La Commission nationale de l'informatique et des libertés,
Saisie par la société SANOFI d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre d'un dispositif d'alerte professionnelle ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération de la Commission nationale de l'informatique et des libertés n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La Commission est saisie par le chef du département Global Compliance de la société anonyme SANOFI, créée le 10 septembre 1973, dont le siège social est domicilié au 54 de la rue de la Boétie à Paris.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d'un dispositif d'alerte professionnelle.
La Commission rappelle qu'elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique (autorisation unique n°4 dite AU-004 ) applicable aux traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle. (Délibération n°2005-305 du 8 décembre 2005).
Le traitement objet de la présente délibération répond aux exigences prévues par l'AU-004, à l'exception de son article 1

La Commission considère que l'utilisation d'un dispositif d'alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, afin de tenir compte de ce caractère complémentaire, qu'un dispositif d'alerte doit être limité dans son champ.
La Commission rappelle qu'un dispositif d'alerte doit respecter les principes relatifs à la protection des données à caractère personnel, notamment les dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui prévoit que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Les alertes pouvant être émises par l'intermédiaire du dispositif de la société SANOFI ne peuvent concerner que les thématiques de son code éthique suivantes :
la santé et la sécurité au travail (discrimination, harcèlement, violence, hygiène et sécurité), la liberté syndicale, le respect de l'interdiction du travail forcé ou du travail des enfants ;
une atteinte aux informations confidentielles et sensibles ou à la propriété intellectuelle, les conflits d'intérêts et les détournements d'actifs, ainsi que le non-respect des règles de promotion et de distribution des produits ;
une atteinte à la vie privée et notamment à la protection des données à caractère personnel ;
une atteinte à l'environnement ;
le non respect des droits de l'Homme tels que visés par la Déclaration des droits de l'Homme du 10 décembre 1948 et par les dix principes du Pacte mondial des Nations Unies auxquels Sanofi a adhéré.
La Commission estime que ce dispositif est limité dans son champ et qu'il répond à l'intérêt légitime du responsable de traitement, conformément aux dispositions de l'article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les catégories de données collectées sont identiques à celles listées par l'article 3 de l'AU-004, à savoir :
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;
faits signalés ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur le traitement de l'identité de l'émetteur de l'alerte, la Commission considère que l'obligation de s'identifier à cette occasion est de nature à limiter le risque de mise en cause abusive de l'intégrité professionnelle ou personnelle des personnes visées.
La Commission relève que l'émetteur d'une alerte est invité à s'identifier lorsqu'il utilise le dispositif de la société SANOFI et que son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
Les alertes anonymes seront admises à titre exceptionnel si, après une incitation à s'identifier et le rappel des précautions prises pour la protection de son identité, l'auteur d'une alerte maintient sa volonté de rester anonyme.
La Commission prend ainsi acte que les alertes anonymes ne sont traitées qu'aux conditions prévues par l'article 8 de l'AU-004, à savoir :
le traitement de l'alerte s'entoure de précautions particulières telles qu'un examen préalable, par le premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif ;
le dispositif prévoit par défaut une identification et les personnes ne sont pas incitées à l'utiliser anonymement.
Sur les destinataires
La Commission relève que les catégories de destinataires du dispositif de la société SANOFI sont identiques à celles mentionnées à l'article 4 de l'AU-004.
Elle observe, en particulier, que les personnes chargées du recueil et du traitement des alertes professionnelles sont en nombre limité, spécialement formées et astreintes à une obligation renforcée de confidentialité contractuellement définie.
Plus précisément, sont destinataires de tout ou partie des données du présent traitement, dans la limite de leurs attributions et pour la poursuite de la finalité précitée :
les personnes spécialement désignées au sein de l'équipe Global Compliance de la société SANOFI ;
le directeur juridique de la société SANOFI ;
le personnel habilité du prestataire de service chargé de recueillir les alertes ;
le cas échéant, les autorités compétentes si l'alerte doit donner lieu à une procédure judiciaire.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données traitées.
Sur l'information et le droit d'accès
Les personnes concernées sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site internet de la société SANOFI ainsi qu'un affichage dans ses locaux.
Les instances représentatives du personnel seront dûment informées du présent traitement et de ses modalités de mise en œuvre.
Les utilisateurs potentiels du dispositif sont informés qu'une utilisation abusive peut exposer son auteur à des sanctions disciplinaires et à des poursuites judiciaires. Cette information précise qu'une utilisation de bonne foi du dispositif, même si les faits s'avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n'expose son auteur à aucune sanction.
Une personne ayant fait l'objet d'une alerte est informée, dès l'enregistrement de données la concernant, sur l'entité responsable du dispositif, les faits reprochés, les services éventuellement destinataires de l'alerte, ainsi que sur les modalités d'exercice de ses droits d'accès et de rectification.
Lorsque des mesures conservatoires sont nécessaires, notamment pour prévenir la destruction de preuves, l'information de cette personne peut être retardée le temps nécessaire à l'adoption de ces mesures.
Les droits d'accès et de rectification s'exercent par courrier électronique ou par voie postale auprès du service Global Compliance de la société SANOFI.
La Commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Le responsable de traitement a mis en place une politique de mot de passe exigeant que ces derniers aient une longueur minimale de huit caractères, d'une part, et qu'ils contiennent trois types de caractères à choisir parmi des chiffres, des minuscules, des majuscules et des caractères spéciaux, d'autre part.
Le sous-traitant a mis en place une politique de mot de passe qui exige qu'ils aient une longueur minimale de 10 caractères, d'une part, et qu'ils contiennent au moins un chiffre, une lettre et un caractère spécial, d'autre part.
Les services web sont sécurisés au moyen du protocole dit SSL .
Les données transmises entre la sous-traitant et le responsable de traitement sont préalablement chiffrées. La transmission du secret ayant servi à chiffrer les données se fait via un canal de communication distinct des données.
Le responsable de traitement a fixé contractuellement des objectifs de sécurité à son sous-traitant.
Le sous-traitant supprime les données concernant une alerte dès que celle-ci a été transmise au responsable de traitement.
Les postes de travail des salariés chargés du traitement des alertes font l'objet de mesures de sécurité complémentaires destinées à garantir la confidentialité des données qu'ils traitent.
Des mesures de traçabilité permettent de journaliser toutes les opérations effectuées par les salariés du sous-traitant. Ces données sont conservées pendant quatre ans.
Ces mesures de sécurité n'appellent pas d'observation de la Commission au regard de l'article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
Le recueil des alertes est assuré par un prestataire externe indépendant.
Les alertes peuvent être émises directement sur le site internet de ce prestataire, ou par téléphone par l'intermédiaire d'un numéro vert directement géré par ce dernier.
Dès réception d'une alerte, le prestataire est chargé d'établir un rapport écrit comprenant les informations relatives à l'alerte. Ce rapport est mis à disposition des personnes spécifiquement désignées du département Global Compliance de la société SANOFI.
Un contrat a été conclu entre le prestataire choisi par la société SANOFI et les représentants de cette dernière, afin de formaliser les obligations incombant au sous-traitant en matière de sécurité et de confidentialité des données.
Les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l'article 6 de l'AU-004, à savoir :
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement de la finalité poursuivie par le responsable de traitement.
La Commission relève que le prestataire choisi par le responsable de traitement supprime les données collectées dès réception de l'accusé de réception par SANOFI du rapport écrit comprenant les informations relatives à une alerte, d'une part, et qu'il ne procède à aucun enregistrement des communications téléphoniques liées à une alerte, d'autre part.
Autorise, conformément à la présente délibération, la société SANOFI à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN