Les récents enseignements de la CNIL au sujet du dispositif d’alerte

Ce référentiel CNIL est destiné aux organismes privés ou publics qui sont tenus ou qui décident de mettre en œuvre un dispositif de recueil et de gestion des alertes professionnelles nécessitant un traitement de données à caractère personnel. Les données dans le dispositif d’alerte doivent être recueillies et traitées avec comme objectif de révéler un manquement à une règle spécifique. Aussi, les informations recueillies pour l’une de ces finalités ne peuvent pas être réutilisées pour poursuivre un autre objectif qui serait incompatible avec la finalité première.
De façon pratique, le référentiel distingue trois étapes dans le cadre du dispositif d’alerte donnant lieu à des règles en matière de traitement des données personnelles spécifiques. Tout d’abord l’instruction de l’alerte à savoir la période « qui débute par la réception de l’alerte par l’organisme, et qui se termine par la prise de décision quant aux suites réservées à celle-ci ». Durant l’instruction, le responsable de traitement devra s’assurer que « seules les informations pertinentes et nécessaires au regard des finalités du traitement sont collectées et/ou conservées dans le dispositif ».
Les conditions de réception des données personnelles sont également précisées. De façon pragmatique, la CNIL vient rappeler que les données personnelles doivent uniquement être rendues accessibles aux personnes habilitées à en connaître au regard de leurs attributions.
Le référentiel précise au sujet des droits de rectification et d’effacement visé par le RGPD que « dans le cas des dispositifs d’alerte professionnelle, il ne doit notamment pas permettre la modification rétroactive des éléments contenus dans l’alerte ou collectées lors de son instruction.

https://www.dalloz-actualite.fr/flash/recents-enseignements-de-cnil-au-sujet-du-dispositif-d-alerte#.XiWbXyNCeqU