Complément de protection des données de la hotline pour les dénonciateurs (Whistlefox)

Dans le cadre de notre système de gestion de la conformité (Compliance Management System), nous avons mis en place une ligne téléphonique directe pour les lanceurs d’alerte. Vous avez ainsi la possibilité, par le biais de cette ligne téléphonique directe, de fournir des informations concernant des faits régis par la loi allemande sur la protection des lanceurs d’alerte («HinSchG») ou dont nous avons un intérêt légitime à prendre connaissance.

Nous avons chargé le cabinet d’avocats d’affaires Heuking Kühn Lüer Wojtek de recevoir et d’examiner les déclarations ainsi fournies dans le cadre de la cellule de dénonciation interne ainsi externalisée (ci-après dénommée «cellule de dénonciation»).

Les dénonciations transmises via cette cellule de dénonciation peuvent être communiquées par le biais d’un formulaire en ligne, par téléphone, par courrier électronique, par courrier postal ou en personne.

Ces déclarations peuvent être effectuées de manière anonyme.

L’utilisation de la cellule de dénonciation est facultative.

Lorsque vous transmettez une dénonciation via la cellule de dénonciation, cette dernière enregistre les informations que vous transmettez. Ceci comprend les données à caractère personnel vous concernant, dès lors que vous les divulguez, et en général, le nom et d’autres données à caractère personnel des personnes que vous mentionnez dans votre dénonciation. Pour de plus amples informations sur le traitement de vos données à caractère personnel par la cellule de dénonciation, veuillez consulter la déclaration sur la protection des données de la cellule de dénonciation.

a)     Types de données à caractère personnel que nous traitons

Après avoir examiné la dénonciation, la cellule de dénonciation nous communique un rapport dans lequel peuvent figurer les données à caractère personnel suivantes:

• Nom et autres données à caractère personnel du lanceur d’alerte si ce dernier ne souhaite pas garder l’anonymat et s’il consent à ce que ses données nous soient transmises;
• Nom et autres données à caractère personnel des personnes mentionnées dans la dénonciation.

Dans le cadre de l’éclaircissement des faits faisant l’objet de la dénonciation et du traitement ultérieur, nous pouvons être amenés à recueillir et traiter d’autres données à caractère personnel.

b)    Finalités du traitement des données, base juridique

Le traitement des données qui nous sont transmises par la cellule de dénonciation permet de traiter et de gérer les déclarations concernant des violations de règles de conformité, des violations de dispositions légales et des infractions liées aux activités de notre entreprise par des collaborateurs, des clients, des fournisseurs et d’autres tiers.

Dès lors que vous révélez votre identité et que vous consentez à ce que votre nom nous soit transmis par la cellule de dénonciation, votre consentement constitue la base juridique pour le traitement de vos données à caractère personnel en tant que lanceur d’alerte (art. 6, al. 1, p. 1, let. a du RGPD). 

Dès lors qu’il s’agit de faits relevant de la loi allemande sur la protection des lanceurs d’alerte («HinSchG»), l’art. 10 de ladite loi constitue la base juridique pour le traitement de vos données à caractère personnel en tant que lanceur d’alerte ainsi que pour le traitement des données à caractère personnel de la ou des personnes concernées par la déclaration.

En dehors du champ d’application de la loi allemande sur la protection des lanceurs d’alerte, notre intérêt légitime à détecter et prévenir les violations du droit et les actes répréhensibles (art. 6, al. 1, p. 1, let. f, du RGPD) constitue la base juridique pour le traitement de vos données à caractère personnel ainsi que pour le traitement des données à caractère personnel de la ou des personnes concernées par la dénonciation. Un intérêt légitime à détecter et prévenir les violations du droit et les actes répréhensibles existe dès lors que la loi nous y oblige dans certains domaines. De plus, de telles infractions peuvent non seulement engendrer d’importants dommages économiques mais également nuire gravement à la réputation de l’entreprise.

Lorsque la personne concernée est un de nos employés, la base juridique pour le traitement de données dans le cadre du traitement ou de l’éclaircissement ultérieur des faits faisant l’objet de la dénonciation est en outre l’art. 26, al. 1, let. 1 de la loi fédérale allemande sur la protection des données («BDSG») (traitement aux fins de la relation de travail) ou l’art. 26, al. 1, p. 2 de cette même loi (traitement en vue de détecter des infractions), ainsi que, le cas échéant, notre intérêt légitime visé ci-dessus (art. 6, al. 1, p. 1, let. f du RGPD).

c)    Transmission à des tiers

Le traitement confidentiel de toutes les dénonciations et de toutes les données par la cellule de dénonciation est garanti à tout moment et à chaque étape du traitement. Cela concerne en particulier les données à caractère personnel du lanceur d’alerte ainsi que les données de la ou des personnes concernées par la déclaration. Seules des personnes spécifiques, préalablement désignées, dûment autorisées et s’étant engagées à un traitement confidentiel ont accès aux dénonciations reçues et aux informations relatives au traitement de la dénonciation ou aux mesures de suivi.

Lorsque la dénonciation concerne une autre société de notre groupe, nous transmettons à cette société les contenus de la dénonciation et les résultats de l’enquête menée ultérieurement sur les faits.

De plus, nous pouvons être amenés, le cas échéant, à transmettre à des juridictions, des autorités ou autres organismes publics les contenus de la dénonciation et les résultats de l’enquête ultérieure sur les faits faisant l’objet de la dénonciation. Tel peut être le cas, notamment, lorsque la loi nous fait obligation de divulguer les données ou lorsque cette divulgation est nécessaire pour faire valoir, exercer ou défendre des droits en justice.

Dans le cadre des mesures de clarification et pour la constatation, l’exercice et la défense de droits en justice, nous avons recours à l’assistance de cabinets d’avocats ou de cabinets d’audit.

Par ailleurs, en vue de l’établissement et du traitement des faits faisant l’objet de la dénonciation, nous faisons appel à des prestataires de services (techniques) qui travaillent pour notre compte et selon nos instructions en qualité de sous-traitant au sens de l’art. 28 du RGPD et en vertu d’accords conclus à cette fin. Ces prestataires de services peuvent, eux aussi, prendre connaissance des contenus de la dénonciation du lanceur d’alerte, mais sont tenus de traiter les données concernées de manière confidentielle.

Cependant, il est possible que, malgré le respect de la confidentialité, des données à caractère personnel du lanceur d’alerte et des personnes concernées soient portées à la connaissance d’autorités, de juridictions ou de tiers. Tel peut être le cas, notamment, lorsque nous sommes tenus de transmettre ces informations, par exemple dans le cadre d’une enquête administrative (par ex. une enquête judiciaire) ou lorsque cela est nécessaire pour faire valoir, exercer ou défendre des droits en justice. Sous certaines conditions, nous devons également divulguer aux personnes concernées par la dénonciation les informations faisant l’objet de la dénonciation.

d)    Durée de conservation des données

Les données à caractère personnel sont conservées aussi longtemps que cela est nécessaire pour l’enquête portant sur la dénonciation et pour les mesures qui, le cas échéant, en résultent, ou dès lors que nous avons un intérêt légitime qui l’exige ou que cette conservation est prescrite par la loi. Les données sont ensuite supprimées conformément aux dispositions légales applicables.