La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu la demande d'autorisation, présentée par la société Kimberly-Clark SNC d'un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle ;
Après avoir entendu M. Hubert BOUCHET, commissaire, en son rapport, et Mme Pascale COMPAGNIE, commissaire du Gouvernement en ses observations ;
Formule les observations suivantes :
Le 7 avril 2006, la société Kimberly-Clark SNC a adressé à la Commission nationale de l'informatique et des libertés une déclaration relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en place d'une ligne d'alerte professionnelle permettant aux salariés de "signaler à leur employeur des comportements qu'ils estiment contraires à l'éthique ou qui ne respectent pas la législation".
La Commission considère qu'il y a lieu de faire application des dispositions de l'article 25-14° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou réglementaire.
Il convient d'examiner ledit traitement au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission considère que les dispositifs d'alerte professionnelle doivent être limités à un champ restreint aux domaines comptable, bancaire, financier et du contrôle des comptes.
La Commission estime en conséquence que les dispositifs d'alerte professionnelle doivent être conçus comme uniquement complémentaires par rapport aux autres modes d'alerte dans l'entreprise.  Elle estime ainsi qu'afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d'alerte doit être limité dans son champ.
Or, en l'espèce, le dossier soumis à la CNIL par la société Kimberly-Clark SNC au soutien de sa demande d'autorisation indique clairement notamment d'une part que "le dispositif d'alerte n'a pas de champ d'application prédéterminé.  Il peut concerner des sujets relatifs à la finance, la comptabilité, l'éthique".  et fournit d'autre part une liste d'exemples de comportements pouvant être évoqués et traités par la ligne éthique tels que notamment : "(...) vol, usage ou vente de drogues illicites".
La Commission estime que l'absence de définition précise du champ du dispositif d'alerte soulève ainsi une difficulté de principe au regard de la loi, eu égard aux risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle voire personnelle des employés concernés.
Par ailleurs, la Commission considère que l'émetteur de l'alerte professionnelle doit s'identifier, son identité étant traitée de façon confidentielle par l'organisation chargée de la gestion des alertes.  Elle estime encore que l'alerte d'une personne qui souhaite rester anonyme ne peut être recueillie que par exception et qu'à condition que le traitement des alertes anonymes soit entouré de précautions particulières, telles qu'un examen préalable, par son premier destinataire, de l'opportunité de sa diffusion dans le cadre du dispositif.
La Commission estime en outre que l'organisme mettant en place un dispositif d'alerte professionnelle n'incite pas les personnes ayant vocation à utiliser le dispositif à le faire de manière anonyme et que la publicité faite sur l'existence du dispositif en tienne compte, la procédure devant au contraire être conçue de façon à ce que les employés s'identifient auprès de l'organisation chargée de la gestion des alertes.
Or en l'espèce, l'utilisation anonyme du dispositif d'alerte présenté par la société KimberlyClark SNC apparaît clairement sinon comme la modalité privilégiée de signalement, au mieux comme une modalité pouvant être utilisée indifféremment à celle où l'émetteur de l'alerte est identifié.
En outre, le dossier demeure incomplet sur de nombreux points tels que, notamment:  les modalités d'information des personnes concernées, la durée de conservation de données enregistrées, les mesures de sécurité, ainsi que les modalités d'exercice des droits d'accès et de rectification.
Au vu de l'ensemble de ces éléments, le traitement pris dans son ensemble n'apparaît, en l'état, ni adapté ni proportionné à l'objectif poursuivi.  En outre, le caractère adéquat, pertinent et non excessif des données collectées au regard des finalités ne peut être démontré à la Commission.
Dès lors, la Commission n'autorise pas, en l'état, la société Kimberly-Clark SNC, sise 26 rue Armengaud - 92210 Saint-Cloud, à mettre en ceuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d'un dispositif d'alerte professionnelle.
Le président, Alex TURK.
