Les dispositifs d’alerte professionnelle, ou “whistleblowing”, permettant aux salariés de signaler des actes ou comportements contraires aux lois ou règlements, impliquent généralement la mise en œuvre d’un traitement automatisé de données à caractère personnel et nécessitent, par conséquent, l’autorisation préalable de la Cnil.

Les délais d’obtention de cette autorisation préalable s’avérant peu compatibles avec les impératifs des entreprises, la Cnil a édicté, dès décembre 2005, une autorisation appelée “autorisation unique” ou “AU-004” en vertu de laquelle les entreprises peuvent se limiter à adresser un simple engagement de conformité, à condition toutefois que le traitement de données envisagé soit en tout point conforme à ce texte, à défaut de quoi une autorisation spécifique restera nécessaire.

Cependant, la Commission nationale de l’informatique et des libertés ayant dû traiter près d’une soixantaine de demandes d’autorisation spécifique entre 2011 et 2013, il lui est apparu nécessaire d’étendre le champ d’application de l’autorisation unique, comme elle l’avait déjà fait en 2010 en matière de pratiques anticoncurrentielles, afin de limiter le nombre de demandes d’autorisation spécifique.

La Cnil a ainsi adopté la délibération n° 2014-042 le 30 janvier 2014, qui prévoit trois modifications substantielles de l’AU-004 qui nous semblent répondre de manière pragmatique aux besoins des entreprises.

L’AU-004 est désormais applicable, outre en matière financière, comptable, bancaire, de lutte contre la corruption et de pratiques anticoncurrentielles, aux domaines suivants :

• lutte contre les discriminations et harcèlement au travail ;

• santé, hygiène et sécurité au travail ;

• protection de l’environnement.

Autre modification importante, l’autorisation unique ne vise plus uniquement les dispositifs d’alerte professionnelle mis en œuvre pour répondre à une obligation issue d’une loi ou d’un règlement français, à la loi américaine “Sarbanes-Oxley” ou à la loi japonaise “Japanese SOX”, mais également ceux déployés pour répondre à un intérêt légitime dans les domaines visés par l’autorisation unique.

Enfin, si la délibération n° 2014-042 n’a pas modifié le principe selon lequel l’émetteur de l’alerte doit s’identifier et ne pas être incité à rester anonyme, elle prévoit tout de même, par exception, que le traitement des alertes anonymes est toléré, à la condition toutefois que la gravité des faits soit établie et détaillée et que le traitement de cette alerte fasse l’objet de précautions particulières.

Il y a fort à parier que le nombre de demandes d’autorisation spécifique va drastiquement baisser. En effet, non seulement cette nouvelle délibération étend l’AU-004 aux sujets qui justifiaient le plus fréquemment les demandes d’autorisation, mais encore les nouveaux champs ouverts par cette délibération sont eux-mêmes rédigés de manière suffisamment vague pour ouvrir le champ des possibles. Notamment, le domaine de la “santé” semble pouvoir englober diverses notions.

On comprend donc que cette délibération permet aux entreprises de mieux répondre, non seulement aux exigences de leurs salariés et actionnaires qui attendent aujourd’hui de la part des entreprises une véritable responsabilité sociétale, mais en outre, de mettre en avant, au travers des procédures d’alerte, certaines valeurs qu’elles défendent. C’est d’ailleurs sur ce point qu’il était essentiel que l’autorisation unique s’applique en dehors de toute exigence légale, mais pour répondre à un intérêt légitime.

En revanche, l’élargissement à l’hygiène et à la sécurité au travail, dicté par la montée en puissance des risques psychosociaux au sein des entreprises, qui relèvent de la compétence du CHSCT, semble impliquer que la consultation du CHSCT sera désormais inévitable si l’alerte couvre ces domaines. De même, l’extension de l’AU-004 au harcèlement moral et à la lutte contre la discrimination, thèmes habituellement traités par le règlement intérieur, renforce l’idée que les règles propres à la mise en œuvre du règlement intérieur doivent être respectées lors de la mise en place des alertes professionnelles.

Ainsi, bien que facilité, le déploiement des alertes professionnelles reste un processus complexe pour les entreprises.