(demande d’autorisation n°1230247)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle ;
Vu la demande d’autorisation, présentée par la société Initial BTB, d’un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Sur le rapport de M. Hubert BOUCHET, commissaire et les observations de Mme Pascale COMPAGNIE, commissaire du gouvernement ;
Formule les observations suivantes :
La société Initial-BTB, filiale à 98 % du groupe britannique Rentokil, répartit son activité entre la location-entretien de linge (95%), et la blanchisserie en gros (5%). Elle a saisi la Commission, le 20 avril 2007, d’une demande d’autorisation concernant un traitement ayant pour finalité le recueil d’alertes professionnelles.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Il convient d’examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission estime que les dispositifs d’alerte professionnelle doivent en conséquence être conçus comme uniquement complémentaires par rapport aux autres modes d’alerte dans l’entreprise. Elle estime ainsi qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
La Commission relève que le dispositif d’alerte mis en œuvre par la société Initial BTB a pour seul objet de permettre le signalement d’infractions aux règles de concurrence, ainsi qu’en cas de fausses déclarations de résultats et de performances ou en cas de fraudes ou pratiques financières douteuses.
Elle relève que l’engagement de la société Initial BTB de mettre en place ce dispositif d’alerte permettant le signalement de manquements au droit de la concurrence est mentionné dans la décision du Conseil de la concurrence du 26 juin 2007.
La Commission constate encore que le dispositif prévoit que la personne qui émet une alerte doit obligatoirement s’identifier. Son identité est traitée de façon strictement confidentielle. Les signalements anonymes ne sont pas pris en compte dans le dispositif.
Les droits d’accès et de rectification s’exerceront par tous moyens auprès du Directeur des ressources humaines de la société Initial BTB ou du Directeur audit interne de la société Rentokil-Initial PlC.
Les catégories de données à caractère personnel enregistrées seront les nom, prénom du salarié qui alerte, ainsi que les données relatives aux faits signalés.
Les destinataires des informations seront, dans la limite de leurs attributions et pour la poursuite de la finalité précitée, le Directeur des ressources humaines de la société Initial BTB et le Directeur audit interne de la société Rentokil-Initial PlC.
Dans ces conditions, la Commission autorise la société Initial BTB à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle.