CNIL – Publication du référentiel sur le dispositif d’alertes professionnelles

Ce référentiel CNIL encadre les traitements de données mis en œuvre dans le cadre des dispositifs d’alerte professionnelle. Il concerne à la fois les dispositifs légalement obligatoires, notamment pour le signalement d’un crime ou d’un délit, d’une violation grave et manifeste de la loi ou du règlement, ou d’une menace ou d’un préjudice grave pour l’intérêt général, ainsi que les dispositifs d’alertes éthiques déployés volontairement par les organismes.

Les alertes éthiques peuvent notamment viser des comportements contraires à une charte éthique, à un code de conduite ou à un règlement intérieur. Le référentiel permet ainsi aux organismes de mieux encadrer la collecte, le traitement, la conservation et la sécurisation des données personnelles traitées dans le cadre d’un dispositif d’alerte interne.

Depuis le 1er janvier 2018, les personnes morales publiques et privées comptant au moins 50 agents ou salariés doivent mettre en place une procédure de recueil des signalements émis par les lanceurs d’alerte. Cette obligation impose aux organisations de définir un dispositif sécurisé, confidentiel et conforme aux exigences du RGPD.

La CNIL rappelle que les traitements relatifs aux alertes professionnelles figurent parmi les traitements nécessitant une analyse d’impact relative à la protection des données (AIPD). Le référentiel constitue donc un outil d’aide pour identifier les risques, documenter la conformité, sécuriser les signalements et garantir les droits des personnes concernées.