Industrie Mag - Le journal de l'industrie.

Depuis la loi du 9 décembre 2016 « Sapin 2 », il devient obligatoire pour toute personne morale de droit public ou de droit privé comptant plus de 50 salariés, les ; administrations de l’Etat et certaines collectivités territoriales.

Toute entité privée ou publique concernée devra désormais impérativement établir une procédure appropriée de recueil et de traitement des alertes de son personnel.

Cette procédure, nécessairement écrite, devra comporter un certain nombre de précisions obligatoires telles que les coordonnées du référent destinataire des alertes ou les modalités précises de leur transmission.

La procédure devra aussi fixer un délai pour l’examen des signalements et détailler les garanties de confidentialité mises en place ainsi que la procédure de destruction des éléments transmis si aucune suite n’y est donnée.

La procédure mentionnera obligatoirement l’existence d’un traitement automatisé des signalements mis en œuvre après autorisation de la CNIL.

Elle doit en outre être diffusée auprès du personnel par tout moyen, le cas échant sur l’intranet de l’entreprise ou de l’organisme.

La procédure d’alerte de la loi Sapin permet de signaler tout crime ou délit, toute violation grave et manifeste d’un engagement international de la France, de la loi ou du règlement. Le champ d’application est donc plus large que celui de l’autorisation unique AU-004 déjà adoptée par la CNIL et qui ne concerne que certains faits seulement (pratiques anticoncurrentielles, harcèlement, violation des règles d’hygiène et de sécurité, droit de l’environnement…). La mise en œuvre du nouveau dispositif légal, qui suppose donc une autorisation de la CNIL, devra en tout point satisfaire les dispositions de la loi du 6 janvier 1978 « Informatique et libertés », que ce soit au moment de la collecte des informations, de leur communication mais aussi de leur conservation et de leur archivage. Les employeurs devront aussi impérativement porter à la connaissance des utilisateurs un certain nombre d’informations (caractère facultatif du dispositif pour le salarié et défaut de conséquences pour lui en cas de non utilisation, identité des destinataires des alertes, transfert éventuel des informations hors de l’Union Européenne, durée de conservation des informations, droits d’accès et de rectification…).