Les mesures d'information prévues par la loi du 6 janvier 1978 (
N° Lexbase : L4322AHK) reprises par la décision d'autorisation unique de la Cnil pour assurer la protection des droits des personnes concernées doivent être énoncées dans l'acte instituant la procédure d'alerte. Tel est le sens d'un arrêt rendu par la Chambre sociale de la Cour de cassation le 8 décembre 2009 (Cass. soc., 8 décembre 2009, n° 08-17.191, La Fédération des travailleurs de la métallurgie CGT, Cassation partielle
N° Lexbase : A3615EPL, sur cet arrêt, lire également
N° Lexbase : N6067BMN et
N° Lexbase : N7157BMZ).
Dans cette affaire, afin de se conformer aux exigences de la loi Américaine fixant les règles de transparence, d'alerte et de contrôle des sociétés cotées, la société Dassault Systèmes avait élaboré un "code de conduite des affaires", qui organisait un système d'alerte professionnelle. Ce code, dans sa version de 2007, avait fait l'objet, le 30 mai 2007, d'un engagement de conformité en vertu de la délibération de la Cnil n° 2005-305 du 8 décembre 2005, prise en application de l'article 25 II de la loi Informatique et liberté du 6 janvier 1978, et portant autorisation unique de traitement automatisé de données à caractère personnel. Pour débouter le syndicat de sa demande d'annulation du code de conduite version 2007, l'arrêt rendu le 17 avril 2008 par la cour d'appel de Versailles retenait que, dès lors que la déclaration du système d'alerte avait été faite auprès de la Cnil, la société n'était pas tenue de rappeler dans le paragraphe concerné du code de conduite des affaires les dix articles de la délibération du 8 décembre 2005, et, notamment, ses articles 9 et 10 concernant l'information de la personne faisant l'objet de l'alerte professionnelle et le respect des droits d'accès et de rectification et qu'il suffisait de rappeler comme l'a fait la société les points principaux de cette délibération. L'arrêt est cassé par la Haute juridiction aux visas des articles 6, 32, 39 et 40 de la loi du 6 janvier 1978 informatique et libertés modifiée et des articles 9 et 10 de la délibération portant autorisation unique de traitement automatisés de données à caractère personnel mis en oeuvre dans le cadre de dispositifs d'alerte professionnelle, n° 2005-305 du 8 décembre 2005. Ainsi, elle juge que les mesures d'information prévues par la loi du 6 janvier 1978 reprises par la décision d'autorisation unique de la Cnil pour assurer la protection des droits des personnes concernées doivent être énoncées dans l'acte instituant la procédure d'alerte, et que le dispositif d'alerte professionnelle de la société Dassault systèmes ne comportait pas ces informations .
© Reproduction interdite, sauf autorisation écrite préalable
