Les sociétés françaises cotées aux États-Unis et les groupes américains ayant une filiale dans l'Hexagone ne savent pas sur quel pied danser. Un véritable imbroglio sur les systèmes d'alerte éthique qu'elles ont mis en place s'est fait jour entre la fameuse loi américaine dite Sarbanes-Oxley (SOX) et deux décisions de la Cnil (Commission nationale informatique et libertés) en date du 26 mai dernier. La première impose aux sociétés cotées sur le territoire américain d'installer des systèmes d'alerte éthique. Plus connu sous le nom anglo-saxon de "whistleblowing", ce type de dispositif permet à des salariés de dénoncer, sous couvert de l'anonymat ou de la confidentialité, des comportements d'employés supposés non conformes aux lois en vigueur ou au code éthique de l'entreprise. Rejet. Or la Cnil a rejeté, le 26 mai dernier, les projets de systèmes d'alerte éthique chez McDonald's France (voir encadré) et chez Ceac (Compagnie européenne d'accumulateurs). "Elle a pris une position très tranchée et place ainsi les sociétés françaises cotées aux États-Unis et les filiales françaises de groupes américains entre le marteau et l'enclume", expliquent Anne Boileau et Judith Beckhard, avocats chez Jones Day. Pour la Cnil, un système d'alerte éthique sous couvert de l'anonymat renforce le risque de dénonciation calomnieuse. Il est susceptible de conduire à un système organisé de délation professionnelle contraire aux libertés individuelles et menaçant la vie privée des individus. En outre, il peut déboucher sur le licenciement de la personne dite "fautive" sans que celle-ci ait pu se défendre dès le début de la collecte de données la concernant. Les deux décisions du 26 mai constituent-elles pour autant une interdiction de principe ? La Cnil s'en défend et laisse la porte ouverte. Elle a apprécié les deux dossiers en examinant si les moyens envisagés étaient ou non proportionnés aux objectifs recherchés. Reste que "la plupart des codes éthiques examinés ont la même configuration que le projet de McDonald's France", soulignent Nathalie Barreau et Florence Raynal, chez Ernst & Young Société d'avocats. C'est pourquoi l'heure est à la prudence. Selon des spécialistes, la plupart des entreprises ont décidé de geler leur système d'alerte éthique.En fait, le blocage serait avant tout d'ordre culturel. "On a l'impression qu'il s'agit d'un clash culturel entre les États-Unis et la France", estiment Nathalie Barreau et Florence Raynal. Pour des raisons historiques, la dénonciation est une pratique malvenue en France. Alors que cette dernière est plus courante aux États-Unis et représente un moyen, dans l'esprit de la loi Sarbanes-Oxley, permettant de renforcer la transparence dans les entreprises après le fameux scandale Enron. Dans ses décisions du 26 mai, la Cnil n'hésite pas à s'appuyer en particulier sur la rédaction assez large de l'article Ier de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés [protéger l'identité humaine, les droits de l'homme, la vie privée, les libertés individuelles ou publiques, Ndlr].Solutions alternatives. Mais l'incertitude ne pourra pas perdurer plusieurs mois. Certaines entreprises auraient constitué des groupes de travail afin d'envisager des solutions alternatives. De son côté, la Cnil a pris contact en juin avec la SEC (Securities and Exchange Commission). Dans un courrier datant du 10 août dernier, le gendarme américain de la Bourse lui a répondu en se disant prêt à discuter de la mise en place d'éventuels garde-fous relatifs au système d'alerte éthique. Il exprime le voeu qu'une conciliation soit trouvée entre les deux législations nationales. Le système d'alerte sera-t-il limité aux seules questions comptables et financières ? Faudrait-il plutôt retenir la confidentialité et non l'anonymat dans le système d'alerte ? Nombre de questions restent en suspens. "Dès ce mois-ci, nous allons avoir des réunions avec de grandes sociétés françaises et des organisations patronales", indique Christophe Pallez, secrétaire général de la Cnil. La question de l'alerte éthique devrait aussi être abordée le 13 septembre à Montreux (Suisse), lors de la Conférence internationale des commissaires à la protection des données.Frédéric HastingsMcDonald's France calme le jeuMcDonald's France explique avoir saisi la Cnil à titre préventif sur son projet de système d'alerte éthique. "Notre société mère a pris acte de la décision du 26 mai de la Cnil que McDonald's France avait consultée, déclare Eric Gravier, vice-président en charge des relations extérieures de McDonald's France. Pour l'instant, aucun système d'alerte anonyme n'est mis en place." Ce dirigeant indique que le volet de l'alerte éthique est une petite partie de la loi Sarbanes-Oxley. "Nous mettons l'accent sur d'autres points de cette loi que sont par exemple la transparence financière, le reporting, la responsabilité des gestionnaires, le contrôle interne...", insiste-t-il.