(Demande d’autorisation n° 1750643)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SECURITAS DIRECT d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
SECURITAS DIRECT est une société par actions simplifiées, spécialisée dans le secteur des activités liées aux systèmes de sécurité. Il s’agit d’une filiale française du groupe suédois VERISURE.
Sur la finalité
La société SECURITAS DIRECT a saisi la Commission d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements au « code de conduite du groupe ».
La Commission rappelle qu’elle a adopté le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°004 modifiée le 30 janvier 2014).
Elle observe que le traitement présenté par la société SECURITAS DIRECT répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au champ d’application.
En effet, la société SECURITAS DIRECT souhaite inclure dans le périmètre de son dispositif des domaines non visés par celle-ci.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ d’application.
À cet égard, elle relève que le champ d’application du dispositif d’alerte professionnelle présenté par la société SECURITAS DIRECT est strictement limité aux manquements au « code de conduite du groupe », lesquels relèvent des domaines suivants :
La Commission estime que la finalité du traitement envisagé est déterminée, explicite et légitime.
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, l’hygiène et la sécurité au travail;
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948;
respect des conventions et recommandations de l’Organisation Internationale du Travail ;
sécurité informatique de l’entreprise ;
divulgation d’informations confidentielles (secret de fabrique et secret d’affaires).
S’agissant des modalités de signalement, la Commission prend acte que les employés peuvent déclencher la procédure en adressant un courrier postal ou électronique à une adresse dédiée auprès d’un prestataire en Suède, en charge de la gestion de ces signalements.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et éventuels témoins mentionnés ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif examiné impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
La Commission relève, par ailleurs, qu’une utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires.
Sur les destinataires
Les personnes habilitées à accéder à tout ou partie des données à caractère personnel du présent traitement sont les agents du service dédié au traitement des signalements dénommé Forensic Services, de la société PriceWaterHouseCoopers, en Suède.
La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement.
Elle relève, à ce titre, qu’elles sont toutes astreintes à une obligation de confidentialité.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via une notice explicative jointe au dossier d’embauche des salariés, également annexée au règlement intérieur. L’information sera également réalisée par voie d’affichage ainsi que par une note d’information sur le site intranet de la société SECURITAS DIRECT.
Les personnes mises en cause sont informées de l’existence d’une alerte à leur encontre et de l’enregistrement de données les concernant. Cette information peut éventuellement être retardée, le temps strictement nécessaire à l’adoption de mesures conservatoires, permettant de prévenir la destruction des preuves.
Les droits d’accès et de rectification s’exercent directement auprès du directeur du département juridique du groupe.
La Commission prend acte que les représentants du personnel ont été informés de la mise en place du dispositif le 29 avril 2014.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures sont prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.
La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier  l’utilisateur à l’origine d’une opération.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
Par ailleurs, la Commission relève que les données relatives à l’alerte feront l’objet d’un transfert au sein de l’Union Européenne, le prestataire chargé du recueil des alertes étant situé en Suède, pays offrant un niveau de protection adéquat.
Autorise, conformément à la présente délibération, la société SECURITAS DIRECT à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN