La Commission nationale de l'informatique et des libertés,
Saisie par la société la société Industria De Diseno Textil S.A.  (INDITEX S.A) d’une demande  d’autorisation concernant un traitement automatisé de données à caractère  personnel ayant pour finalité la mise en œuvre d’un dispositif d’alerte  professionnelle ;
Vu la Convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article  25-I-4 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu la délibération n° 2005-305 du 8 décembre 2005 portant  autorisation unique de traitements automatisés de données à caractère  personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle  (AU-004), telle que modifiée le 14 octobre 2010 et le 30 janvier 2014 ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS,  commissaire, et après avoir entendu les observations de M.   Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, en particulier, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Responsable du   traitement
La   société Inditex S.A. est une   société de droit espagnol et la maison-mère du groupe de sociétés Inditex spécialisé dans la confection   et la distribution dans les secteurs de l’habillement, de la chaussure, de la   maroquinerie, de l’équipement et de la décoration de la maison.
La   société INDITEX S.A. endosse la qualité de responsable de traitement pour   l’ensemble des sociétés du groupe INDITEX concernées par le dispositif   d’alerte professionnelle en cause, en particulier s’agissant des sociétés   françaises suivantes :
-         ZARA   FRANCE ;
-         MASSIMO   DUTTI FRANCE ;
-         BERSHKA   FRANCE ;
-         PULL   & BEAR FRANCE ;
-         STRADIVARIUS   FRANCE ;
-         ZARA   HOME FRANCE ;
-         OYSHO   FRANCE.
La   Commission relève que le présent dispositif d’alerte professionnelle, pour sa   partie soumise à la législation espagnole, a fait l’objet d’une déclaration à   l’Agence espagnole de protection des données.
Sur la finalité
La société Inditex S.A. a déposé un dossier de demande d’autorisation   préalablement à la mise en place d’un dispositif d’alerte professionnelle.
La Commission considère qu’il y a lieu de   faire application des dispositions de l’article 25-I-4° de la loi du 6   janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés   susceptibles du fait de leur nature, de leur portée ou de leurs finalités,   d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un   contrat en l’absence de toute disposition législative ou réglementaire.
Elle estime, de façon   générale, qu’un dispositif d’alerte   professionnelle doit être   limité dans son champ d’application et que son utilisation doit demeurer   facultative et complémentaire par rapport aux autres voies légales de   remontée de réclamations des salariés.
En l’espèce, le dispositif d’alerte   professionnelle mis en œuvre par la société Inditex S.A. est dédié au traitement   des signalements relatifs aux manquements aux principes énoncés dans le    Code de conduite et de pratiques responsables du groupe INDITEX ,   à savoir :
-         le   respect de la législation en matière de droit du travail, s’agissant   notamment de la santé, de l’hygiène et de la sécurité au travail, de la lutte   contre les discriminations et contre le harcèlement sexuel et moral ;
-         la   lutte contre les pratiques anticoncurrentielles ;
-         la   lutte contre la corruption ;
-         la   lutte contre les conflits d’intérêts ;
-         le   respect de la vie privée ;
-         la   protection des informations à caractère personnel ;
-         la   protection de la propriété industrielle et intellectuelle ;
-       la protection des informations comptables   et financières ;
-         la   lutte contre le détournement d’actifs ;
-         le respect   des engagements environnementaux.
Ce   code de conduite a été adopté par le Groupe INDITEX afin de prendre en compte   les nouvelles dispositions du Code pénal espagnol, issues de la loi organique   n° 1/2015 du 30 mars 2015, qui permettent notamment d’engager la   responsabilité pénale des personnes morales dans les domaines précités.
Ce mode de signalement ne se substitue pas à la remontée hiérarchique   classique, en ce qu’il constitue un canal de signalement alternatif pour les   personnes ne souhaitant pas emprunter la voie habituelle de signalement.
La Commission estime que le dispositif qui lui est   présenté, limité dans son champ d’application et facultatif, répond à   l’intérêt légitime du responsable du traitement, conformément aux   dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée.
Elle considère, dès lors, que les finalités du traitement sont   déterminées, explicites et légitimes.
Sur les données   traitées
Les catégories de données collectées sont   relatives :
-         à   l’identité, aux fonctions et aux coordonnées de l'émetteur de l'alerte   professionnelle ;
-         à   l’identité, aux fonctions et aux coordonnées des personnes faisant l'objet   d'une alerte ;
-         à   l’identité et aux fonctions des personnes intervenant dans le cadre du recueil   ou du traitement de l’alerte ;
-         aux   faits signalés ;
-         au   compte rendu des opérations de vérification ;
-         aux   suites données à l’alerte et en particulier aux résolutions adoptées par le   Comité d’éthique.
La Commission estime que ces données sont adéquates, pertinentes et   non excessives au regard de la finalité poursuivie par le responsable de traitement.
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la   Commission considère que l’obligation de s’identifier pour l’émetteur de   l’alerte est de nature à limiter les risques de mise en cause abusive ou   disproportionnée de l’intégrité professionnelle, voire personnelle des   personnes concernées.
La Commission prend acte qu’en   l’espèce le dispositif impose que l’émetteur de l’alerte s’identifie, étant   précisé que son identité est néanmoins traitée de façon confidentielle par   les personnes chargées de la gestion des alertes.
Sur les   destinataires
S’agissant des   modalités de signalement, la Commission prend acte que tout salarié de la société   Inditex S.A. peut déclencher la procédure par courrier postal,   par courrier électronique ou par fax via des dispositifs spécifiquement créés   pour le traitement.
Les alertes émises sont   recueillies par le Comité d’éthique de la société INDITEX   S.A., spécifiquement créé à cet effet, composé :
-         du secrétaire   général de la société INDITEX S.A. ;
-         du directeur   chargé de veiller au respect de la réglementation de la société INDITEX   S.A. ;
-         du directeur   de l’audit interne de la société INDITEX S.A ;
-         du directeur   de la responsabilité sociale corporative de la société INDITEX S.A ;
-         du directeur   des ressources humaines de la société INDITEX S.A.
Les alertes sont exclusivement traitées en   interne par le Comité d’éthique précité, sans recours à un prestataire   extérieur.
Les données recueillies et traitées    pourront être communiquées par le Comité d’éthique au(x) correspondant(s)   désigné(s) de chaque filiale française (directeur des ressources humaines   et/ou directeur général de la filiale).
Une communication de données pourra intervenir au cours de l’enquête,   pour réunir les documents et informations nécessaires au traitement de   l’alerte. Une communication de données pourra également intervenir à l’issue   de l’enquête pour permettre l’adoption des mesures nécessaires pour faire   cesser et/ou sanctionner le manquement relevé.
La Commission considère que ces destinataires présentent un intérêt   légitime à accéder aux données du présent traitement.
Elle relève, par ailleurs,   que ces personnes sont toutes astreintes à une obligation renforcée de   confidentialité, contractuellement définie.
Sur l’information   et le droit d’accès
La Commission prend acte du fait que les instances   représentatives du personnel en France    (Comité central d’entreprise, Comité d’entreprise et Comité d’hygiène,   de sécurité et des conditions de travail) seront informées et   consultées, préalablement à la décision de mise en œuvre, sur le dispositif   d’alerte professionnelle en cause et ses modalités de mise en œuvre.
Les salariés seront informés du dispositif, conformément à l’article   32 de la loi du 6 janvier 1978 modifiée, par la diffusion du  Code de   bonne conduite et des principes responsables du groupe INDITEX  et des   normes de fonctionnement du dispositif d’alerte professionnelle via   l’intranet de la société INDITEX S.A.
Ils seront également informés que l’utilisation de bonne foi du   dispositif, même si les faits s’avèrent par la suite inexacts ou ne donnent   lieu à aucune suite, n’expose son auteur à aucune sanction, mais que   l’utilisation abusive du dispositif peut en revanche exposer son auteur à des   sanctions disciplinaires et à des poursuites judiciaires.
Une personne mise en cause par un signalement est informée par le   Comité d’éthique de l’existence d’une alerte à son encontre, dès   l’enregistrement, par le Comité, de données à caractère personnel la   concernant, et notamment des faits reprochés et des modalités d’exercice de   ses droits d’accès et de rectification. Des mesures conservatoires peuvent   toutefois être prises avant l’information de cette personne afin de s’assurer   de la conservation des preuves.
Les droits d’accès et de rectification, prévus par les articles 39 et   40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du Comité   d’éthique d’INDITEX S.A. par courrier électronique ou par voie postale.
La   Commission considère que ces modalités d’information et d’exercice des droits   des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission relève qu’un audit de   sécurité sur les mesures techniques et d’organisation exigées par la loi   espagnole, et notamment sur celles relatives au dispositif d’alerte   professionnelle, a été réalisé en septembre 2014 dans la société INDITEX S.A.
Elle rappelle toutefois que le responsable d’un traitement de   données à caractère personnel doit, en application de l’article 34 de la loi   du 6 janvier 1978 modifiée, prendre toutes les précautions utiles pour   préserver la sécurité des données collectées et traitées, au regard de la   nature de ces dernières et des risques présentés par le traitement, et   notamment empêcher que des tiers non autorisés y aient accès par   l’intermédiaire de mesures de sécurité physiques, logiques et   organisationnelles.
La Commission relève à   cet égard que les utilisateurs s’authentifient avec un identifiant et un mot   de passe respectant ses recommandations en la matière

Un mécanisme de gestion   des habilitations permet, par ailleurs, de garantir que seules les personnes   habilitées peuvent accéder aux données nécessaires à la réalisation de leurs   missions. A cet égard, la Commission rappelle que la gestion des   habilitations doit faire l’objet de procédures formalisées, validées par le   responsable de traitement, portées à la connaissance des utilisateurs et être   régulièrement mises à jour.
Des mesures techniques   adéquates garantissent la sécurité des données stockées ou échangées, en   particulier lors des échanges opérés par l’intermédiaire d’un réseau non   sécurisé tel qu’Internet.
Un mécanisme de   journalisation des accès à l’application et des opérations effectuées permet   de détecter d’éventuels accès ou opérations non souhaitées ou interdites,   avec une conservation des

Enfin, des mesures   nécessaires permettent d’assurer la maintenance du matériel et sa mise au   rebus dans des conditions de sécurité satisfaisantes, en particulier   s’agissant de l’absence de données à caractère personnel stockées dans les   matériels remisés.
La Commission rappelle   que l'usage d'outils ou de logiciels développés par des tiers dans le cadre   de la mise en œuvre d'un traitement de données à caractère personnel reste   sous la responsabilité du responsable de traitement qui doit notamment   vérifier que ces outils ou logiciels respectent l'ensemble des obligations   que la loi du 6 janvier 1978 modifiée met à sa charge.
Elle rappelle également   qu’un responsable de traitement conserve la responsabilité des données à   caractère personnel communiquées ou gérées par ses sous-traitants et, le cas   échéant, que le contrat établi entre les parties doit mentionner les   objectifs de sécurité que le sous-traitant doit respecter.
La Commission rappelle enfin que l’exigence de sécurité prévue par   l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour   des mesures de sécurité au regard de la réévaluation régulière des   risques.
Sur les autres   caractéristiques du traitement
La Commission   relève que les durées de conservation prévues par le responsable de   traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation   unique n°004, à savoir :
-         les   données relatives à un signalement considéré dès son recueil, par le Comité   d’éthique, comme n'entrant pas dans le champ du dispositif, sont détruites   sans délai ;
-         lorsque   le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire,   les données sont détruites dans un délai de deux mois à compter de la clôture   des opérations de vérification ;
-         si   une procédure disciplinaire ou des poursuites judiciaires sont engagées à   l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive,   les données sont conservées jusqu’au terme de la procédure.
La Commission estime que ces durées de   conservation ne sont pas excessives au regard de la finalité poursuivie par   le traitement, conformément aux dispositions de l’article 6-5° de la loi du 6   janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la société INDITEX S.A. à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN