Dispositifs d’alertes professionnelles : publication du référentiel pour les traitements de données personnelles (10 décembre 2019).

La CNIL a publié un référentiel relatif aux dispositifs d'alertes professionnelles (DAP), adopté à la suite d'une consultation publique.

Ce référentiel actualise et consolide la doctrine de la CNIL sur les alertes professionnelles, en intégrant les évolutions liées à l’entrée en application du RGPD et à la modification de la loi « Informatique et Libertés ».

Il anticipe par ailleurs certaines évolutions introduites par la directive européenne relative à la protection des lanceurs d’alerte dont le texte a été adopté début octobre par le Conseil de l’Union européenne, pour une application effective prévue à partir de 2021. 

Parmi les évolutions notables du référentiel figurent :

• l’encadrement des dispositifs résultant à la fois d'une obligation légale (loi dite « devoir de vigilance », loi « Sapin II », etc.), et ceux mis en place à la seule initiative du responsable de traitement (notamment les alertes dites « éthiques ») ;
• l’instauration d’un cadre unique pour l'ensemble des dispositifs d’alerte, qui améliore leur lisibilité pour les personnes concernées ;
• l’ajout de précisions sur les durées de conservation des données.

La CNIL rappelle également que la mise en place d'un tel dispositif vient en complément des autres possibilités de remontées d’alertes (comme la voie hiérarchique) et ne doit avoir ni pour objet ni pour effet d'exonérer l'employeur de ses obligations (telle que celle de prévenir les risques psychosociaux), et du respect de la règlementation qui lui est applicable (droits et libertés fondamentales, Code du travail, etc…).

Références :

Référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d'un dispositif d'alertes professionnelles

 Le référentiel relatif au dispositif d’alertes professionnelles en questions

 L'analyse d'impact relative à la protection des données

AL Avocats / ASSOUS-LEGRAND