LE FORUM DES MEMBRES DU VILLAGE

Bonjour,

Une interrogation concernant la qualification de "responsable du traitement", notamment dans le cadre de la mise en place d'un dispositif d'alertes professionnelles (ou whistleblowing); la CNIL le définit comme toute "personne, autorité publique, service ou organisme qui détermine les finalités et les moyens du traitement. Un responsable de traitement se caractérise donc par son autonomie dans la mise en place et la gestion d’un traitement."
Est-ce qu'une entreprise française dont les salariés auraient accès à un tel dispositif (le postulat veut que ce dispositif ne soit pas conforme à l'autorisation unique AU-004 de la CNIL ...) pourrait être qualifiée de "responsable du traitement" alors même que ces informations seraient compilées et traitées par - disons - la maison mère canadienne de la société française ? Cette société française, ne disposant pas d'une réelle autonomie dans la mise en place et la gestion du dispositif, pourrait elle échapper à ses obligations déclaratives ? et si tel est le cas, quid de la société étrangère qui serait destinataire des informations communiquées par les salariés ?

Et bien, je suis preneur de tous vos commentaires !

Merci d'avance.

J'ai trouvé ces précisions (toujours sur le site de la CNIL):
"La loi française s’applique dès lors que vous êtes un responsable de traitement établi en en France". A contrario, il serait possible d'en conclure que le responsable de traitement, implanté au Canada dans mon exemple, ne serait pas assujetti à l'obligation déclarative auprès de la CNIL.
Mais, il est dit aussi que "La loi française s’applique aux traitements réalisés par des responsables de traitements établis hors de l’UE quand le responsable de ces traitements, sans être établi sur le territoire français ou sur celui d’un autre État membre de l’Union européenne, recourt à des moyens de traitement situés sur le territoire français."
Ces "moyens de traitement" qui ne seraient utilisés qu'à des fins de transit ne seraient pas concernés. Malgré les exemples donnés par la CNIL, je ne suis pas que le fait - pour un salarié français - de remplir un mail (pas un formulaire pré établi) puisse être qualifié de moyen de traitement à des fins de transit....

Y a t il des spécialistes des déclarations CNIL dans l'assistance ?
Je suis preneur de leurs avis

bonjour Kasper,

J'ai egalement le même problème au sein de mon entreprise avec le whitleblowing et je suis entrain d'y travailler dessus.

De mon point de vue, je pense qu'il faut plutôt se référer au 1° de l'article 5 que le 2°) du même article (moyen de transit qui concerne plus les hébergeurs de serveurs informatiques).
Des lors que le responsable de traitement est installé/établi sur le sol français pour exercer une activité quelle que soit sa forme ( sous la forme d'une filiale ou succursale), il doit declarer tous ces traitements de donnees effectués en France.
A mon avis, le caractère d'automomie ne sert qu'à definir quelle personne morale au sein d' un groupe doit effectuer les demarches CNIL et être considérée comme le responsable de traitement
Dans le cas d'une succursale ayant une aucune automonie, c'est la maison mère (siegeant pourtant à l'étranger) qui va normalement effectuer les formalités auprès de la CNIL par le biais de son respreséntant en France.
Pour une Filiale, tout dépend qui a la maitrise du traitement (automnomie dans les finalités et moyens mis en oeuvre) . Si le traitement est local et sous la responsabilité de la filiale, cette dernière sera le responsable. Si le traitement est géré par la maison mère (semble être votre cas), cette dernière effectuera les démarches CNIL.
Même si le systéme est géré à l'étranger et que les alertes se font par des moyens à distance (hot line par email/tel), les données sont collectées en France auprès des salariés soumis au droit français dans le cadre de l'exercice de la société. le seul fait de collecter des données est considéré comme étant un traitement de donnée (voir def de l'article 2).

En fait la question de savoir si certaines formalités CNIL doit être effectuées pour un traitement donnée relève plus de la définition du traitement de données personnelles que la définition du responsable du traitement.

mais bon, mon propre avis ne permet pas de resoudre pas les autres contraintes liées aux dispositions de l'AU004 (notamment le § sur les destinataires des données)....

En espèrant vous avoir apporté un avis utile,

cordialement,

Maxence

Merci Maxence pour vos précisions.
A mon sens, cette question sur les outils mis à disposition des salariés français qui sont - ou non - des moyens de transit au sens de la CNIL, reste entière.
N'ayant pas trouvé d'information suffisamment pertinente pour la trancher ... j'ai interrogé la CNIL directement.
J'attends leur réponse, mais doute qu'elle vienne avant la rentrée.
Elle me paraît d'autant plus importante que derrière la question s'en cachent deux autres:
- la société (filiale et non succursale) française doit elle déclarer ? Si ce n'est elle, la société mère étrangère le doit elle ?
- l'info-consult° des IRP de la société française.
Je vous tiens au courant de la position adoptée par la CNIL.
Salutations.

Bonjour,
Je pense que pour 1 filiale installée en France elle est bien soumise aux obligations déclaratives et d'information des IRP prévues par la Loi. La CNIL vous le confirmera puisque vous avez eu la bonne idée de les consulter, mais je crois que vous pouvez préparer les formulaires....
Bon courage

Effectivement !
La CNIL m'a adressé une première réponse (le conditionnel y est de rigueur) par laquelle elle précise que la filiale française opèrerait bien un traitement à son niveau ; non pas dans la phase initiale de collecte de l'information, mais ultérieurement, dans la "phase" de vérification des allégations qui ont transité par le système de whistleblowing.
Elle corrobore de ce fait la nécessité de remplir ses formulaires (...) et, partant, celle d'une consultation préalable des IRP.
J'ai tout de même encore quelques points à éclaircir avec la CNIL pour parfaire l'analyse...
La suite au prochain épisode !

Merci.