Signalement interne (lanceur d'alerte)

Responsable de traitement :
L’entité LFB ayant reçu le signalement agit en tant que responsable de traitement tel que défini dans l’article 4 du Règlement Général sur la Protection des Données (RGPD). Il peut s’agir de LFB SA, LFB BIOMEDICAMENTS, LFB BIOTECHNOLOGIES, LFB BIOMANUFACTURING ou LFB GLOBAL PLASMA.

Finalité du traitement :
Nous traitons vos données personnelles pour la finalité suivante : recueil et traitement des signalements internes afin de respecter la loi Sapin II (loi n°2016-1691 du 9 décembre 2016), la loi Waserman (loi n°2022-401 du 21 mars 2022) et ses décrets d’application.

Pour plus d’information, nous vous invitons à consulter la procédure GC03 – Procédure de signalement.

Base légale :
Nous ne pouvons traiter vos données personnelles que dans le cadre de traitements licites.

Un traitement n’est licite que dans la mesure où il repose sur une des bases légales présentes dans la loi applicable.

Le traitement de données personnelles repose sur les bases légales suivantes :
– Pour LFB BIOMEDICAMENTS / LFB BIOTECHNOLOGIES / LFB BIOMANUFACTURING : Le respect d’une obligation légale à laquelle nous sommes soumis (loi Sapin II, la loi Waserman et ses décrets d’application)
– Pour LFB SA / LFB GLOBAL PLASMA : Nous disposons d’un intérêt légitime à traiter vos données pour mettre en œuvre un dispositif de signalement interne commun aux entités LFB (procédure GC03). Ce dispositif implique un traitement de vos données personnelles. Les intérêts légitimes que nous poursuivons sont mis en balance avec vos intérêts, libertés et droits fondamentaux qui exigent une protection des données personnelles. Vous avez la possibilité d’obtenir des informations relatives à cette mise en balance en nous contactant aux coordonnées mentionnées ci-après.
De façon marginale et en fonction de la nature du signalement et de l’enquête interne associée, nous pourrions être amenés, dans le cadre de ce traitement, à traiter des données de santé constituant une catégorie particulière de données personnelles.

Le traitement de vos données de santé repose sur la base légale suivante : Article 9-2-f du RGPD – traitement nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice.

De même, des données relatives aux infractions, condamnations et mesures de sureté pourraient être traitées dans les conditions prévues à l’article 10 du RGPD et 46 3° de la loi informatique et libertés.

Personnes concernées :
Le traitement de données personnelles concerne les personnes suivantes :
– L’auteur du signalement (également appelé lanceur d’alerte)
– Le(s) mis en cause
– Le(s) témoin(s)

Catégories de données traitées :
Les catégories de données suivantes sont concernées par ce traitement :
– Identité, fonction et coordonnées de l’auteur du signalement,
– Identité, fonction et coordonnées du mis en cause
– Identité, fonction et coordonnées des témoins
– Identité, fonction et coordonnées des personnes intervenant dans le recueil ou dans le traitement du signalement
– Informations recueillies dans le cadre de la vérification des faits signalés
– Comptes rendus, contenu de l’enquête
– Suites données au signalement.

Source des données :
Dans le cadre de ce traitement, les données personnelles traitées proviennent :
– Directement de vous
– Via des sources tierces telles que le(s) témoin(s), le(s) auteur(s) de signalement, le(s) mis en cause.

Caractère obligatoire du recueil des données :
Le traitement de vos données est nécessaire pour mener à bien le traitement visé ci-avant. L’absence de fourniture de ces données ne permettrait pas de traiter le signalement et de réaliser l’enquête associée.

Destinataires des données :
Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions, accèdent aux données personnelles traitées.

En fonction de leurs besoins respectifs, sont destinataires de tout ou partie des données personnelles les destinataires suivants :
– Enquêteurs chargés de traiter le signalement
– Décideurs (Directeur des affaires juridiques et conformité et/ou au Directeur des ressources humaines)
– Collaborateurs susceptibles d’apporter leurs supports dans le cadre de l’enquête interne (par exemple : la DSI lorsqu’il s’agit de rechercher des emails). A noter que seules les données nécessaires pour réaliser le support seront communiquées.
– Nos prestataires agissant en tant que sous-traitant pour notre compte (dans la limite nécessaire à l’accomplissement des travaux que nous leur avons confié). Il peut par exemple s’agir de notre hébergeur de données.
– Dans le cas où les données personnelles sont confiées à un sous-traitant, un accord sera conclu avec ce dernier de manière à s’assurer et garantir que les données personnelles sont traitées conformément à nos instructions et que des mesures techniques et organisationnelles adéquates sont prises pour les protéger.
– Des autorités publiques, des organismes gouvernementaux…

Transfert des données hors UE :
Vos données personnelles sont traitées dans l’Union européenne mais peuvent être transférées vers des pays situés en dehors de l’Union européenne. Nous transférons vos données vers des pays disposant d’un niveau de protection adéquate à celui prévu au sein de l’Union européenne.

Lorsque nous transférons vos données vers des pays n’offrant pas un niveau de protection équivalent à celui mis en œuvre au sein de l’Union européenne, nous mettons en place des garanties techniques et légales appropriées afin de protéger vos données contre tout accès, utilisation ou divulgation non autorisés.

Durée de conservation des données :
Vos données personnelles sont conservées pour des durées différentes selon la suite donnée au signalement :
Les données sont détruites ou anonymisées :
– Immédiatement si le signalement n’entre pas dans la procédure de signalement interne,
– Dans un délai de 2 mois à compter de la clôture des opérations de vérification si aucune suite* n’est donnée au signalement
– À la fin de la procédure ou de la prescription des recours à l’encontre de la décision lorsque des procédures disciplinaires ou judiciaires sont initiées.

Dans certains cas, et à l’exception des cas où aucune suite n’est donnée à l’alerte, nous conserverons les données collectées pour une durée supplémentaire aux fins d’assurer la protection du lanceur d’alerte ou de permettre la constatation d’infractions continues. Dans un tel cas, cette durée de conservation étendue sera portée à la connaissance des personnes concernées.

Une fois la durée de conservation atteinte, les données personnelles sont, selon les cas, détruites ou anonymisées. Pour ce dernier cas, cela signifie qu’il sera impossible de vous identifier à partir de ces données.

Sécurité :
Nous mettons en place des mesures techniques et organisationnelles permettant la protection de vos données personnelles. Nous adoptons des mesures raisonnables pour protéger vos données contre la perte, l’utilisation abusive, l’accès non autorisé, la divulgation, la modification ou la destruction de vos données.

Vos droits sur les données vous concernant :
Dans les conditions et limites de la réglementation applicable, vous disposez des droits suivants :
– Droit d’accès : vous avez la possibilité de nous demander d’accéder aux données personnelles que nous détenons sur vous.
– Droit de rectification : vous pouvez nous demander de corriger des données qui seraient inexactes ou incomplètes.
– Droit à l’effacement (droit à l’oubli) : vous avez la possibilité sous certaines conditions d’obtenir l’effacement des données personnelles que nous détenons sur vous. Nous avons cependant la possibilité de ne pas répondre favorablement à votre demande notamment dans le cas où nous aurions besoin de vos données personnelles pour répondre à une obligation légale.
– Droit à la limitation du traitement notamment dans le cas où vous contesteriez l’exactitude des données personnelles que nous détenons sur vous.
– Droit d’opposition : vous pouvez vous opposer, pour des raisons tenant à votre situation particulière et sous certaines conditions, à un traitement de données vous concernant.
Certains droits s’exerçant sous conditions, nous sommes susceptibles de ne pas répondre favorablement à votre demande. Dans un tel cas, nous vous exposerons les raisons de notre refus.

Pour obtenir plus d’informations sur vos droits et les conditions pour les exercer, nous vous invitons à consulter le site de la CNIL (Commission Nationales de l’Informatique et des Libertés) à l’adresse suivante : https://www.cnil.fr/fr/les-droits-pour-maitriser-vos-donnees-personnelles

Contact et réclamation :
Pour exercer les droits ci-avant ou pour toute question en lien avec la protection des données personnelles, merci d’envoyer toute demande au Délégué à la protection des données de l’Entité du Groupe LFB, en priorité par email : privacy@lfb.fr ou à défaut par voie postale à l’adresse suivante : LFB BIOMEDICAMENTS, Déléguée à la Protection des Données, Direction Juridique et Conformité, ZA de Courtabœuf, 3 avenue des Tropiques, 91940 LES ULIS.

Si vous estimez, après nous avoir contacté aux coordonnées visées ci-dessus, que vos droits ne sont pas respectés ou que le traitement des données n’est pas conforme aux règles de protection des données, vous pouvez introduire une réclamation auprès d’une autorité de contrôle en particulier dans l’Etat membre dans lequel se trouve votre résidence habituelle, votre lieu de travail ou le lieu où vous estimez qu’une violation de la règlementation aurait été commise (la CNIL en France par exemple).

* L’expression « suites » désigne toute décision prise par le LFB pour tirer des conséquences du signalement. Il peut s’agir notamment de :
– l’adoption ou la modification des règles internes (règlement intérieur, procédure, etc.) ;
– une réorganisation des opérations ou des services du LFB ;
– le prononcé d’une sanction ;
– la mise en œuvre d’une action en justice.

Version : 05/01/2023