(Demande d’autorisation n° 1665054)
La Commission nationale de l'informatique et des libertés,
Saisie par la société SAUR d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié au traitement des cas de discrimination ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée;
Vu le dossier et ses compléments ;
Sur la proposition de Madame Marie-France MAZARS, commissaire, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°4).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du fondement juridique et du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur le responsable du traitement
La société par actions simplifiée SAUR, spécialisée dans la gestion déléguée de services pour les collectivités locales dans les domaines de l’eau, de l’assainissement et du traitement des déchets, a saisi la Commission en qualité de responsable de traitement pour l’ensemble des sociétés du groupe SAUR quant au dispositif d’alerte professionnelle en cause, qui concerne uniquement le périmètre de son unité économique et sociale (UES) « eau ».
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle dédié à traiter les cas de discrimination ressentis par les collaborateurs du groupe SAUR et les candidats à un emploi.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Elle rappelle que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
En l’espèce, le dispositif a vocation à concourir au traitement des situations individuelles liées à des faits de discrimination sans se substituer aux dispositions légales existantes.
La Commission relève que les réclamations pouvant être émises par l’intermédiaire de ce dispositif ne peuvent concerner que des faits présumés de discrimination.
Elle estime, dès lors, que le dispositif est limité dans son champ et qu’il répond à l’intérêt légitime du responsable de traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
S’agissant des modalités de signalement, la Commission prend acte que les employés et candidats à un emploi peuvent déclencher la procédure en adressant un courrier électronique à une adresse générique dédiée.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés, notamment le motif supposé et les circonstances d’une discrimination ou d’un harcèlement ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif examiné impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
La Commission relève, par ailleurs, qu’une utilisation abusive du dispositif peut exposer son auteur à des sanctions disciplinaires.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives, les membres du comité de traitement des alertes, composé :
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
d’un membre de la direction ;
du responsable des ressources humaines de la région géographique concernée ;
du responsable juridique et social.
Elle relève, à ce titre, que ces personnes sont toutes astreintes à une obligation de confidentialité
Sur l’information et le droit d’accès
Les personnes concernées par le présent traitement sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par un affichage sur site ainsi qu’une mention sur le site internet et l’intranet du groupe SAUR.
Les personnes mises en cause sont informées, quant à elles, de l’existence d’une alerte à leur encontre et de l’enregistrement de données les concernant. Cette information peut éventuellement être retardée le temps strictement à l’adoption de mesures conservatoires permettant de prévenir la destruction des preuves.
La Commission relève que si l’émetteur d’une alerte souhaite utiliser le dispositif en qualité de témoin, il devra en informer préalablement la victime supposée afin de s’assurer que cette dernière n’est pas opposée à cette démarche.
Les droits d’accès et de rectification s’exercent directement auprès de la direction des ressources humaines de la société SAUR.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
L’authentification des utilisateurs du présent traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés. A ce titre, la Commission rappelle que des mots de passe doivent comporter au moins huit caractères et contenir des lettres minuscules et majuscules, ainsi que des chiffres ou des caractères spéciaux.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs.
Les échanges de données sont sécurisés, notamment par l’utilisation d’une liaison dite « VPN ».
Une journalisation des opérations de consultation, de création, de mise à jour et de suppression est réalisée.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
Autorise, conformément à la présente délibération, la société SAUR à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN
