La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la société Crown Worldwide SAS d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle ;
Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations.
Formule les observations suivantes :
Le 12 septembre 2006, la société Crown Worldwide SAS a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en place d'un système externe et limité d'alertes éthiques visant à permettre à tout salarié s'estimant être témoin ou victime d'une situation de harcèlement sexuel ou moral ou d'une discrimination, de la signaler à un prestataire extérieur chargé par la société Crown de mener les investigations.
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission considère que les dispositifs d'alerte professionnelle doivent être limités à un champ restreint aux domaines financier et comptable.
La Commission rappelle que, si elle admet que dans le cadre d'un dispositif d'alerte soient recueillis des faits graves ne relevant pas du strict domaine ne relevant pas des domaines financier et comptable lorsque l'intérêt vital de l'organisme concerné ou l'intégrité physique ou morale des employés est en jeu, elle estime que dans ces cas, le signalement de ces faits doit être réorienté vers les personnes compétentes au sein de l'entreprise concernée pour traiter ces faits, sans être exploité par les personnes gérant le dispositif d'alerte professionnelle.  En outre, l'organisation chargée du traitement des alertes devrait détruire ou archiver sans délai les données relatives à cette alerte.
La Commission relève encore qu'aucun texte ne prévoit expressément les garanties et conditions susceptibles d'être mises en oeuvre par les employeurs qui envisageraient l'utilisation d'un dispositif externe d'alerte professionnelle dont le seul objet serait le signalement de situations de harcèlement ou de discrimination.
Compte tenu de l'ensemble de ces éléments et de la sensibilité d'un tel dispositif, le traitement n'apparaît pas, en l'état actuel des textes, proportionné à l'objectif poursuivi.  En outre, le caractère adéquat, pertinent et non excessif des données collectées au regard des finalités ne peut être démontré à la Commission.
Dès lors, la Commission n'autorise pas, en l'état, la société Crown Worldwide SAS, sise 15 Avenue du Président Salvador Allende - 94400 Vitry Sur Seine, à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle.
Le président, Alex TURK.