La Commission nationale de l'informatique et des libertés,
Saisie le 7 janvier 2005 d'une déclaration portant sur la mise en oeuvre d'un dispositif d'intégrité professionnelle au sein du groupe McDonald's France,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel,
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel,
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport, et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes ;
Sur le dispositif présenté
La société McDonald's France a saisi la CNIL afin de pouvoir mettre en oeuvre un dispositif "d'intégrité professionnelle".
Ce dispositif, qui s'inscrit dans le cadre du "code d'éthique" du groupe international McDonald's, permettrait aux collaborateurs des filiales françaises du groupe d'alerter, par courrier postal ou par télécopie, la société-mère américaine (McDonald's Corporation) sur les comportements de leurs collègues de travail "supposés contraires aux règles légales françaises ainsi qu'au code d'éthique".
Ce projet ne viserait que les agissements d'une partie des employés de McDonald's France, à savoir l'ensemble des collaborateurs du siège et les seuls cadres des cent soixante-quinze restaurants du groupe, soit environ mille personnes.
L'utilisation de ce dispositif, bien que prévue dans le code d'éthique du groupe, ne constituerait pas une obligation pesant sur les collaborateurs. Ces derniers en seraient clairement informés.
Le contenu des alertes transmises au service éthique de McDonald's Corporation aux Etats-Unis sous forme de courriers postaux ou de télécopies serait enregistré dans un fichier central placé sous la responsabilité du directeur éthique de cette société. Chaque dossier enregistré dans ce fichier serait identifié par un numéro d'alerte pour assurer la confidentialité des informations.
Le directeur éthique de la maison-mère communiquerait au directeur juridique de McDonald's France, par courrier électronique protégé par un mot de passe, le contenu des courriers ou télécopies reçus. Ces données seraient ensuite orientées, en fonction de la nature de l'alerte, vers le responsable de service compétent selon le schéma suivant défini par McDonald's directeur des ressources humaines (pour les alertes relatives au droit social : présomption de harcèlement, de consommation d'alcool sur le lieu de travail, de discrimination, de décomptes d'horaires incohérents, autres sujets de préoccupation ayant trait à la conduite sur le lieu de travail), directeur de la sécurité (présomption d'un comportement susceptible d'être considéré comme un détournement de fonds, vol présumé de biens de la société, espionnage ou sabotage, corruption, diffusion ou divulgation d'informations confidentielles), directeur comptabilité et finances (audits de contrôle interne, irrégularités financières, pratiques contestables en matière comptable) ou autre destinataire (en fonction de la nature de la violation alléguée).
Le responsable de service déciderait d'ouvrir ou non une enquête et ne transmettrait la fiche d'alerte, le cas échéant, que vers les personnes qui devraient prendre part aux investigations. Il en informerait le directeur juridique de McDonald's France et le consulterait pour diligenter l'enquête.
En cas de mise en cause d'un membre de la direction générale de McDonald's France, l'enquête serait conduite directement par la maison-mère américaine.
Le fichier d'alerte utilisé pour l'enquête comporterait les données suivantes : nom, prénom et ville de résidence de l'expéditeur du courrier (si la personne décline son identité), nom du restaurant ou des bureaux, fonctions exercées par l'expéditeur du courrier, nom et prénom de la personne visée par l'allégation de non-respect du code d'éthique, ou nom et prénom d'un autre collaborateur qui pourrait avoir connaissance des faits le cas échéant, nature des allégations, conclusions de l'enquête (classement du dossier sans suite, type de sanctions prises, autres actions correctives).
Les collaborateurs présumés fautifs seraient informés de leurs droits d'accès, de rectification et d'opposition dans un délai de deux jours ouvrables par le directeur des ressources humaines, même s'il n'était procédé à aucune enquête.
Le résultat de l'enquête et les "mesures correctives" prises (modification des contrôles internes ou d'autres règles en vigueur au sein du groupe français, sanctions disciplinaires, actions en justice) seraient transmis, sans l'identité de l'employé concerné, par le directeur juridique de McDonald's France au directeur éthique de McDonald's Corporation.
Les données des fiches d'alerte informatisées seraient conservées par McDonald's France, en cas de comportement fautif retenu par l'enquête, entre une et cinq années en fonction de la nature de la faute commise. Le directeur juridique, le directeur des ressources humaines, le responsable hiérarchique du collaborateur concerné et un membre de la direction générale auraient la possibilité d'y accéder.
Les fiches d'alerte ne donnant pas lieu à enquête ou pour lesquelles l'enquête s'avèrerait négative seraient détruites dans les deux jours ouvrables après la décision de clôture.
Enfin, les fiches d'alerte détenues par le service éthique de McDonald's Corporation ne seraient pas conservées au-delà de trois mois à l'issue de la conclusion de l'enquête et de cinq années pour celles concernant les membres de la direction générale de McDonald's France.
Un contrat de flux transfrontières concernant les échanges de données personnelles entre la France et les Etats-Unis a été signé entre la société-mère et sa filiale française.
Sur la détermination du responsable de traitement et l'application de la loi du 6 janvier 1978
L'article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui détermine ses finalités et ses moyens.
Il ressort du dossier de formalités préalables présenté par la société McDonald's France que cette dernière agit auprès de la CNIL en qualité de responsable du dispositif d'intégrité professionnelle qu'elle envisage de mettre en oeuvre, et en particulier des traitements de données opérés lors des enquêtes diligentées sur des employés déterminés à la suite d'un signalement opéré dans le cadre du dispositif.
Au-delà, l'incitation à utiliser ce dispositif, présente dans le "code d'éthique" établi par la société McDonald's France et les adaptations substantielles apportées par cette société, durant l'instruction du dossier, au dispositif initialement envisagé (suppression des projets de ligne téléphonique et d'adresse électronique dédiées au dispositif d'intégrité professionnelle) caractérisent la responsabilité de cette société sur le traitement de données personnelles envisagé au regard de l'article 3 de la loi précitée.
L'existence d'un contrat de flux transfrontières de données personnelles (de responsable de traitement à responsable de traitement) avec la société McDonald's Corporation constitue un élément supplémentaire en ce sens.
La Commission constate en conséquence que la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés est applicable au dispositif d'intégrité professionnelle présenté et qu'elle est donc compétente pour se prononcer sur la conformité du projet à cette loi.
Sur la procédure déclarative applicable
La Commission relève que le dispositif envisagé peut dans certains cas conduire le groupe McDonald's France à décider, au titre des "mesures correctives" qu'il doit prendre à la suite d'une alerte, à exclure des employés considérés fautifs du bénéfice de leur contrat de travail en l'absence de toute disposition législative ou réglementaire encadrant ce type de traitement.
Dès lors, la procédure d'autorisation prévue à l'article 25-I, 4° de la loi du 6 janvier 1978 modifiée doit être appliquée au traitement de données personnelles présenté.
Sur la conformité du dispositif présenté à la loi du 6 janvier 1978
La Commission considère que la mise en oeuvre par un employeur d'un dispositif destiné à organiser auprès de ses employés le recueil, quelle qu'en soit la forme, de données personnelles concernant des faits contraires aux règles de l'entreprise ou à la loi imputables à leurs collègues de travail, en ce qu'il pourrait conduire à un système organisé de délation professionnelle, ne peut qu'appeler de sa part une réserve de principe au regard de la loi du 6 janvier 1978 modifiée, et en particulier de son article 1er.
En ce sens, la Commission observe que la possibilité de réaliser une "alerte éthique" de façon anonyme ne pourrait que renforcer le risque de dénonciation calomnieuse.
Au surplus, la Commission estime que le dispositif présenté est disproportionné au regard des objectifs poursuivis et des risques de dénonciations calomnieuses et de stigmatisation des employés objets d'une "alerte éthique". Elle relève à cet égard que d'autres moyens prévus par la loi existent d'ores et déjà afin de garantir le respect des dispositions légales et des règles fixées par l'entreprise (actions de sensibilisation par l'information et la formation des personnels, rôle d'audit et d'alerte des commissaires aux comptes en matière financière et comptable, saisine de l'inspection du travail ou des juridictions compétentes).
La Commission relève enfin que les employés objets d'un signalement ne seraient, par définition, pas informés dès l'enregistrement de données mettant en cause leur intégrité professionnelle ou de citoyen, et n'auraient donc pas les moyens de s'opposer à ce traitement de données les concernant. Les modalités de collecte et de traitement de ces données, dont certaines pourraient concerner des faits susceptibles d'être constitutifs d'infractions pénales, ne peuvent dès lors être considérées comme loyales au sens de l'article 6 de la loi du 6 janvier 1978 modifiée.
Compte tenu de ces observations, la Commission n'autorise pas la mise en oeuvre du dispositif d'intégrité professionnelle présenté par la société McDonald's France.
Le président, Alex TURK.