Les dispositifs d'alerte professionnelle : voilà une pratique d'entreprise qui nous vient des Etats-Unis et qui n'a guère prospérée en France, malgré le savoir-faire communicationnel de la Cnil, qui s'est intéressée à ce sujet, relevant sans aucun doute possible, de sa mission Informatique et libertés. Question de "culture d'entreprise", dira-t-on, pour reprendre une terminologie ambiante quelque peu nébuleuse. Pourtant, malgré notre psychologie nationale, décrite comme rétive à la dénonciation sur le lieu de travail, bien des groupes ont mis en place de tels systèmes, du simple fait qu'ils sont cotés sur un marché boursier américain et donc soumis aux obligations de la loi Sarbanes Oxley du 23 janvier 2002, leur imposant de mettre en place pour les employés un système d'alerte confidentiel dans les domaines de la comptabilité, du contrôle financier et de l'audit. Cette question vient de trouver sa solution judiciaire par arrêt récent de la Cour de cassation qui met fin à une longue procédure opposant la fédération des travailleurs de la métallurgie CGT à la société Dassault systèmes : "Attendu qu'en statuant comme elle a fait alors que le dispositif d'alerte professionnelle de la société Dassault systèmes ne prévoyait aucune mesure d'information et de protection des personnes répondant aux exigences de la loi du 6 janvier 1978 et de la délibération du 8 décembre 2005 portant autorisation unique, la cour d'appel a violé les textes susvisés". Nul doute que bien des grandes entreprises du type Dassault, redoutant la sanction, n'aient consulté la Commission nationale informatique et libertés dont la religion s'écarte explicitement de celle des dispositifs de dénonciation internet. Sollicitée, la Commission, après s'être rapprochée de la SEC "Securities and Exchange Commission", autorité chargée du contrôle de l'application de la loi Sarbanes Oxley, avait édicté, en décembre 2005, un mode d'emploi de l'autorisation unique des dispositifs d'alerte professionnelle. Elle recommande ainsi de restreindre le dispositif à un champ spécifique, "des alertes pouvant être exceptionnellement recueillies et traitées se elles s'avèrent concerner l'intérêt vital de l'entreprise ou l'intégrité physique ou morale des salariés". Elle indique que les dénonciations anonymes ne doivent pas être encouragées, et que les personnes concernées doivent être informées dès que les preuves ont été préservées.

Comme toujours, en effet lorsqu'il s'agit de la Cnil, les notions sont ressenties comme "sensibles" : les alertes relèvent, selon l'article 25 de la loi, des catégories des "traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat en l'absence de toute disposition législative ou règlementaire".

La controverse judiciaire reposant sur l'explicitation du champ d'application de l'autorisation unique n° 4, ni la Cnil, ni les juridictions n'avaient permis jusqu'alors de le définir avec certitude.

La chambre sociale en déduit qu'un dispositif d'alerte professionnelle ne peut avoir d'autre finalité que celle définie par l'article 1. Or, en l'espèce, le dispositif mis ne place par Dassault systèmes avait un objet plus large puisqu'il prévoyait la possibilité d'une alerte professionnelle pour manquement aux règles du code de conduite, étrangères aux finalités de ce dernier texte. Il ne pouvait donc bénéficier du dispositif d'autorisation unique. L'arrêt de la cour d'appel de Versailles qui avait jugé le dispositif licite est cassé sur ce point.

Ce faisant, la chambre sociale reconnaît au juge judiciaire la liberté d'apprécier la licéité d'un dispositif d'alerte professionnel même si celui-ci entre dans le champ d'application de la délibération portant autorisation unique délivrée par la Cnil. Ce "même si" n'est pas un désaveu de la réflexion de la Commission qui, dans son document d'orientation publié sur son site, se targue de en pas avoir "d'opposition de principe à de tels systèmes" ?