La Cnil doit-elle autoriser tout dispositif d’alerte professionnelle ?

Une société a diffusé dans son entreprise un « Code of business conduct » prévoyant notamment un dispositif d’alerte professionnelle. Saisi par un syndicat, le TGI de Nanterre a censuré ce système et ordonné la destruction de toutes les données ainsi recueillies.
Il a considéré que la société aurait dû solliciter une autorisation expresse de la Cnil et non se contenter d’une déclaration de conformité à la décision d’autorisation unique du 8 décembre 2005. En effet, ce régime simplifié dispense d’autorisation tout système d’alerte qui répond à une obligation législative ou réglementaire visant à l’établissement de procédures de contrôle interne dans les domaines financier, comptable, bancaire et de lutte contre la corruption. Mais si le dispositif d’alerte sort du cadre ainsi prédéfini, il doit faire l’objet d’une autorisation normale de la Cnil, ce qui était le cas, selon le TGI, dans cette affaire.
En effet, le dispositif d’alerte s’appliquait non seulement à tout manquement sérieux en matière comptable, financière ou de lutte contre la corruption, mais également en cas de « manquements graves aux principes décrits par ledit Code lorsqu’il met en jeu l’intérêt vital du groupe ou l’intégrité physique ou morale d’une personne (notamment en cas d’atteinte aux droits de propriété intellectuelle, de divulgation d’informations strictement confidentielles, de conflits d’intérêt, de délits d’initié, de discrimination, de harcèlement moral ou sexuel) ».

La cour d’appel de Versailles n’est pas de cet avis. Elle indique que la délibération de la Cnil du 8 décembre 2005 définissant un régime simplifié de déclaration précise, en son article 3, que des faits qui ne se rapportent pas aux domaines financier, comptable, etc. « peuvent toutefois être communiqués aux personnes compétentes de l’organisme concerné lorsque l’intérêt vital de cet organisme ou l’intégrité physique ou morale de ses employés est en jeu ».
Elle en déduit que la société n’était pas tenue de solliciter l’autorisation de la Cnil selon le régime de droit commun. Elle constate également que la déclaration du dispositif d’alerte effectuée par la société auprès de la Cnil est conforme aux exigences de cette dernière. La société n’était donc pas tenue de rappeler dans son « Code of business conduct » les dix articles de la délibération du 8 décembre 2005 portant autorisation unique. Le fait de préciser les points principaux de cette délibération était amplement suffisant. À noter que cet arrêt a fait l’objet d’un pourvoi en cassation.

CA Versailles, 1re ch., 17 avr. 2008, n° 07/08624