(Demande d’autorisation n° 1589037)
La Commission nationale de l’informatique et des libertés,
Saisie par la société BOUYGUES TELECOM d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié à la lutte contre les violences et le harcèlement au travail ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment son article L.4121-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’accord cadre européen du 26 avril 2007 sur le harcèlement et la violence au travail ;
Vu l’accord national interprofessionnel du 26 mars 2010 sur le harcèlement et la violence au travail, étendu par arrêté ministériel du 23 juillet 2010 ;
Vu l’accord de branche du 26 mai 2011 relatif au harcèlement et à la violence au travail dans la branche des télécommunications, étendu par arrêté ministériel du 7 octobre 2011 ;
Vu la délibération de la CNIL n°2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Après avoir entendu Monsieur Emmanuel de GIVRY, commissaire, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La société BOUYGUES TELECOM a déposé un dossier de demande d’autorisation préalable à la mise en œuvre d’un traitement de données à caractère personnel permettant aux salariés de signaler des violences et harcèlements au travail.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle.
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par l’autorisation unique s’agissant de son fondement juridique, de son champ d’application et des données traitées.
La Commission doit par conséquent procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel et notamment de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur la finalité et le champ d’application du dispositif
L’article L.4121-1 du code du travail dispose :
« L’employeur prend les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs.
Ces mesures comprennent :
1° Des actions de prévention des risques professionnels et de la pénibilité au travail ;
2° Des actions de formation et d’information ;
3° La mise en place d’une organisation et de moyens adaptés. […] »
La chambre sociale de la Cour de cassation considère que « l’employeur est tenu envers ses salariés d’une obligation de sécurité de résultat en matière de protection de la santé et de la sécurité des travailleurs, notamment en matière de harcèlement moral, et [que] l’absence de faute de sa part ne peut l’exonérer de sa responsabilité ; il doit répondre des agissements des personnes qui exercent, de fait ou de droit, une autorité sur les salariés ».
La Commission prend ainsi acte qu’un employeur est tenu, sauf à voir sa responsabilité engagée, de prendre toutes les mesures nécessaires à la prévention des risques professionnels.
L’accord national interprofessionnel du 26 mars 2010 sur le harcèlement et la violence au travail, étendu par arrêté ministériel en date du 23 juillet 2010, définit et décrit les faits de harcèlement et de violence au travail.
Cet accord renvoi notamment à la définition de violence au travail du Bureau international du travail (BIT), lequel la conçoit comme « toute action, tout incident ou tout comportement qui s’écarte d’une attitude raisonnable par lesquels une personne est attaquée, menacée, lésée ou blessée dans le cadre du travail ou du fait de son travail ».
Les faits de harcèlement et de violence au travail peuvent s’exprimer par des comportements physiques, psychologiques ou sexuels.
Les entreprises relevant de la branche des télécommunications sont, par ailleurs, soumises à des règles spécifiques en matière de lutte contre le harcèlement et les violences au travail.
Les dispositions de l’accord de branche du 26 mai 2011 relatif au harcèlement et à la violence au travail dans la branche des télécommunications ont en effet été rendues obligatoires, par arrêté ministériel en date du 7 octobre 2011, pour tous les employeurs et salariés compris dans le champ d'application de la convention collective nationale des télécommunications.
L’article 2°-3 de cet accord de branche prévoit que « dans le cas où malgré les mesures de prévention mises en place dans l'entreprise, un fait de harcèlement ou de violence survient en lien direct avec le travail, une procédure appropriée doit être mise en place par l'employeur, en concertation avec les institutions représentatives du personnel si elles existent, afin d'identifier, comprendre et traiter ces phénomènes ».
Aux termes de l’accord précité, une telle procédure doit respecter les principes de célérité dans le traitement des plaintes, de discrétion, d'anonymat dans la communication, d’écoute impartiale et de traitement équitable des différentes parties, d’une part, et prévoir la possibilité d’une assistance extérieure pouvant s'appuyer sur les services de santé au travail, d’autre part.
La Commission considère que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée des alertes des salariés. Pour tenir compte de ce caractère complémentaire, elle estime qu’un dispositif d’alerte professionnelle doit être limité dans son champ.
Le champ du dispositif d’alerte professionnelle de la société BOUYGUES TELECOM est restreint et strictement dédié à lutter contre les violences et le harcèlement au travail.
Au regard de ce qui précède, la Commission estime que le dispositif qui lui est présenté répond à l’intérêt légitime du responsable du traitement et elle considère que la finalité poursuivie par ce dernier est déterminée, explicite et légitime.
Sur les modalités de signalement
Tout collaborateur de la société BOUYGUES TELECOM témoin ou victime d’un fait de violence ou de harcèlement au travail peut saisir directement le responsable « Prévention santé » de la société, par courriel ou appel téléphonique, ou saisir son responsable ressources humaines dédié, un autre collaborateur ou encore un représentant du personnel aux fins de saisine du responsable « Prévention santé ».
Le responsable « Prévention Santé » reçoit par la suite le collaborateur ayant subi les actes à l’origine de l’alerte afin de l’informer des modalités de la procédure.
A compter de cet entretien, le collaborateur victime bénéficie d’un délai de réflexion de quarante-huit heures pour décider de poursuivre la procédure ou d’y mettre un terme.
En cas de maintien du signalement, une enquête est menée conjointement par le responsable « Prévention Santé », le directeur des ressources humaines métier et le Secrétaire du CHSCT ou un membre de ce dernier désigné par son Secrétaire.
A l’issue de la phase d’enquête, une note de conclusions et de préconisations est rédigée et communiquée au collaborateur ayant subi les actes à l’origine du signalement et au mis en cause.
Une communication sous format anonyme du cas est ensuite transmise au CHSCT du site concerné.
En fonction des résultats de l’enquête, le directeur des ressources humaines métier prend les mesures qui lui apparaissent nécessaires, puis en informe le responsable « Prévention Santé » ainsi que le secrétaire ou le membre du CHSCT en charge de l’enquête.
Sur le traitement de l’identité de l’émetteur de l’alerte
La Commission considère que l’obligation d’identification de la personne à l’origine d’une alerte professionnelle est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle, des personnes concernées.
Le dispositif d’alerte professionnelle de la société BOUYGUES TELECOM implique nécessairement que l’émetteur d’une alerte s’identifie. Les signalements anonymes ne peuvent pas être pris en compte.
L’identité de l’émetteur, afin qu’il ne subisse pas de préjudice du fait de sa démarche, est néanmoins traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
L’utilisation abusive du dispositif d’alerte professionnelle de la société BOUYGUES TELECOM peut exposer son auteur à des sanctions.
La Commission relève néanmoins que l’auteur d’une alerte non fondée après vérification, dès lors que le dispositif aura été utilisé de bonne foi, ne fera pas l’objet d’une sanction.
Au regard de ce qui précède, la Commission estime que le traitement de l’identité de l’émetteur d’une alerte est conforme à l’article 6-3° de la loi du 6 janvier 1978 modifiée, qui impose que des données à caractère personnel soient adéquates, pertinentes et non excessives au regard de la finalité poursuivie et de leurs traitements ultérieurs, .
Sur l’information des personnes
Le comité central d’entreprise, le comité d’entreprise ainsi que le comité d'hygiène, de sécurité et des conditions de travail (CHSCT) de la société BOUYGUES TELECOM ont été informées et consultés préalablement à la mise en œuvre du dispositif d’alerte professionnelle soumis à la Commission.
Les employés et les managers bénéficieront d’une information sur l’existence et les conditions d’utilisation du dispositif d’alerte professionnelle, par l’intermédiaire d’une diffusion sur l’intranet de la société à l’initiative de la direction des ressources humaines.
La personne faisant l’objet d’une alerte sera informée par le responsable « Prévention Santé » de l’existence du signalement ainsi que de ses droits issus de la loi du 6 janvier 1978 modifiée. Cette information pourra être différée, le cas échéant, le temps nécessaire pour adopter les mesures conservatoires visant à la préservation des preuves.
Les mesures prévues au titre de l’information des personnes concernées n’appellent pas d’observation de la Commission.
Sur les droits des personnes
Les droits d’accès et de rectification s’exercent par écrit auprès du service « Informatique et libertés » de la société BOUYGUES TELECOM.
La réponse est apportée par ce dernier dans un délai maximum de deux mois.
Les informations communiquées au titre du droit d’accès porte sur l’intégralité des données concernant le demandeur.
Les données concernant l’identification de l’émetteur de l’alerte ou d’une autre personne identifiée ne sont en revanche pas communiquées.
Les modalités d’exercice des droits d’accès et de rectification n’appellent pas d’observation de la Commission.
Sur les catégories de données à caractère personnel enregistrées
Les données susceptibles d’être collectées par l’intermédiaire du dispositif d’alerte professionnelle examiné par la Commission sont les suivantes :
identité, fonctions et coordonnées de l'émetteur de l'alerte ;
identité de la personne ayant subi les actes à l’origine de l’alerte ;
identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte et préconisations.
La Commission relève, par rapport aux données mentionnées dans sa délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle, l’ajout de l’identité de la personne ayant subi les actes à l’origine de l’alerte, et ce, en raison de la possibilité offerte à un témoin de signaler les faits.
La Commission considère que les données à caractère personnel dont le traitement est envisagé par la société BOUYGUES TELECOM sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires des données
Les destinataires de tout ou partie des données à caractère personnel sont, dans la limite de leurs attributions respectives, le responsable « Prévention Santé », le directeur des ressources humaines métier concerné, ainsi que le secrétaire du CHSCT ou un membre de ce dernier désigné par son secrétaire.
La personne ayant subi les actes à l’origine de l’alerte et le collaborateur visé par le signalement doivent, quant à eux, avoir communication de la note de conclusion et de préconisations établie après l’enquête menée conjointement par le responsable « Prévention Santé », le directeur des ressources humaines métier concerné et le secrétaire du CHSCT ou un membre de ce dernier désigné par son secrétaire.
La Commission considère que ces destinataires ont un intérêt légitime à connaitre des données à caractère personnel du présent traitement.
Sur la durée de conservation
Les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites dans un délai de quarante-huit heures.
Lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données relatives à cette alerte sont détruites ou archivées dans un délai d’un mois à compter de la décision de ne pas donner suite à l’alerte.
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives à l'alerte  sont conservées par l'organisation chargée de la gestion des alertes jusqu'au terme de la procédure.
Les données faisant l'objet de mesures d'archivage sont conservées pour une durée n'excédant pas les délais de prescription des procédures contentieuses.
Sur les sécurités
Des mesures de sécurité sont prises afin de préserver la sécurité des données et, notamment, empêcher que des tiers autorisés y aient accès.
Les alertes émises sont exclusivement traitées en interne sans recourir à un prestataire.
Pour traiter les alertes, le responsable « Prévention Santé » utilise un compte de messagerie dédié à cet effet et sécurisé par un mot de passe composé de caractères numériques et alphanumériques.
Les données transmises au responsable « Prévention Santé » sont ensuite chiffrées pour garantir leur confidentialité.
Les données archivées sont, quant à elles, conservées sur un support physique externe placé dans un coffre-fort physique.
Le traitement ne présente pas de fonctionnalité de traçabilité en raison du fait que seul le responsable « Prévention Santé » pourra y accéder.
La Commission considère que ces mesures de sécurité sont conformes à l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise la société BOUYGUES TELECOM à mettre en œuvre un traitement de données à caractère personnel susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN