CNIL - Dispostif d'alerte professionnelle: l'essentiel

Un dispositif d'alerte professionnelle est un système mis en place par un organisme privé ou public pour inciter ses employés à signaler des problèmes pouvant sérieusement affecter son activité ou engager gravement sa responsabilité. Il ne se substitue pas aux autres canaux d'alerte existants (auprès de la hiérarchie, des représentants du personnel, du commissaire aux comptes...) ; il en est complémentaire. Le dispositif d'alerte professionnelle peut, par exemple, prendre la forme d'un numéro de téléphone («ligne éthique») ou d'une adresse électronique particulière qui oriente les alertes vers des personnes spécialement formées. Il organise ensuite, dans un cadre confidentiel, la vérification des faits recueillis et permet à l'employeur de décider, en connaissance de cause, des mesures à prendre pour remédier au dysfonctionnement constaté. L'utilisation par les personnels du dispositif d'alerte ne peut pas être rendue obligatoire. La CNIL a défini, dans une autorisation unique du 8 décembre 2005, des « lignes directrices » pour que ces dispositifs soient pleinement compatibles avec la loi informatique et libertés. Les catégories de personnes susceptibles d'utiliser le dispositif peuvent être définies par l'employeur. L'autorisation unique couvre les alertes émises par toutes les personnes employées par l'entreprise, quel que soit leur statut d'emploi (salarié, prestataire de service, stagiaire...). Les dispositifs d'alerte professionnelle doivent être autorisés par la CNIL avant leur mise en œuvre. - Depuis l'adoption de la décision d'autorisation unique du 8 décembre 2005, l'organisme qui veut mettre en place un dispositif d'alerte doit simplement adresser à la CNIL un engagement de conformité à cette décision. - Si le dispositif envisagé n'est pas conforme à la décision du 8 décembre 2005, l'organisme doit déposer auprès de la CNIL un dossier complet de demande d'autorisation. Cette formalité s'effectue en remplissant le formulaire de « déclaration normale ». Le dossier de demande d'autorisation sera examiné en séance plénière de la Commission dans les deux mois suivant son dépôt, à condition de ne pas nécessiter un complément d'information. L'employeur doit apporter aux utilisateurs potentiels du dispositif d'alerte professionnelle une information conforme à l'article 32 de la loi « informatique et libertés » (identité du responsable, finalités, destinataires des données, droits des personnes). Il doit préciser les risques encourus en cas d'utilisation abusive du dispositif et, à l'inverse, l'absence de risque disciplinaire pour l'utilisateur de bonne foi de ce dispositif (article 8 de l'autorisation unique). Il indique également que l'identité du donneur d'alerte sera traitée de manière confidentielle et ne sera pas communiquée à la personne mise en cause. L'employeur doit enfin expliciter quel est le champ du dispositif d'alerte qu'il a défini dans le respect de l'article 1er de l'autorisation unique. Pour plus d'informations, me contacter.