(Demande d’autorisation n°1801334)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Richemont Holding France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
La société Richemont Holding France, située 35, rue Boissy d’Anglas à Paris (75008), en qualité de responsable de traitement pour l’ensemble des sociétés françaises du groupe RICHEMONT, expert dans les domaines de la joaillerie, de la maroquinerie, et de l’horlogerie de luxe.
En effet, la Commission constate qu’elle détermine seule les finalités et les moyens du traitement.
Sur la finalité
La société Richemont Holding France a saisi la Commission d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle permettant aux salariés de signaler des manquements au « code de déontologie du groupe ».
La Commission rappelle qu’elle a adopté le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°004 modifiée le 30 janvier 2014).
Elle observe que le traitement présenté par la société Richemont Holding France répond aux exigences prévues par l’autorisation unique, à l’exception des dispositions de l’article 1er relatives au champ d’application.
En effet, la société Richemont Holding France souhaite inclure dans le périmètre de son dispositif des domaines non visés par celle-ci.
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ d’application.
À cet égard, elle relève que le champ d’application du dispositif d’alerte professionnelle présenté par la société Richemont Holding France est strictement limité aux manquements au « code de déontologie du groupe », lesquels relèvent des domaines suivants :
La Commission estime que la finalité du traitement envisagé est déterminée, explicite et légitime.
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, hygiène et sécurité au travail;
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948 ;
divulgation d’informations confidentielles ;
protection des données à caractère personnel ;
commerce illicite des produits du groupe ;
pratiques commerciales prohibées ou trompeuses.
si les faits concernent une entité française, les alertes peuvent être adressées au Secrétaire Général Richemont France à l’adresse mail dédiée  alerte.professionnelle@richemont.com ;
si les faits signalés sont de dimension internationale, les alertes peuvent être adressées au Directeur de l’audit interne à l’adresse mail dédiée whistle.blowing@richemont.com.
S’agissant des modalités de signalement, la Commission prend acte que les employés peuvent déclencher la procédure, selon la dimension des faits:
financier, comptable, bancaire et de la lutte contre la corruption ;
pratiques anticoncurrentielles ;
lutte contre la discrimination et le harcèlement au travail ;
santé, hygiène et sécurité au travail;
protection de l’environnement ;
respect des droits de l’Homme, tels que visés dans la Déclaration des Droits de l’Homme adoptée par l’Assemblée générale des Nations Unies le 10 décembre 1948 ;
divulgation d’informations confidentielles ;
protection des données à caractère personnel ;
commerce illicite des produits du groupe ;
pratiques commerciales prohibées ou trompeuses.
si les faits concernent une entité française, les alertes peuvent être adressées au Secrétaire Général Richemont France à l’adresse mail dédiée  alerte.professionnelle@richemont.com ;
si les faits signalés sont de dimension internationale, les alertes peuvent être adressées au Directeur de l’audit interne à l’adresse mail dédiée whistle.blowing@richemont.com.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte et éventuels témoins mentionnés ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif examiné impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
La Commission relève, par ailleurs, qu’une utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires.
Sur les destinataires
Les personnes habilitées à accéder à tout ou partie des données à caractère personnel du présent traitement sont le Secrétaire Général France et le Directeur de l’audit interne Richemont, en charge de la réception des alertes et de leur instruction.
La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement.
Elle relève, à ce titre, qu’elles sont toutes astreintes à une obligation de confidentialité.
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, via la remise d’une note explicative accompagnée du code de déontologie à l’ensemble des salariés. Ces documents sont joints au dossier d’embauche des nouveaux salariés.
L’information sera également réalisée via un module de formation en ligne portant sur le dispositif, obligatoire pour l’ensemble des salariés.
Les personnes mises en cause sont informées de l’existence d’une alerte à leur encontre dès l’enregistrement de données les concernant. Cette information peut éventuellement être retardée, le temps strictement nécessaire à l’adoption de mesures conservatoires, permettant de prévenir la destruction des preuves.
Les droits d’accès et de rectification s’exercent directement auprès de la Direction des Ressources Humaines de la société Richemont Holding France.
La Commission prend acte que les représentants du personnel des sociétés concernées ont été informés de la mise en place du dispositif.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures sont prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.
La gestion des mots de passe respecte les recommandations de la Commission (mots de passe individuels composés d’au moins huit caractères des catégories alphabétique, numérique et spéciaux lesquels sont régulièrement renouvelés).
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, de modification ou de création permettant d’identifier l’utilisateur à l’origine d’une opération.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
Enfin, elle relève que les données relatives aux alertes feront l’objet d’un transfert hors de l’Union Européenne. En effet, le Directeur de l’audit interne chargé du recueil des alertes relatives à des faits de dimension internationale est situé à Hong-Kong. La Commission constate que ce traitement garantit un niveau de protection suffisant notamment en raison des clauses contractuelles type de la Commission européenne du 27 décembre 2004 (2004/915/CE) dont il fait l’objet.
Autorise, conformément à la présente délibération, la société Richemont Holding France à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN