Conformité RGPD - Référentiel CNIL Alertes Professionnelles

Conformité RGPD - Référentiel CNIL Alertes Professionnelles

Référence : Référentiel CNIL du 6 juillet 2023 relatif aux traitements de données à caractère personnel destinés à la mise en oeuvre d'un dispositif d'alerte

1. Champ d'application du référentiel

1.1 Organismes concernés

Le référentiel s'adresse à :

• Organismes privés ou publics tenus ou décidant de mettre en oeuvre un DAP (Dispositif d'Alerte Professionnelle), quelle que soit leur taille
• Entités tierces proposant des services liés à la réception, au traitement et à la conservation des alertes

1.2 Traitements couverts

Le référentiel s'applique aux traitements automatisés permettant de :

• Recevoir, traiter et conserver tout signalement effectué de bonne foi
• Révélant ou signalant une violation de règles juridiques (françaises, européennes, internationales, étrangères) ou éthiques

Types de dispositifs couverts :

• DAP art. 17.II.2° loi Sapin 2 (code de conduite / anticorruption)
• DAP art. 6 et suivants loi Sapin 2 modifiée (alertes de droit commun)
• DAP devoir de vigilance (art. L. 225-102-4 C. com.)
• DAP mis en place volontairement (codes éthiques)
• DAP uniques couvrant plusieurs finalités

IMPORTANT : Ce référentiel n'a pas de valeur contraignante. Les organismes peuvent s'en écarter mais doivent justifier et documenter les mesures alternatives garantissant la conformité RGPD.

2. Finalités autorisées (Section 3 du référentiel)

2.1 Objectifs du traitement

Le traitement de données d'alertes internes peut être mis en oeuvre pour :

2.2 Règles d'utilisation des données

INTERDICTIONS :
[ ] Réutilisation pour un objectif INCOMPATIBLE avec les finalités ci-dessus
[ ] Mises en relation autres que celles nécessaires aux finalités énoncées

UTILISATION COMPATIBLE (exemple) :
[ ] Défense des droits de l'organisme dans un procès lié à l'alerte

3. Bases légales du traitement (Section 4 du référentiel)

3.1 Deux bases légales possibles

3.2 DAP à finalités multiples

Lorsqu'un DAP répond à plusieurs finalités (obligation légale + engagement volontaire), le responsable de traitement doit :

• Distinguer les finalités elles-mêmes
• Distinguer les bases légales fondant chacune des finalités

4. Données personnelles concernées (Section 5 du référentiel)

4.1 Principes de minimisation par phase

Phase 1 : Recueil de l'alerte

Période couvrant la réception de l'alerte et l'envoi du récépissé

EXIGENCES AU STADE DU RECUEIL :
[ ] Seules les données NÉCESSAIRES aux finalités sont collectées
[ ] Rappeler aux auteurs que les informations doivent :
    - Rester factuelles
    - Présenter un lien direct avec l'objet de l'alerte
    - Ne pas relever des secrets protégés (défense nationale, médical,
      délibérations judiciaires, enquête/instruction, avocat)

Phase 2 : Instruction de l'alerte

Période de la réception de l'alerte à la décision sur les suites et information de l'auteur

Catégories de données généralement pertinentes :

Obligation supplémentaire : Assurer la qualité des données (exactes et mises à jour) tout au long du traitement.

Phase 3 : Après la décision sur les suites

Seules les données nécessaires aux finalités suivantes peuvent être conservées :

FINALITÉS DE CONSERVATION POST-DÉCISION :
[ ] Protection des parties prenantes contre les représailles
    (auteurs, facilitateurs, personnes visées)
[ ] Constater, exercer et défendre des droits en justice
[ ] Réaliser des audits internes ou externes des processus de conformité

4.2 Traitement des données sensibles (Art. 9 RGPD)

Données à vigilance renforcée :

• Origine ethnique ou prétendument raciale
• Opinions politiques
• Convictions religieuses ou philosophiques
• Appartenance syndicale
• Données génétiques
• Données biométriques
• Données de santé
• Vie sexuelle ou orientation sexuelle

Bases légales spécifiques pour le traitement :

• Art. 9.2.g) RGPD : Intérêt public important
• Art. 9.2.f) RGPD : Constatation, exercice ou défense d'un droit en justice

4.3 Traitement des données d'infraction (Art. 10 RGPD / Art. 46 LIL)

Les données relatives aux infractions, condamnations et mesures de sûreté peuvent être collectées :

• Par des dispositions spécifiques du droit national (art. 8, 17 Sapin 2, L. 225-102-4 C. com.)
• Pour permettre au RT de « préparer et, le cas échéant, d'exercer et de suivre une action en justice » (Art. 46-3° LIL)

4.4 Traitement de l'identité de l'auteur

4.4.1 Signalements anonymes

Définition : Signalement dont l'auteur a choisi de ne pas révéler son identité (nom, prénom, fonction, identifiants, adresse de courriel nominative, etc.), peu important qu'il puisse être possible de l'identifier ultérieurement.

EXIGENCES POUR LES SIGNALEMENTS ANONYMES :
[ ] Le DAP DEVRAIT permettre aux auteurs d'émettre des signalements anonymes
[ ] Permettre la poursuite des échanges tout en conservant l'anonymat
    (ex: adresse e-mail non identifiante, boîte postale)
[ ] S'abstenir de TOUTE tentative de réidentification
    (sauf obligation légale contraire ou consentement)
[ ] Ne PAS utiliser de procédés techniques de réidentification :
    - Cookies et pisteurs
    - Collecte d'adresses IP
    - Paramètres de configuration du terminal
    - Recoupement d'informations
[ ] Préciser dans la procédure « les suites données aux signalements anonymes »
    (obligatoire pour les alertes art. 6+ loi Sapin 2)

4.4.2 Signalements identifiés

Si l'émetteur choisit de s'identifier, son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes.

5. Accédants et destinataires (Section 6 du référentiel)

5.1 Principe général

• Les données doivent être uniquement accessibles aux personnes habilitées au regard de leurs attributions
• Les habilitations d'accès doivent être documentées
• Les accès doivent faire l'objet de mesures de traçabilité

5.2 Externalisation du traitement des alertes

Qualifications possibles des entités

Exigence : Un contrat définissant les caractéristiques du traitement et les obligations des parties doit être établi (cf. chapitre IV du RGPD).

Règles d'externalisation pour les DAP art. 6+ loi Sapin 2

Exception : Les communes et établissements publics peuvent confier recueil ET traitement à un centre de gestion de la fonction publique territoriale, quel que soit le nombre d'agents (Art. 8.I.B.4° loi Sapin 2).

5.3 Personnes accédant aux données

PERSONNES HABILITÉES (exemples) :
[ ] Personnes spécialement chargées de la gestion des alertes
[ ] Référent ou prestataire désigné (avec engagements contractuels)
[ ] Avocat/conseil assistant l'organisme
[ ] Autre entité du même groupe (conditions strictes)

ENGAGEMENTS DU RÉFÉRENT/PRESTATAIRE :
[ ] Ne pas utiliser les données à des fins autres que la gestion des alertes
[ ] Assurer la confidentialité
[ ] Respecter la durée de conservation limitée
[ ] Procéder à la destruction/restitution des supports en fin de prestation

5.4 Règles de communication des données

RÈGLES STRICTES DE DIVULGATION :

IDENTITÉ DU LANCEUR D'ALERTE :
[ ] Ne peut être divulguée qu'avec son CONSENTEMENT
[ ] Exception unique : communication à l'autorité judiciaire si obligation
    de dénonciation (Art. 9.I al. 2 loi Sapin 2)

IDENTITÉ DE LA PERSONNE MISE EN CAUSE :
[ ] Ne peut être divulguée qu'une fois le caractère FONDÉ de l'alerte établi
[ ] Exception : communication à l'autorité judiciaire

TRANSFERT D'ALERTE AU SEIN D'UN GROUPE :
[ ] L'organisme NE PEUT PAS transférer l'alerte
[ ] Il peut uniquement PROPOSER à l'auteur de le faire directement

5.5 Transferts hors Union européenne

Toute transmission hors UE doit être encadrée par (Art. 44+ RGPD) :

• Décision d'adéquation, OU
• BCR (règles internes d'entreprise), OU
• Clauses types de protection des données, OU
• Code de conduite / mécanisme de certification approuvé CNIL, OU
• Clauses contractuelles ad hoc autorisées CNIL, OU
• Dérogations art. 49 RGPD

6. Durées de conservation (Section 7 du référentiel)

6.1 Principes généraux

Les données ne doivent être conservées sous forme identifiante que le temps strictement nécessaire aux finalités (Art. 5-1-e RGPD).

Les informations sur les durées de conservation doivent être communiquées aux personnes concernées.

6.2 Durées par phase

6.3 Conservation de données anonymisées

RÈGLES D'ANONYMISATION :

[ ] Les données anonymisées ne sont plus soumises au RGPD
    (Avis n° 05/2014 G29 relatif aux techniques d'anonymisation)

[ ] Art. 9.III loi Sapin 2 : « les données relatives aux signalements peuvent
    être conservées au-delà [...] à la condition que les personnes physiques
    concernées n'y soient ni identifiées ni identifiables »

[ ] Conservation SANS LIMITATION de durée si données dûment anonymisées
[ ] L'organisme doit GARANTIR le caractère anonymisé de façon PÉRENNE

ATTENTION : « signalement anonyme » (loi Sapin 2) ≠ « données anonymisées » (RGPD)
Un signalement anonyme au sens de la loi Sapin 2 peut contenir des données
à caractère personnel au sens du RGPD

7. Information des personnes (Section 8 du référentiel)

7.1 Identification des personnes concernées

Personnes « potentiellement concernées »

Toutes les personnes susceptibles d'émettre un signalement ou d'être visées par une alerte :

• Effectifs propres (salariés, agents, intérimaires, stagiaires, détachés, bénévoles...)
• Collaborateurs, clients, fournisseurs extérieurs personnes physiques
• Effectifs des personnes morales en lien contractuel

Personnes « concernées »

Toutes les personnes physiques dont les données sont effectivement traitées :

• Auteurs des alertes
• Personnes visées
• Facilitateurs personnes physiques
• Personnes susceptibles de fournir des informations
• Personnes protégées par ricochet (Art. 6-1, 2° et 3° loi Sapin 2)

7.2 Contenu de l'information (Art. 12, 13, 14 RGPD)

MENTIONS OBLIGATOIRES :
[ ] Existence du traitement
[ ] Caractéristiques :
    - Finalités poursuivies
    - Types de données susceptibles d'y figurer
    - Types de personnes susceptibles d'émettre l'alerte ou d'en faire l'objet
    - Principales étapes de la procédure
    - Durées de conservation
[ ] Droits d'accès, de rectification et d'effacement
[ ] Règles applicables en cas de transfert hors UE
[ ] Droit d'introduire une plainte auprès de la CNIL

MENTIONS RECOMMANDÉES :
[ ] Utilisation abusive du DAP expose à sanctions/poursuites
[ ] Utilisation de bonne foi n'exposera à aucune sanction disciplinaire
[ ] Le DAP n'est qu'un moyen de signalement parmi d'autres
[ ] Le non-recours au DAP ne peut entraîner aucune sanction

7.3 Modalités de l'information

7.3.1 Consultations préalables à la mise en place

• Informer et/ou consulter les instances compétentes
• Recommandé : rendre compte régulièrement de l'utilisation du DAP aux IRP

7.3.2 Information générale lors du déploiement

• Informer l'ensemble des personnes potentiellement concernées préalablement à l'introduction du DAP
• Si difficultés pratiques : rendre l'information facilement accessible (site web)
• Privilégier l'information individuelle (courrier électronique, document papier)

7.3.3 Information spécifique du lanceur d'alerte

Accusé de réception :

• Obligatoire quel que soit le régime applicable
• Doit être horodaté
• Récapitule informations et pièces jointes
• Ne doit PAS être subordonné à la production d'informations identifiantes si anonymat souhaité

Retour d'information (Art. 4.III décret 2022-1284) :

• Information écrite sur les mesures envisagées/prises
• Motifs de ces mesures
• Ne peut pas être subordonnée à l'identification de l'auteur

7.3.4 Information spécifique de la personne visée

DÉLAI D'INFORMATION :
[ ] Délai raisonnable, ne pouvant dépasser UN MOIS après l'émission de l'alerte
    (sauf exception dûment justifiée)

POSSIBILITÉ DE DIFFÉRER (Art. 14-5-b RGPD) :
[ ] Si l'information est susceptible de « compromettre gravement la réalisation
    des objectifs du traitement »
[ ] Exemple : risque de destruction de preuves
[ ] L'information doit être délivrée AUSSITÔT le risque écarté

CONTENU DE L'INFORMATION :
[ ] Modalités permettant de s'assurer de la bonne délivrance
[ ] NE CONTIENT PAS d'informations sur l'identité de l'émetteur
[ ] NE CONTIENT PAS d'informations sur l'identité des tiers

8. Droits des personnes (Section 9 du référentiel)

8.1 Vue d'ensemble des droits

8.2 Droit d'accès (Art. 15 RGPD)

Bénéficiaires : Toute personne dont les données font ou ont fait l'objet d'un traitement (lanceur, victimes présumées, personnes visées, témoins, personnes entendues, facilitateurs, personnes protégées par ricochet).

Limitations :

• Ne doit pas porter atteinte aux droits et libertés d'autrui
• Y compris secret des affaires, propriété intellectuelle
• Mais ne peut pas priver d'accès à la totalité des informations Art. 15.1 (Lignes directrices CEPD n° 01/2022)

8.3 Droit d'opposition (Art. 21 RGPD)

DROIT D'OPPOSITION NON APPLICABLE :
[ ] Traitements fondés sur l'obligation légale
    → DAP art. 8.B et/ou 17 loi Sapin 2
    → DAP devoir de vigilance (L. 225-102-4 C. com.)

DROIT D'OPPOSITION APPLICABLE MAIS POUVANT ÊTRE REFUSÉ :
[ ] DAP mis en place sur base volontaire
[ ] Personnes mentionnées dans l'alerte ou apparaissant durant l'instruction

MOTIFS DE REFUS :
[ ] Motifs légitimes et impérieux prévalant sur les intérêts de la personne
[ ] Traitement nécessaire pour la constatation, l'exercice ou la défense
    de droits en justice

8.4 Droits de rectification et d'effacement

Rectification (Art. 16 RGPD) :

• Uniquement pour rectifier des données factuelles
• L'exactitude matérielle doit pouvoir être vérifiée par le RT
• Sans effacer ni remplacer les données collectées initialement
• Ne doit pas empêcher la reconstitution de la chronologie des modifications

Effacement (Art. 17 RGPD) :

• Exercé dans les conditions prévues par le RGPD
• À apprécier au regard des besoins probatoires et de protection

9. Sécurité (Section 10 du référentiel)

9.1 Principe général

L'organisme doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour :

• Préserver la sécurité des données
• Empêcher qu'elles soient déformées, endommagées
• Empêcher l'accès par des tiers non autorisés

9.2 Mesures de sécurité détaillées (17 catégories)

10. AIPD - Analyse d'Impact relative à la Protection des Données

10.1 Caractère recommandé

Le référentiel CNIL constitue une aide à la réalisation d'une AIPD.

Les traitements de signalement d'alertes professionnelles sont susceptibles d'engendrer des risques élevés pour les droits et libertés des personnes concernées, notamment en raison :

• De la nature des données traitées (potentiellement sensibles ou relatives à des infractions)
• Des conséquences potentielles pour les personnes visées
• Du contexte particulier de surveillance et d'enquête

10.2 Méthodologie

ÉTAPES RECOMMANDÉES :
[ ] Utiliser les outils méthodologiques de la CNIL (site web)
[ ] Définir les mesures assurant nécessité et proportionnalité
[ ] Garantir les droits des personnes
[ ] Maîtriser les risques
[ ] Consulter le DPO si désigné
[ ] S'appuyer sur les lignes directrices CNIL sur les AIPD

11. Checklist de conformité RGPD exhaustive

11.1 Points de contrôle essentiels

BASE LÉGALE ET FINALITÉS :
[ ] Base légale identifiée (obligation légale OU intérêt légitime)
[ ] Si finalités multiples : distinction des bases légales pour chaque finalité
[ ] Finalités définies, explicites et légitimes
[ ] Pas de réutilisation incompatible des données

MINIMISATION DES DONNÉES :
[ ] Données collectées strictement nécessaires (recueil)
[ ] Données conservées strictement nécessaires (instruction)
[ ] Données post-décision limitées aux finalités de protection/justice/audit
[ ] Rappel aux auteurs sur le caractère factuel et pertinent des informations

DONNÉES SENSIBLES ET D'INFRACTION :
[ ] Base légale spécifique identifiée (art. 9.2.g ou 9.2.f RGPD)
[ ] Conditions art. 10 RGPD / art. 46 LIL respectées pour données d'infraction

SIGNALEMENTS ANONYMES :
[ ] Possibilité de signalement anonyme offerte
[ ] Échanges possibles en conservant l'anonymat
[ ] Pas de tentative de réidentification
[ ] Pas de procédés techniques de traçage (cookies, IP, etc.)

ACCÉDANTS ET DESTINATAIRES :
[ ] Personnes habilitées documentées
[ ] Habilitations limitées aux attributions
[ ] Traçabilité des accès
[ ] Si externalisation : contrat conforme RGPD
[ ] Si sous-traitant : garanties suffisantes vérifiées
[ ] Règles de divulgation de l'identité du lanceur respectées
[ ] Règles de divulgation de l'identité de la personne visée respectées
[ ] Si transfert hors UE : encadrement conforme art. 44+ RGPD

DURÉES DE CONSERVATION :
[ ] Durées définies par phase (active, archives, contentieux)
[ ] Durées communiquées aux personnes concernées
[ ] Procédure d'anonymisation si conservation prolongée
[ ] Garantie du caractère anonymisé de façon pérenne

INFORMATION DES PERSONNES :
[ ] Information générale préalable au déploiement
[ ] Information accessible en permanence
[ ] Information spécifique du lanceur (au plus tard à l'AR)
[ ] Accusé de réception horodaté et complet
[ ] Information de la personne visée sous 1 mois (sauf exception justifiée)
[ ] Contenu conforme art. 13/14 RGPD

DROITS DES PERSONNES :
[ ] Droit d'accès garanti (avec limitations légitimes)
[ ] Droit d'opposition traité selon base légale
[ ] Droit de rectification limité aux données factuelles sans effacement historique
[ ] Droit à la limitation applicable
[ ] Procédure de traitement des demandes définie

SÉCURITÉ :
[ ] Mesures techniques et organisationnelles documentées
[ ] Chiffrement des données au repos et en transit
[ ] Authentification forte
[ ] Journalisation des accès
[ ] Cloisonnement des données d'identification
[ ] Sauvegardes sécurisées
[ ] Procédure de gestion des incidents
[ ] Procédure de notification des violations

DOCUMENTATION :
[ ] Inscription au registre des traitements (art. 30 RGPD)
[ ] AIPD réalisée (recommandé)
[ ] Consultation du DPO si désigné
[ ] Documentation des écarts éventuels au référentiel

12. Ressources CNIL