La Commission nationale de l'informatique et des libertés,
Saisie le 29 juillet 2004 d'une déclaration portant sur la mise en oeuvre d'un dispositif de "ligne éthique" au sein de la Compagnie européenne d'accumulateurs,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel,
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Sur le dispositif présenté
La Compagnie européenne d'accumulateurs (CEAC) a saisi la CNIL d'une déclaration concernant la mise en oeuvre d'une "hotline" (ligne téléphonique dédiée) à destination de ses 1500 employés.
Ce dispositif de "ligne éthique", conçu par sa société mère Exide Technologies afin de se conformer aux dispositions de la loi américaine dite "Sarbanes-Oxley", devrait permettre à l'ensemble des salariés du groupe "de communiquer avec le comité de surveillance comptable du conseil d'administration d'Exide sur des sujets tels que les inexactitudes ou les irrégularités comptables qui pourraient être commises".
La "hotline" devrait également permettre aux salariés d'alerter les dirigeants du groupe sur les éventuelles violations des principes en vigueur dans l'entreprise (règles de conduite éthique ou commerciale) ou des lois en vigueur.
Le dispositif s'appuierait à la fois sur un numéro vert et sur une adresse électronique.
Dans les deux cas, les alertes et les demandes d'information seraient en fait adressées à un sous-traitant américain pour le compte de Exide Technologies. S'agissant des appels passés en langue française, un second prestataire de service américain interviendrait.
S'il le souhaitait, l'anonymat de l'appelant serait garanti.
Les sous-traitants seraient chargés d'enregistrer sur support informatique le contenu des demandes et des alertes selon la classification suivante : "(1) ressources humaines ou problèmes de travail, (2) fraude ou vol, (3) erreur comptable, (4) problèmes liés aux principes de conduite et d'éthique".
En fonction de cette classification, un résumé écrit des appels et des messages électroniques reçus devrait ensuite être transmis, par e-mail crypté, aux personnes nommément désignées à cet effet par la société-mère (département juridique, département comptabilité, comité international, comité de vérification des comptes du conseil d'administration).
Le destinataire de l'information au sein d'Exide Technologies réaliserait ensuite, le cas échéant, une enquête interne. Celle-ci s'effectuerait en liaison avec le responsable juridique France (CEAC) qui recevrait les données nécessaires par courrier électronique.
Un "suivi de dossier" serait également adressé, par voie électronique, par la société-mère au responsable juridique France, qui le transmettrait au responsable des ressources humaines France.
Tout salarié concerné par un appel serait informé "le plus tôt possible des allégations prononcées à son encontre de telle sorte qu'il puisse s'expliquer".
Enfin, la durée de conservation des données serait limitée à une année.
Sur la détermination du responsable de traitement et l'application de la loi du 6 janvier 1978
L'article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.
Il ressort du dossier de formalités préalables présenté par la société CEAC que cette dernière agit auprès de la CNIL en qualité de responsable du dispositif de "ligne éthique" qu'elle envisage de mettre en oeuvre, et en particulier des traitements de données opérés lors des enquêtes diligentées sur des employés déterminés à la suite d'un signalement opéré dans le cadre du dispositif.
Dès lors, la Commission constate que la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est applicable au dispositif de "ligne éthique" présenté et qu'elle est donc compétente pour se prononcer sur la conformité du projet à cette loi.
Sur la procédure déclarative applicable
La Commission relève que le dispositif envisagé est susceptible de conduire la société CEAC à décider, au titre des mesures correctives qu'elle doit prendre à la suite d'un signalement, à exclure des employés considérés fautifs du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire encadrant ce type de traitement.
Dès lors, la procédure d'autorisation prévue à l'article 25-1, 4° de la loi du 6 janvier 1978 modifiée doit être appliquée au traitement de données personnelles présenté.
Sur la conformité du dispositif présenté à la loi du 6 janvier 1978
La Commission considère que la mise en oeuvre par un employeur d'un dispositif destiné à organiser auprès de ses employés le recueil, quelle qu'en soit la forme, de données personnelles concernant des faits contraires aux règles de l'entreprise ou à la loi imputables à leurs collègues de travail, en ce qu'il pourrait conduire à un système organisé de délation professionnelle, ne peut qu'appeler de sa part une réserve de principe au regard de la loi du 6 janvier 1978 modifiée, et en particulier de son article 1er.
En ce sens, la Commission observe que la possibilité de réaliser une "alerte éthique" de façon anonyme ne pourrait que renforcer le risque de dénonciation calomnieuse.
Au surplus, la Commission estime que le dispositif présenté est disproportionné au regard des objectifs poursuivis et des risques de dénonciations calomnieuses et de stigmatisation des employés objets d'une "alerte éthique". Elle relève à cet égard que d'autres moyens prévus par la loi existent d'ores et déjà afin de garantir le respect des dispositions légales et des règles fixées par l'entreprise (actions de sensibilisation par l'information et la formation des personnels, rôle d'audit et d'alerte des commissaires aux comptes en matière financière et comptable, saisine de l'inspection du travail ou des juridictions compétentes).
La Commission relève enfin que les employés objets d'un signalement ne seraient, par définition, pas informés dès l'enregistrement de données mettant en cause leur intégrité professionnelle ou de citoyen, et n'auraient donc pas les moyens de s'opposer à ce traitement de données les concernant. Les modalités de collecte et de traitement de ces données, dont certaines pourraient concerner des faits susceptibles d'être constitutifs d'infractions pénales, ne peuvent dès lors être considérées comme loyales au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Compte tenu de ces observations, la Commission n'autorise pas la mise en oeuvre du dispositif de "ligne éthique" présenté par la Compagnie européenne d'accumulateurs.
Le président, Alex TURK.