Alerte Professionnelle Et Protection Des Données Personnelles - Whistleblowing

Lanceurs d'alerte

Sommaire

Aux lendemains de la publication par la Commission européenne d'une proposition de directive sur les lanceurs d'alerte, c'est peu de dire que ce sujet est à la pointe de l'actualité en Europe, mais également en France, notamment avec l'entrée en vigueur de la loi Sapin II. Or, quel que soit le canal choisi, l'alerte professionnelle est de nos jours un dispositif informatisé. Aussi logiquement, la proposition de directive sur les lanceurs d'alerte renvoie-t-elle à l'application du Règlement Général européen sur la Protection des Données Personnelles du 27 avril 2016 (RGPD). Le propos de cet article est - tout en précisant les règles de protection des données qui s'appliquent aux dispositifs d'alerte professionnelle - de faire état des tensions iné-vitables entre, d'une part, le droit à la vie privée et le droit à l'oubli qui en est le corollaire, et d'autre part, l'exigence de transparence, voire de publicité des manquements au droit et à l'éthique, qui sous-tend l'alerte professionnelle que ce soit pour mettre fin à une certaine impunité, ou plus généralement pour assurer la maîtrise de la gestion des risques dans le secteur public comme privé.

1. Une révolution culturelle en marche à l'ère du numérique

Aux lendemains de la publication par la Commission européenne d'une proposition de directive sur les lanceurs d'alerte¹ et alors que le Président de la Barclays Bank se voit sanctionné pour avoir tenté de révéler l'identité d'un lanceur d'alerte², c'est peu de dire que ce sujet est à la pointe de l'actualité en Europe³. Est-ce si nouveau ? Sous l'impulsion de l'Union européenne, les lanceurs d'alerte ont été appelés dès les années 70 à contribuer à la protection des travailleurs face aux risques de discrimination et de harcèlement moral⁴. Dans l'esprit de la loi Sarbanes-Oxley de 2002 (SOX)⁵, les lanceurs d'alerte ont ensuite été promus acteurs essentiels de la gouvernance d'entreprise, en lien avec les ONG, ayant vocation à déjouer la corruption et la fraude. Dans le secteur financier, la valeur ajoutée des lanceurs d'alerte a aussi été reconnue par le droit de l'Union⁶. Des règles européennes de protection des lanceurs d'alerte ont été définies pour inciter à la détection des risques pour l'environnement lors de l'exploration off shore de pétrole ou de gaz⁷. Les récents scandales mettant en cause des personnalités ayant abusé de leur pouvoir pour s'attirer des faveurs sexuelles et le mouvement du #MeToo ont de nouveau mis en lumière l'intérêt de l'alerte pour stopper des pratiques hélas trop courantes dans certains milieux. Quant au rôle des lanceurs d'alerte en tant que contributeurs au journalisme d'investigation, il est à la mesure de l'ardente défense dont ils bénéficient dans les médias dès qu'il est question de protéger des secrets d'affaires, pourtant d'intérêt économique pour les entreprises, voire la nation⁸.
En France, la consécration de l'alerte professionnelle participe d'un profond changement culturel. Jusqu'ici, le principe d'une telle alerte « éthique » se heurtait à de fortes réticences, alors que le whistleblowing correspond outre-Atlantique à une tradition juridique séculaire⁹. La France revient de loin : rappelons-nous les deux délibérations de la Commission Nationale de l'Informatique et des Libertés (CNIL) du 26 mai 2005 sur les premiers « dispositifs d'intégrité professionnelle » et de « ligne éthique »¹⁰. Leur installation s'imposait pourtant, sous peine de sanction, du fait de l'extraterritorialité des dispositions de la loi SOX applicables aux filiales des sociétés américaines et aux sociétés non américaines cotées en bourse aux États-Unis (Nasdaq et NYSE). Concernant le projet de hotline chez McDonald's France, la CNIL avait considéré que : « ... la mise en oeuvre par un employeur d'un dispositif destiné à organiser auprès de ses employés le recueil, quelle qu'en soit la forme, de données personnelles concernant des faits contraires aux règles de l'entreprise ou à la loi imputables à leurs collègues de travail, en ce qu'il pourrait conduire à un système organisé de délation professionnelle, ne peut qu'appeler de sa part une réserve de principe... ». Cette réserve était assortie de sug-gestions de solutions alternatives pour éviter les « risques de dénonciations calomnieuses et de stigmatisation des em-ployés objets d'une alerte éthique » (sensibilisation par l'information et la formation des personnels, audits, alerte par les commissaires aux comptes, saisine de l'inspection du travail ou des juridictions compétentes). Ni McDonald's France, ni la Compagnie européenne d'accumulateurs, qui avaient saisi la CNIL, n'avaient alors été autorisées à se doter d'un mé-canisme d'alerte professionnelle.
Ce n'est qu'à la suite de négociations avec la Security Exchange Commission (SEC), en charge de veiller à la mise en oeuvre de la loi SOX, que la CNIL s'est résolue à ne plus faire blocage aux dispositifs d'alerte, tout en les encadrant dans un document d'orientation¹¹. Les lignes directrices de ce document ont été reprises dans une délibération de décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en oeuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation n°AU-004)¹². C'était par là-même anticiper la large diffusion de ces dispositifs dans les entreprises et les organismes publics. L'autorisation unique est en effet une facilité procédurale prévue pour les traitements fréquemment mis en oeuvre, les responsables de traitement n'ayant plus qu'à indiquer à la CNIL qu'ils se conforment à la norme définie par elle¹³.
Les traitements informatisés de données personnelles issus des dispositifs d'alerte proviennent de différents canaux : supérieur hiérarchique, responsable éthique etc. - ceux à qui le lanceur d'alerte a souhaité directement s'adresser, ou les autorités publiques compétentes, la hotline n'étant que l'un de ces canaux. D'ailleurs, selon la CNIL, la hotline doit de-meurer facultative et complémentaire par rapport aux autres voies de remontées de réclamations des salariés¹⁴ que sont, selon la gradation prévue par la jurisprudence de la Cour européenne des droits de l'homme (CEDH)¹⁵, le signalement auprès du supérieur hiérarchique ou son délégué, puis la saisine des autorités compétentes et enfin la publicité donnée à l'alerte. Quel que soit le canal choisi, l'alerte professionnelle est de nos jours un dispositif informatisé. Aussi logiquement, la proposition de directive sur les lanceurs d'alerte renvoie-t-elle à l'application du Règlement Général européen sur la Protection des Données Personnelles du 27 avril 2016 (RGPD) ¹⁶ et de la directive du même jour sur le traitement de données à des fins de prévention et de détection des infractions pénales ou d'exécution de sanctions pénales¹⁷, soit les deux principaux textes de l'arsenal juridique de l'Union en la matière¹⁸. La loi Informatique et Libertés est quant à elle en cours de révision par le Parlement au moment de la rédaction du présent article¹⁹.
Le propos de ce dernier est de faire état des tensions inévitables entre, d'une part, le droit à la vie privée et le droit à l'oubli qui en est le corollaire, et d'autre part, l'exigence de transparence qui sous-tend l'alerte professionnelle en tant qu'elle est destinée à lever l'omerta qui, spécialement en France, a trop souvent été synonyme d'impunité. Jusqu'à présent, le fléau de la balance a penché en défaveur des lanceurs d'alerte qui, à quelques exceptions notables près, ont mis en péril leur vie professionnelle, et donc personnelle, en ayant le courage de dénoncer des comportements illégaux ou inaccep-tables²⁰. Mais, le vent pourrait tourner tant la dénonciation hâtive sinon mensongère prend également ancrage dans notre société. Les réseaux sociaux y ont leur part, le mouvement « anti-élite » en cette période de grands bouleversements étant un puissant facteur d'incitation au dénigrement. Dans ce contexte, la législation sur la protection des données per-sonnelles constitue un rempart évitant de jeter en pâture que ce soit le lanceur d'alerte lui-même ou la personne mise en cause, dont les vies pourraient être injustement détruites.

Footnotes

1 Prop. dir. n° 2018-0106, 2 avr. 2018 relative à la protection des personnes dénonçant des violations du droit de l'Union.

2 In The Guardian, Barlcays CEO Jes Staley faces fine over whistleblower incident, April 20, 2018 https://www.theguardian.com/business/2018/apr/20/barclays-ceo-jes-staley-facing-fine-over-whistleblower-incident

3 Avant-Propos, Les lanceurs d'alerte, Quelle protection juridique ? Quelles limites ?, ss dir. M. Disant et D. Pollet-Panoussis : LGDJ, 2017.

4 Cons. UE, dir. 1976/207/CEE, 9 févr. 1976 relative à la mise en oeuvre du principe de l'égalité de traitement entre hommes et femmes : JOCE n° L 39, 14 févr.1976, p. 40. - Cons. UE, dir. 2000/43/CE, 29 juin 2000 relative à la mise en oeuvre du principe de l'égalité de trai-tement entre les personnes sans distinction de race ou d'origine ethnique : JOCE n° L 180, 19 juill. 2000, p. 22. - Cons. UE, dir. 2002/73/CE, 23 sept. 2002 relative à la mise en oeuvre du principe de l'égalité de traitement entre hommes et femmes en ce qui concerne l'accès à l'emploi, à la formation et à la promotion professionnelles, et les conditions de travail : JOCE n° L 269/15, 5 oct. 2002, p. 15. - Cons. UE, dir. 2004/113/CE, 13 déc. 2004 mettant en oeuvre le principe de l'égalité de traitement entre les femmes et les hommes dans l'accès à des biens et services et la fourniture de biens et services : JOUE n° L 373, 21 déc. 2004, p. 37. - Cons. UE, dir. 2006/54, 5 juill. 2006 relative à la mise en oeuvre du principe de l'égalité des chances et de l'égalité de traitement entre hommes et femmes en matière d'emploi et de travail (refonte) : JOUE n° L 204, 26 juill. 2006, p. 23.

5 Sarbanes-Oxley Act, 30 juill. 2002 : Public Law 107-204. - V. aussi le Dodd-Franck Act, 21 juill. 2010 : Public Law 111-203.

6 PE et Cons. UE, dir. 2013/36/UE, 26 juin 2013 concernant l'accès à l'activité des établissements de crédit et la surveillance pruden-tielle des établissements de crédit et des entreprises d'investissement : JOUE n° L 176, 27 juin 2013, p. 338. - PE et Cons. UE, règl. (UE) n° 575/2013, 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement : JOUE n° L 176, 27 juin 2013, p. 1. - PE et Cons. UE, règl. (UE) n° 596/2014, 16 avr. 2014 sur les abus de marché : JOUE n° L 173, 12 juin 2014, p. 1.

7 Cons. UE, dir. 2013/30/UE, 12 juin 2013 relative à la sécurité des opérations pétrolières et gazières en mer : JOUE n° L 178, 28 juin 2013.

8 PE et Cons. UE, dir. 2016/943/UE, 8 juin 2016 sur la protection des savoir-faire et des informations commerciales non divulgués (secrets d'affaires) contre l'obtention, l'utilisation et la divulgation illicites : JOUE n° L 157, 15 juin 2016, p. 1. - Prop. loi de transposition n° 675, AN, 19 févr. 2018. - V. également, La loi sur le secret des affaires menace-t-elle la liberté d'informer ? : Le Monde 27 févr. 2018. - P. Durand et E. Joly, Le « secret des affaires », une menace pour la démocratie : Libération 14 mai 2016.

9 N. Lenoir, Les lanceurs d'alerte, une innovation française venue d'outre-Atlantique : JCP E 2015, 1492. - V. le False Claim Act de 1863 sur le droit de tout citoyen d'intenter une action civile au nom du gouvernement fédéral à l'encontre de quiconque commet des fraudes à son préjudice.

10 CNIL, délib., n° 2005-110 et n° 2005-111, 26 mai 2005.

11 Document d'orientation du 10 novembre 2005 pour la mise en oeuvre de dispositifs d'alerte professionnelle.

12 CNIL, délib. n° 2005-305, 8 déc. 2005, NOR CNIX0508957X, modifiée en dernier lieu par la CNIL, délib. n° 2017-191, 22 juin 2017.

13 Le RGPD supprime les formalités préalables, les normes déjà adoptées par la CNIL (autorisation unique, norme simplifiée, métho-dologie de référence) devenant des référentiels.

14 CNIL, délib. n° 2018-042, 8 févr. 2018. - CNIL, délib. n° 2017-160, 18 mai 2017. - CNIL, délib. n° 2016-051, 25 févr. 2016. - CNIL, délib. n°2016-113, 21 avr. 2016. - CNIL, délib. n° 2016-356, 1er déc. 2016.

15 CEDH, gr. ch., 12 févr. 2008, n° 14277/04, Guja c/ Moldova : JurisData n° 2008-010477. - CEDH, 19 févr. 2009, n° 4063/04, Marchenko c/ Ukraine. - CEDH, 21 juill. 2001, n 2874/08, Heinisch c/ Allemagne. - CEDH, 8 janv. 2013, n° 40238/02, Bucur et Toma c/ Roumanie.

16 Cons. UE, règl. (UE) n° 2016/679, 27 avr. 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données : JOUE n° L 119, 4 mai 2016, p. 1.

17 Cons. UE, dir. 2016/680/UE, 27 avr. 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données : JOUE n° L 119, 4 mai 2016.

18 V. également Cons. Europe, Conv. STE n° 108, 28 janv. 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel.

19 Doc. AN, Projet loi n° 490, 13 déc. 2017 relatif à la protection des données personnelles.

20 S. Gibaud, La femme qui en savait vraiment trop : Le Cherche-Midi, 2014.

To view the full article, please click here

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.