Lignes directrices du système de lancement d’alerte

Ces lignes directrices en matière de signalement sont fondées sur la Directive de l’UE sur la protection des lanceurs d’alerte (2019/1937) et le Décret n°2022- 1284 du 3 octobre 2022 relatif aux procédures de recueil et de traitement émis par les lanceurs d’alerte et fixant la liste des autorités externes instituées par la loi n° 2022- 401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte et le règlement général sur la protection des données (RGPD), issu du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016.

1.      Introduction : qu’est-ce que le lancement d’alerte, et pourquoi c’est important ?

Notre organisation s’efforce d’associer la transparence à un fort niveau d’éthique professionnelle. Notre service de lancement d’alerte offre la possibilité d’alerter de manière confidentielle l’organisation sur tout soupçon de conduite inacceptable de manière confidentielle. Il s’agit d’un outil important pour réduire les risques et maintenir la confiance accordée à nos opérations en nous permettant de détecter et d’agir sur d’éventuels méfaits au plus tôt.

2.    Quand lancer l’alerte?

Le service de lancement d’alerte peut être utilisé pour prévenir des risques sérieux affectant des individus, l’entreprise ou l’organisation, la société, ou encore l’environnement.

Les problèmes signalés comprennent les informations portant sur un crime, un délit, une menace ou un préjudice pour l'intérêt général, une violation ou une tentative de dissimulation d'une violation d'un engagement international régulièrement ratifié ou approuvé, d'un acte unilatéral d'une organisation internationale pris sur le fondement d'un tel engagement, du droit de l'Union européenne, de la loi ou d’un règlement, par exemple :

• Corruption et irrégularités financières ; pots-de-vin, concurrence déloyale, blanchiment d’argent, fraude, conflit d’intérêts….
• Violations en matière de santé et de sécurité ; santé et sécurité sur le lieu de travail, sécurité des produits, discrimination grave et harcèlement qui vont tous à l’encontre de la loi…
• Violations en matière d’environnement ; traitement illégal de déchets dangereux…
• Violations de la vie privée ; utilisation abusive de données personnelles…

Attention, les faits, informations et documents, quel que soit leur forme ou leur support, dont la révélation ou la divulgation est interdite par les dispositions relatives au secret de la défense nationale, au secret médical, au secret des délibérations judiciaires, au secret de l'enquête ou de l'instruction judiciaires ou au secret professionnel de l'avocat sont exclus du régime de l'alerte.

Une personne qui lance une alerte n’a pas besoin de disposer de preuves irréfutables pour exprimer un soupçon. Cependant, le signalement délibéré d’informations dont la révélation ou la divulgation est interdite, fausses ou diffamatoires est pénalisé. Tout abus de lancement d’alerte constitue une infraction grave passible de sanctions disciplinaires, civiles ou pénales. 

3.    Comment faire une alerte?

A votre choix, votre signalement se fera soit par écrit, soit par messagerie vocale, de manière anonyme ou non. La plateforme de signalement est accessible à travers différentes langues

·         Par écrit, en se connectant à la plateforme de signalement accessible à l’adresse suivante :

https://report.whistleb.com/sgdpharma

·         Par messagerie vocale

En appelant le numéro gratuit mis à disposition, correspondant à votre zone, en suivant les instructions :

Code pour le signalement au Groupe SGD PHARMA : 4899#

Brésil : 0-800-591-2078

Chine : 400-120-3520

France : 0800-916095

Allemagne : 0800-1810898

Inde : 000800-1004073

Italie : 800-789930

Portugal : 800-831524

Espagne : 900-833826

États-Unis : 1800-218-8954

En procédant à cet appel, vous consentez à ce que votre message soit enregistré. Votre voix sera anonymisée.

Une fois que vous aurez laissé votre message, vous recevrez un code personnel pour le suivi. Lorsque vous appelez pour faire le suivi, vous entrez votre code personnel, vous écoutez la réponse que nous vous donnons et vous laissez un nouveau message si nécessaire.

Pour toute question, vos interlocuteurs sont :

Pierre Michel Bataillard – DRH Groupe : [email protected]

Caroline Funck – Directrice Juridique Groupe : [email protected]

Tous les signalements reçus seront traités de manière confidentielle. Le canal de signalement est administré par WhistleB de Navex, un prestataire de services externe. Tous les messages sont cryptés. Pour assurer l’anonymat de la personne envoyant un message, WhistleB n’enregistre pas les adresses IP ou autres métadonnées.  L’expéditeur de message reste aussi anonyme, s’il le souhaite, lors du dialogue avec l’équipe d’investigation de l’entreprise ou l’organisation.

4.    La procédure d’investigation

L’ÉQUIPE D’INVESTIGATION

L’accès aux messages reçus via le canal de signalement est limité aux individus désignés, chargés de la gestion des cas d’alerte.

GESTION D’UN MESSAGE REÇU

Lors de la réception d’un message, l’équipe d’investigation décide soit d’y donner suite, soit de le rejeter. Si le signalement est recevable, des mesures d’enquête appropriées sont alors mises en œuvre.

Dans tous les cas, le lanceur d’alerte doit recevoir un accusé de réception de son signalement dans les 7 jours ouvrés.

L’équipe d’investigation communique par écrit à l’auteur du signalement, des informations sur les mesures envisagées ou prises pour évaluer l'exactitude des allégations et, le cas échéant, remédier à l'objet du signalement ainsi que sur les motifs de ces dernières dans un délai  raisonnable n’excédant pas 3 mois à compter de l’accusé de réception du signalement ou à défaut d’accusé réception, 3 mois à compter de l’expiration d’une période de 7 jours ouvrés suivant le signalement. Pour une alerte adressée à une autorité externe, ce délai peut être porté à 6 mois si les conditions de l’affaire le justifient.

ENQUÊTE

Tous les messages sont traités avec sérieux et de manière confidentielle.

• Toute personne participant à une enquête (y inclus experts internes ou externes à l’entreprise quand cela est nécessaire) respectera ce principe de sérieux et confidentialité, notamment concernant l’identité de l’Emetteur de l’alerte.
• Aucune personne participant à une enquête, ne doit rechercher à identifier la personne qui procède à une alerte.
• L’équipe d’investigation peut, si nécessaire, soumettre des questions de suivi, par le biais du canal de communication et/ou en contactant directement l’Emetteur de l’alerte si ce dernier n’a pas adressé son alerte via ledit canal. 
• L’enquête sur une alerte ne sera jamais confiée à une personne susceptible d’être impliquée dans, ou liée à l’alerte.
• Les messages de l’alerte sont traités de manière confidentielle par les parties concernées.
• La participation à l’enquête d’experts internes ou externes à l’entreprise nécessitera le consentement de l’Émetteur de d’alerte dès lors que les éléments divulgués à ces derniers seraient de nature à permettre son identification. En cas d’invitation à se connecter à la plateforme d’alerte, ces personnes pourront accéder aux données personnelles et seront également tenues de respecter la confidentialité et l’anonymat de l’Emetteur de l’alerte.
• L’équipe d’investigation communique également par écrit à l’Emetteur de l’alerte des informations sur les mesures envisagées ou prises pour remédier à l'objet de l’alerte ainsi que sur les motifs de ces mesures dans un délai raisonnable.

5.    Protection de la vie privée

PROTECTION DES LANCEURS D’ALERTES

1. Une personne qui signale un réel soupçon ou une inquiétude ne doit pas faire face aux risques de perdre son emploi ou de subir quelque forme de répression ou de désavantage personnel que ce soit.

Si elle remplit toutes les conditions attachées au statut de lanceur d’alerte, elle bénéficie d’un régime de protection à ce titre.

2. Dans le cas où les faits signalés sont couverts par une obligation de secret protégée par la loi, l’Émetteur de l’alerte ne sera pas pénalement responsable d’atteinte au secret, sous réserve de respecter les conditions suivantes :

• Il répond à l’ensemble des critères de la définition de lanceur d’alerte
• La divulgation d’un secret est nécessaire et proportionnée à la sauvegarde des intérêts en cause
• La divulgation d’un secret est réalisée dans le respect de la procédure d’alerte
• La divulgation ne concerne pas un fait couvert par le secret médical, le secret de la défense nationale, le secret des relations entre un avocat et son client.

3. L’exercice du droit d’alerte ne peut être un motif pour un employeur ou un futur employeur pour :

Écarter d’une procédure de recrutement, de l’accès à un stage ou à une période de formation professionnelle ;
Sanctionner ou licencier ;
Agir de façon discriminatoire directement ou indirectement, notamment en matière de rémunération, de mesure d’intéressement ou de distribution d’actions, de formation, de reclassement, d’affectation, de qualification, de classification, de promotion professionnelle, de mutation, de renouvellement de contrat.

4. Le Défenseur des droits

Le Défenseur des droits accompagne les lanceurs d’alerte dans leurs démarches et veille à leurs droits et libertés.

Coordonnées : https://www.defenseurdesdroits.fr

TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL

1. Objet et finalités du traitement

Dans le cadre de la mise en œuvre du dispositif d’alerte professionnelle, le groupe SGD Pharma, à travers la société SGD SA en charge du traitement, peut collecter des données personnelles (ci-après les « Données ») sur :

-        la personne mise en cause dans une alerte,

-        l’Émetteur de l’alerte (si elle n’est pas envoyée de manière anonyme) et,

-        toute tierce personne impliquée.

Ces Données sont traitées afin d’enquêter sur les faits relatifs aux manquements rapportés et aux comportements inappropriés relevant de notre Code de Conduite, de nos règles internes ou sur les faits portant sur des informations listées à l’article 2.

Tout traitement est mis en œuvre conformément à la règlementation applicable, notamment au Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces Données (le « RGPD »).

2. Personnes responsables du traitement

La société SGD S.A., Liberty Tower - 17 Place des Reflets – 92097 Paris La Défense Cedex – France agit en tant que responsable des Données traitées dans le cadre du service d’alerte professionnelle.

WhistleB Whistleblowing Centre Ab (World Trade Centre, Klarabergsviadukten 70, SE-107 24 Stockholm) agit en tant que sous-traitant des traitements réalisés par le responsable de traitement dans l’outil de WhistleB de NAVEX réservé à l’alerte éthique, y compris le traitement des données cryptées, telles que les messages d’alerte. Ni WhistleB, ni ses sous-traitants ne peuvent décrypter et lire les messages d’alerte. Ainsi, ni WhistleB, ni ses sous-traitants n’ont accès au contenu en clair.

3. Catégories de Données traitées

Les Données susceptibles d’être collectées dans le cadre du dispositif d’alerte professionnelle objet de la présente Politique sont les suivantes :

-        Identité, fonctions et coordonnées de l'Emetteur de l'alerte professionnelle (si l’Emetteur choisi de ne pas rester anonyme) ;

-        Identité, fonctions et coordonnées des personnes faisant l'objet d'une alerte ;

-        Identité, fonctions et coordonnées des personnes intervenant dans le recueil ou dans le traitement de l'alerte ;

-        Les données contenues dans le descriptif des faits signalés ou dans les éléments recueillis lors de l’alerte et autres éléments recueillis dans le cadre de l’enquête interne.

4. Fondements légaux du traitement

Les données sont uniquement traitées par le groupe SGD Pharma à travers la société SGD SA en charge du traitement, en présence de l’un des cas suivants prévu par la règlementation en vigueur :

-        pour se conformer à ses obligations légales, telles que précisées dans la présente Politique ; ou

-        lorsque le traitement répond à l’intérêt légitime du groupe SGD Pharma.

5. Confidentialité et destinataires des Données

L’alerte peut être effectuée de manière anonyme. En tout état de cause, les Données identifiantes sont traitées de façon confidentielle.

L'accès aux Données est strictement réservé aux personnes autorisées et dans la mesure où cela est nécessaire au traitement des alertes.

Les personnes qui peuvent accéder à ces Données sont :

-        Le(s) destinataire(s) de l’alerte ;

-        Les personnes chargées de la mise en œuvre de la procédure d’investigation ;

-        Les personnes amenées à en connaître dans le cadre de l’alerte.

Ces personnes n’ont accès qu’aux Données strictement nécessaires pour le traitement de l’alerte.

Certaines informations contenues dans une alerte peuvent être transmises par le groupe SGD Pharma aux pouvoirs publics ou aux autorités de poursuites compétentes, s’il existe une obligation légale de procéder à une telle communication.

6. Transfert des données en dehors de l’Union européenne

Sauf à titre exceptionnel, pour répondre aux finalités exposées dans la présente Politique (par exemple, pour répondre aux besoins de l’investigation), le groupe SGD Pharma ne transfère pas les Données traitées dans le cadre du traitement des alertes en dehors de l’Union Européenne.

En cas de nécessité de transférer les Données en dehors de l’Union Européenne, notamment en présence d’une enquête interne à dimension internationale, SGD Pharma s’engage à effectuer de tels transferts vers des pays dont le niveau de protection des données personnelles a été jugé suffisant par une décision d’adéquation de la Commission Européenne ou à conclure au préalable des accords spécifiques contenant des clauses de sauvegarde et des garanties appropriées pour la protection des Données telles que les clauses contractuelles types approuvées par la Commission Européenne.

Le cas échéant, les traitements de Données effectués par le groupe SGD Pharma à travers la société SGD SA en charge du traitement, dans le cadre de la présente Politique sont conformes aux règlementations applicables dans le pays où le groupe est implanté.

7. Conservation des Données

Le groupe SGD Pharma ne conserve les Données collectés dans le cadre du traitement des alertes que dans la mesure où cela est nécessaire afin de réaliser les finalités évoquées.  

Sauf disposition légale ou réglementaire contraire, le groupe SGD Pharma conserve les données pendant les durées suivantes :

Données n’entrant pas dans le champ du dispositif, tel que défini dans la présente Politique (ex : les faits rapportés ne correspondent pas à l’un des cas évoqués à l’Article 2 « Le champ d’application »).

• Destruction ou anonymisation sans délai à partir du moment où il est déterminé que les faits ne sont pas pertinents.

Par exception, ces Données peuvent être transmises aux organes compétents de l’entité du groupe SGD Pharma concernée si les intérêts vitaux de la personne concernée par ces Données ou l’intégrité morale d’employés sont en jeu. 

Données collectées dans le cadre d’une alerte n’ayant donné lieu à aucune suites (ex : adoption ou modification des règles internes de l’organisme).

• Destruction ou anonymisation dans un délai de deux mois à compter de la clôture des opérations de vérification des faits. 

Données relatives à l'alerte lorsqu'une procédure disciplinaire ou contentieuse est engagée à l'encontre d’une personne mise en cause ou de l’Émetteur de l’alerte lorsque celui-ci est jugé abusif par SGD Pharma.

• Conservation possible jusqu'au terme de la procédure ou de la prescription des recours à l’encontre de la décision.

Une conservation plus longue des Données par le groupe SGD Pharma est possible, sous forme d’archives intermédiaires :

-        en présence d’une obligation légale incombant à SGD Pharma (par ex : pour répondre à ses obligations comptables, sociales ou fiscales) ;

-        lorsqu’il est décidé de donner suite à une alerte, notamment aux fins d’assurer la protection de l’Émetteur de l’alerte ou de permettre la constatation des infractions continues.  

Le(s) destinataire(s) de l’alerte peu(ven)t archiver toute information relative à l’alerte, dès lors qu’elle ne comporte aucune Donnée à caractère personnel, aucune donnée permettant l’identification de l’Emetteur de l‘alerte ou celle des personnes visées au titre de l’alerte.

8. Droits des personnes concernées sur leurs Données

Toute personne concernée par le traitement de ses Données dans le cadre de la présente Politique dispose du droit de demander au groupe SGD Pharma, dans la mesure où la loi le permet :

-        une copie de ses Données ;

-        la correction des Données ;

-        la suppression des Données ou la limitation de leur traitement, dans le cas où i) SGD Pharma n’a plus besoin de l’information pour les finalités pour lesquelles cette information a été obtenue ou ii) l’utilisation des Données est contraire à la loi ;

-        la portabilité des Données, dans certaines conditions.

Les demandes d’exercice de droits peuvent être adressées à l’adresse suivante : [email protected]

Selon la juridiction où elles se trouvent, les personnes concernées ont également la possibilité de déposer une réclamation auprès de l’autorité de protection des données compétente de leur pays. Pour la France, l’autorité compétente est la Commission Nationale de l’Informatique et des Libertés (CNIL), laquelle peut être contactée aux coordonnées suivantes :

https://www.cnil.fr ou 3 Place de Fontenoy - TSA 80715 - 75334 Paris - Cedex 07

9. Sécurité des Données

Le groupe SGD Pharma prend toutes les précautions nécessaires pour la protection des Données contre toute perte, accès, modification, intrusion, altération, divulgation ou destruction non autorisée.

Pour cela, le groupe met en œuvre des mesures techniques et organisationnelles spécifiquement destinées à protéger les Données, notamment de contrôle des accès des utilisateurs, de traçabilité des actions sur les Données, de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.), chiffrement et procédures de sécurité physique.

En outre, le groupe impose à ses sous-traitants de respecter des normes strictes en matière de sécurité et de protection de l’information.