Référentiel CNIL et les alertes professionnelles 2023

Comparatif des Versions du “Référentiel CNIL Alertes Professionnelles” : Focus sur les accédants et destinataires des informations

Structuration : La version 2023 introduit une structuration numérique, qui aide à une meilleure organisation du contenu et facilite la référence à des points spécifiques.

Accessibilité des Données : Il est rappelé que les données personnelles doivent rester strictement accessibles aux personnes ayant des autorisations spécifiques. Cette affirmation renforce l’importance de la confidentialité et de la sécurité des données.

Externalisation du Traitement des Alertes : 

Rappelons que l’article Art. 8.-I.C de la loi Sapin II révisée indique que « Les entités employant moins de deux cent cinquante salariés peuvent mutualiser leurs procédures de recueil et de traitement des signalements sous certaines conditions. » 

• Distinction des Rôles : Un des changements les plus significatifs est la clarification des rôles dans le processus d’externalisation. Les concepts de « responsable de traitement », « sous-traitant » et « responsable conjoint de traitement » sont introduits. Ces distinctions aident les organisations à déterminer leurs responsabilités exactes en matière de traitement des données.

• Impératifs Contractuels : L’importance de définir les relations par des contrats est mise en avant. Ces contrats doivent clairement énoncer les obligations de chaque partie, assurant ainsi une meilleure protection des données.

• Éclaircissement par des Exemples : La version 2023 offre une multitude d’exemples pour illustrer comment les règles s’appliquent dans des contextes spécifiques, notamment en ce qui concerne l’externalisation. Cela fournit une guidance pratique aux organismes.

3. Accès aux Données pour le Compte de l’Organisme :

• Principes de base étoffés : Tout en reprenant les principes énoncés dans l’ancienne version, la version 2023 les détaille davantage. La stricte limitation de l’accès aux données est réitérée, mais avec une explication plus complète des attributions et fonctions respectives.

• Introduction de nouveaux rôles : L’édition 2023 met en lumière des rôles supplémentaires qui peuvent être impliqués dans le processus d’alerte, comme l’avocat ou le conseil. Cette inclusion reconnaît une gamme plus large de parties prenantes dans le processus d’alerte.

La mutualisation ou l’externalisation des opérations liées aux signalements pourrait qualifier les entités concernées comme « responsable de traitement », « sous-traitant » ou « responsable conjoint de traitement ».

La CNIL rappelle que la transposition par la France de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des infractions au droit de l’Union a modifié les règles applicables à la possibilité, pour les organismes assujettis, de déléguer la fonction de traitement des alertes internes (article 8.I.B.4° de la loi Sapin 2 modifiée et l’article 7 de son nouveau décret d’application). 

L’externalisation des canaux de réception des signalements apparaît largement ouverte à l’ensemble des organismes concernés par l’obligation de mettre en place un DAP : ils peuvent donc déléguer cette fonction à un tiers tel qu’un cabinet d’avocat, une plateforme spécialisée, ou un fournisseur de services de messagerie électronique. 

Les fonctions déléguées peuvent couvrir la réception de l’alerte (quelle qu’en soit la forme), mais aussi l’enregistrement d’un échange téléphonique ou audiovisuel en vue de sa transcription, sa consignation dans un procès-verbal, l’analyse initiale de la recevabilité de l’alerte et, enfin, l’émission du récépissé à destination de l’auteur du signalement.

Le texte insiste sur la nécessité pour l’organisme de déterminer le statut des parties avant la mise en place du traitement et d’établir un contrat en conséquence (point 47).

La CNIL met en exergue de la possibilité pour les organismes de déléguer tout ou une partie des opérations de traitement des alertes à des entités tierces est introduite (point 49).

Des exemples spécifiques et des clarifications sont donnés pour illustrer les cas d’externalisation, notamment concernant les alertes internes de l’article 6 de la loi Sapin 2 modifiée et les alertes spécifiques (points 50 à 53).

L’externalisation des opérations associées aux signalements ainsi que la mutualisation des ressources pour évaluer la véracité des faits évoqués dans un signalement sont principalement envisageables. Cette mutualisation est toutefois réservée uniquement aux organismes employant moins de 250 personnes, qu’ils soient membres d’un groupe ou non.

Cependant, la nouvelle réglementation ne semble pas autoriser la délégation totale et directe de l’ensemble du processus de traitement des alertes à une tierce entité. Ce processus englobe la réception des alertes, leur évaluation initiale, les investigations complémentaires, l’analyse juridique et éthique des informations recueillies, la décision finale concernant le signalement, et la communication avec toutes les parties impliquées, y compris les autorités externes.

En conclusion, la CNIL souligne avec force l’importance de la confidentialité. La dernière version accentue le rôle crucial de la confidentialité, surtout pour ceux en charge de la gestion des alertes. Elle met en lumière la nécessité d’engagements contractuels solides pour assurer cette protection.

Zoom sur les DAP spécifiques : Si l’on regarde les contraintes liées à l’externalisation du traitement des alertes établies par les articles 6 et suivants de la loi Sapin 2 modifiée, elles touchent essentiellement la gestion des “alertes internes”. Cependant, d’autres types de DAP, comme les alertes anti-corruption évoquées à l’article 17 de la loi Sapin 2, ne sont pas assujetties à ces mêmes règles. Qu’ils soient du secteur public ou privé, les organismes peuvent donc utiliser ces DAP sans restrictions particulières liées à la taille de leur personnel ou à la nature des fonctions externalisées.

Un œil sur les DAP uniques : Pour les entités envisageant d’instaurer un DAP universel, capable d’accueillir et de traiter des alertes de diverses natures, il est impératif qu’elles se conforment aux exigences d’externalisation et/ou de mutualisation des ressources pertinentes pour les alertes internes standards.

Accès et Destinataires des Données dans le Nouveau Référentiel CNIL 2023

L’évolution continue des normes en matière de protection des données est manifeste dans la mise à jour 2023 du référentiel de la CNIL. L’accent est mis sur la manière dont les données sont gérées et par qui elles peuvent être consultées.

Qui peut accéder aux données ?
La CNIL stipule que seules les personnes dûment habilitées, en fonction de leurs rôles spécifiques, peuvent avoir accès aux données personnelles. Ces personnes peuvent être :

• Les individus spécialement désignés pour gérer les alertes.
• Les référents ou prestataires de services chargés de recevoir et traiter ces alertes. Il est important de noter que ces prestataires doivent s’engager à garantir la confidentialité des données, à respecter la durée de conservation et à détruire ou restituer toutes les données à la fin de leur mission.
• Les avocats ou conseils qui assistent l’organisme récepteur de l’alerte.
• Et enfin, une autre entité du même groupe, à certaines conditions.

Qui sont les destinataires des données ?
Le RGPD définit les destinataires comme toute entité recevant les données. Lors de la transmission des données, une attention particulière doit être portée, surtout si elle se fait hors de l’entité initiale. La loi Sapin 2 renforce la confidentialité, stipulant que l’identité du lanceur d’alerte ne peut être révélée sans son consentement, sauf à l’autorité judiciaire.

Un point clé à noter est que si un signalement concerne également une autre société du même groupe, la société initiale ne peut pas simplement transférer l’alerte. Elle doit plutôt encourager la personne à l’origine de l’alerte à le faire directement.

De plus, les données peuvent être partagées au sein d’un groupe de sociétés si cela est essentiel pour vérifier ou traiter l’alerte.

Transfert des données hors de l’UE : La CNIL rappelle que le transfert de données hors de l’UE est strictement réglementé. Il doit soit reposer sur une décision d’adéquation, soit être encadré par des règles spécifiques, comme des règles d’entreprise ou des clauses contractuelles spécifiques. Pour plus de détails sur ces règles, la CNIL recommande de consulter sa rubrique sur le transfert des données hors de l’UE.

Le paysage réglementaire de la protection des données continue d’évoluer, et avec ces mises à jour, la CNIL s’efforce de garantir que les données des individus sont traitées avec le plus grand soin et respect.