la personne concernée d’accès à la totalité des informations visées à l’article 15.1 du RGPD (voir, pour plus de précisions, les lignes directrices du CEPD n° 01/2022 sur le droit d’accès
[7]
).
97. Cette limitation est propre aux règles relatives à la protection des données personnelles et ne fait pas obstacle à l’application, le cas échéant, des règles du droit processuel et des libertés fondamentales (et notamment du principe du contradictoire).
9.2. Droit d’opposition
98. Conformément à l’article 21 du RGPD, le droit d’opposition ne peut pas être exercé pour les traitements nécessaires au respect d’une obligation légale à laquelle est soumis le responsable du traitement.
99. Il ne peut donc pas être exercé à l’égard des traitements mis en place par des sociétés remplissant les conditions des articles 8.B et/ou 17 de la Loi "Sapin II" ou encore celles de la partie I-4 de l’article L. 225-102-4 du Code de commerce.
100. En revanche, lorsqu’un organisme se dote d’un DAP sur une base purement volontaire, le droit d’opposition peut être exercé. Les personnes concernées devront être informées de son existence et le responsable du traitement devra veiller à en assurer le respect. Il est toutefois à noter que lorsqu’il existe, l’exercice de ce droit n’est pas automatique : la personne qui s’en prévaut doit caractériser l’existence de "raisons tenant à sa situation particulière".
101. S’agissant de personne dont les données sont mentionnées dans l’alerte ou apparaissent durant son instruction, le droit d’opposition peut être exercé, mais le responsable du traitement peut refuser d’y faire droit si :
· il existe des motifs légitimes et impérieux qui prévalent sur les intérêts et les droits et intérêts de la personne concernée ou ;
· le traitement est nécessaire pour la constatation, l’exercice ou la défense de droits en justice.
102. Or, les faits susceptibles de faire l’objet d’un signalement sont par leur nature même liés à la constatation, l’exercice et la défense des droits (notamment ceux des victimes ou responsables présumés des faits signalés, ou encore ceux de l’organisme, si sa responsabilité civile ou pénale peut être engagée, ou encore si l’alerte n’a pas été faite de bonne foi mais avait pour l’intention de nuire à la bonne marche de l’organisme).
103. Dans ces conditions, il appartient aux organismes concernés d’examiner chaque demande d’opposition, quelle que soit la qualité de la personne qui entend s’en prévaloir (l’auteur du signalement, la personne visée, les personnes ayant été contactées dans le cadre des vérifications, les personnes protégées par ricochet, etc.) en tenant compte de ces critères.
9.3. Droits de rectification et d’effacement
104. Le droit de rectification, prévu à l’article 16 du RGPD, doit s’apprécier au regard de la finalité du traitement.
105. Dans le cas des DAP, il ne doit notamment pas permettre la modification rétroactive des éléments contenus dans l’alerte ou collectées lors de son instruction. Son exercice, lorsqu’il est admis, ne doit pas aboutir à l’impossibilité de reconstitution de la chronologie des éventuelles modifications d’éléments importants de l’enquête.
106. Aussi ce droit ne peut-il être exercé que pour rectifier les données factuelles, dont l’exactitude matérielle peut être vérifiée par le responsable du traitement à l’appui d’éléments probants, et ce sans que soient effacées ou remplacées les données, même erronées, collectées initialement.
107. Le droit à l’effacement est exercé dans les conditions prévues par l’article 17 du RGPD.
10. Sécurité
108. L’organisme doit prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès.
109. En particulier, dans le contexte spécifique du présent référentiel, soit l’organisme adopte les mesures suivantes, soit il justifie de leur équivalence ou du fait de ne pas avoir besoin ou pouvoir y recourir :
Catégories
Mesures
Sensibiliser les utilisateurs
Informer et sensibiliser les personnes manipulant les données 
Rédiger une charte informatique et lui donner une force contraignante
Authentifier les utilisateurs
Définir un identifiant (login) unique à chaque utilisateur
Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL
Obliger l’utilisateur à changer son mot de passe attribué automatiquement ou par un administrateur
Limiter le nombre de tentatives d’accès à un compte
Gérer les habilitations
Définir des profils d’habilitation 
Supprimer les permissions d’accès obsolètes
Réaliser une revue annuelle des habilitations
Tracer les accès et gérer les incidents
Prévoir un système de journalisation
Informer les utilisateurs de la mise en place du système de journalisation
Protéger les équipements de journalisation et les informations journalisées
Prévoir les procédures et les responsabilités internes pour la gestion des incidents, dont la procédure de notification aux régulateurs des notifications de violation de données personnelles
Sécuriser les postes de travail
Prévoir une procédure de verrouillage automatique de session 
Utiliser des antivirus régulièrement mis à jour 
Installer un "pare-feu" (firewall) logiciel
Sécuriser l'informatique mobile
Prévoir des moyens de chiffrement des équipements mobiles
Faire des sauvegardes ou des synchronisations régulières des données
Exiger un secret pour le déverrouillage des smartphones
Protéger le réseau informatique interne
Limiter les flux réseau au strict nécessaire
Sécuriser les accès distants des appareils informatiques nomades par VPN
Sécuriser ses réseaux Wi-Fi, notamment en mettant en œuvre le protocole WPA3
Sécuriser les serveurs
Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées
Installer sans délai les mises à jour critiques
Assurer une disponibilité des données
Sécuriser les sites web
Utiliser le protocole TLS et vérifier sa mise en œuvre
Vérifier qu'aucun mot de passe ou donnée personnelle n’est transmis dans les URL
Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
Mettre un bandeau de consentement pour les cookies non nécessaires au service
Sauvegarder et prévoir la continuité d'activité
Effectuer des sauvegardes régulières
Stocker les supports de sauvegarde dans un endroit sûr
Protéger les sauvegardes, notamment durant leur convoyage
Prévoir et tester régulièrement la continuité d'activité
Archiver de manière sécurisée
Mettre en œuvre des modalités d’accès spécifiques aux données archivées
Détruire les archives obsolètes de manière sécurisée
Encadrer les développements informatiques
Prendre en compte la protection des données personnelles dès la conception
Proposer des paramètres respectueux de la vie privée par défaut
Éviter les zones de commentaires ou les encadrer strictement
Utiliser des données fictives ou anonymisées pour le développement et les tests
Encadrer la maintenance et la fin de vie des matériels et des logiciels
Enregistrer les interventions de maintenance dans une main courante
Encadrer les interventions de tiers par un responsable de l'organisme
Effacer les données de tout matériel avant sa mise au rebut 
Gérer la sous-traitance
Prévoir des clauses spécifiques dans les contrats des sous-traitants 
Prévoir les conditions de restitution et de destruction des données 
S’assurer de l'effectivité des garanties prévues (audits de sécurité, visites.)
Sécuriser les échanges avec d'autres organismes
Chiffrer les données avant leur envoi
S’assurer qu'il s'agit du bon destinataire
Transmettre le secret lors d'un envoi distinct et via un canal différent
Protéger les locaux
Restreindre les accès aux locaux au moyen de portes verrouillées
Installer des alarmes anti-intrusion et les vérifier périodiquement
Chiffrer, hacher ou signer
Utiliser des algorithmes, des logiciels et des bibliothèques reconnues et sécurisées
Conserver les secrets et les clés cryptographiques de manière sécurisée
Pour ce faire, le responsable de traitement pourra utilement se référer au guide de la sécurité des données personnelles.
[1] Pour une liste plus détaillée de dispositifs d’alerte relevant des régimes spécifiques, consulter rapport d'information n° N° 4325 déposé à l'Assemblée nationale par MM. les députés Rapahël GAUVAIN et Olivier MARLEIX, sur l’évaluation de l’impact de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique, dite "loi Sapin 2" (sp. p. 132, " 2. L’existence de nombreux statuts de protection"). Rapport disponible en ligne à l’adresse :
https://www.assemblee-nationale.fr/dyn/15/rapports/cion_lois/l15b4325_rapport-information.pdf
[2] Par exception, l’article 8.I.B.4° de la loi Sapin 2 modifiée prévoit que "Les communes et leurs établissements publics membres d'un centre de gestion de la fonction publique territoriale peuvent confier à celui-ci le recueil et le traitement des signalements internes dans les conditions prévues à l'article L. 452-43-1 du code général de la fonction publique, quel que soit le nombre de leurs agents."
[3]
Article 9.I de la loi Sapin 2 modifiée ainsi que l’articles 6 du décret n° 2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements émis par les lanceurs d'alerte et fixant la liste des autorités externes instituées par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d'alerte.
[4]
Article 9.III de la loi Sapin 2 modifiée.
[5]
L’ensemble des organismes souhaitant bénéficier de la présomption de conformité résultant du respect de ce référentiel, sont concernées par cette exigence, y compris pour les DAP non soumis à l’article 4.II du décret n° 2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements émis par les lanceurs d'alerte et fixant la liste des autorités externes instituées par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d'alerte.
[6]
Article 4.III du décret n° 2022-1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement des signalements émis par les lanceurs d'alerte et fixant la liste des autorités externes instituées par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d'alerte.
[7] https://www.cnil.fr/fr/droit-dacces-guichet-unique-violation-de-donnees-le-cepd-publie-de-nouvelles-lignes-directrices
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Philippe-Pierre CABOURDIN, vice-président, Mesdames Anne DEBET et Christine MAUGÜÉ, et Messieurs Alain DRU et Bertrand du MARAIS, membres ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
 
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la délibération n° SAN-2021-023 du 31 décembre 2021 adoptée par la formation restreinte à l’encontre des sociétés X et Y ;
 
Vu les éléments transmis par les sociétés X et Y les 4 avril, 19 avril, 25 mai et 15 juin 2022, pour démontrer leur conformité à l’injonction ;
 
Vu le courrier du 5 août 2022, par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure aux fins d’instruction de ces éléments ;