(Demande d’autorisation n° 1722348)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement d’intérêt économique VALEO MANAGEMENT SERVICES d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par le groupement d’intérêt économique VALEO MANAGEMENT SERVICES, en qualité de responsable de traitement pour l’ensemble des entités du groupe VALEO spécialisé dans la conception, la fabrication et la vente d’équipements automobiles.
Sur la finalité
Le groupement d’intérêt économique VALEO MANAGEMENT SERVICES a déposé un dossier de demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU-004). Tout traitement excédant le cadre de cette autorisation unique ou ne respectant pas les exigences qui y sont définies doit, en revanche, faire l’objet d’une demande d’autorisation spécifique.
L’analyse des caractéristiques du traitement objet de la présente demande d’autorisation fait apparaître une différence par rapport à l’AU-004, dans la mesure où le groupement d’intérêt économique VALEO MANAGEMENT SERVICES n’est soumis à aucune disposition législative ou réglementaire de droit français ou étranger imposant la mise en place d’un dispositif d’alerte professionnelle.
La Commission observe que le groupe VALEO, dont fait partie le groupement d’intérêt économique VALEO MANAGEMENT SERVICES, est coté en bourse et que ses entités sont soumises à un code éthique les incitant à renforcer le contrôle interne et la gestion des risques en matière financière. En outre, en raison de ses activités internationales, le groupe VALEO est tenu de renforcer son contrôle interne et de fournir des données financières fiables à ses partenaires.
La Commission considère que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
En l’espèce, le dispositif qui lui est présenté a vocation à concourir au traitement des situations individuelles signalées par les utilisateurs, sans se substituer aux dispositions légales existantes.
En outre, la Commission estime que pour tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
A cet égard, elle relève que le champ du dispositif d’alerte professionnelle qui lui présenté vise à l'établissement de procédures de contrôle interne dans les domaines financier, comptable, bancaire, de lutte contre les pratiques anticoncurrentielles et de lutte contre la corruption.
La Commission considère que la finalité poursuivie par le groupement d’intérêt économique VALEO MANAGEMENT SERVICES est déterminée, explicite et légitime. Elle estime, par ailleurs, que le dispositif est limité dans son champ et qu’il répond à l’intérêt légitime du responsable de traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
S’agissant des modalités de signalement, la Commission prend acte que tout employé du groupe Valéo peut déclencher la procédure par téléphone, par courriel ou par l’intermédiaire d’un site internet dédié.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
Elle rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
A ce titre, la Commission relève que le dispositif impose par défaut aux utilisateurs de s’identifier, l’identité de ces derniers étant néanmoins traitée de manière confidentielle. Les alertes anonymes sont uniquement possibles dans les conditions mentionnées à l’article 2 de l’AU-004.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives :
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
le directeur de l’éthique et de la conformité du groupe ;
le directeur de l’audit interne du groupe ;
le directeur des ressources humaines du groupe ;
le directeur juridique du groupe.
Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation de confidentialité renforcée.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via le site internet de la société ainsi que par une mention sur le formulaire permettant de procéder à un signalement.
Une information sera également délivrée par voie d’affichage et par l’envoi d’un message électronique à l’ensemble des employés.
Les personnes mises en cause sont informées, quant à elles, de l’existence d’une alerte à leur encontre au plus tard à l’issue des mesures conservatoires nécessaires à la conservation des preuves. Cette information porte sur l'entité responsable du dispositif, les objectifs poursuivis et les domaines concernés par les alertes, les faits qui lui sont reprochés, les services éventuellement destinataires de l'alerte, ainsi que les modalités d'exercice de ses droits d'accès et de rectification.
Les droits d’accès et de rectification s’exercent directement auprès du directeur de l’éthique et de la conformité du groupe.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe, renouvelés tous les trois mois, constitués d’au moins dix caractères alphanumériques et spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les transmissions des données et leur sauvegarde sont sécurisées par un procédé de chiffrement (AES 256).
Une journalisation des accès aux fichiers de données à caractère personnel est assurée pour les opérations de consultation, de création, de mise à jour et de suppression.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation du dispositif qui lui est présenté sont identiques à celles mentionnées à l’article 6 de l’AU-004, à savoir :
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission observe enfin que le responsable de traitement fait appel à un prestataire établi au Royaume-Unis, chargé de recueillir les signalements et de les transmettre aux destinataires ci-avant mentionnés.
Autorise, conformément à la présente délibération, le groupement d’intérêt économique VALEO MANAGEMENT SERVICES à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN