En 2005, la CNIL adoptait une « autorisation unique » (AU-004) relative aux dispositifs d’alertes professionnelles,dont l’objet est le signalement de manquements graves en matière comptable, financière, bancaire, de corruption ou de concurrence. Ces dispositifs s’ajoutent aux voies de signalement classique (voie hiérarchique, information des représentants syndicaux, etc.) tout en garantissant une protection supplémentaire à leurs auteurs.

À la suite de difficultés d’interprétations soulevées par la Cour de cassation, la CNIL a indiqué en décembre 2010 que les dispositifs d’alerte relatif au signalement de faits de discrimination n’entrent pas dans le cadre de cette autorisation unique. Ils doivent faire l’objet non pas d’une simple déclaration de conformité, mais d’une demande d’autorisation individuelle. Ces outils informatisés peuvent en effet être amenés à traiter des informations comportant des données dites sensibles (origines, opinions, vie sexuelle, santé, etc.), et doivent être soumis à un examen spécifique par la CNIL.

Randstad et Casino Services ont adressé de telles demandes d’autorisation à la CNIL, en avançant que la mise en place de tels dispositifs d’alertes avait pour vocation de répondre au mieux au cahier des charges du label Diversité. Lequel préconise en effet la mise en place d’outils permettant d’identifier les plaintes et réclamations internes ou externes et, de manière générale, d’assurer la traçabilité des signalements.

Dans deux délibérations rendues le 3 mars 2011 (délibération n°2011-64 et délibération n°2011-65), la CNIL a accordé ces autorisations, en y mettant plusieurs conditions, parmi lesquelles :

• la stricte limitation du dispositif aux alertes relatives à la discrimination ;
• son caractère seulement facultatif et complémentaire par rapport aux autres voies légales de remontée de réclamations ;
• l’obligation pour la personne à l’origine de l’alerte de s’identifier pour limiter les risques de mise en cause abusive ;
• le droit d’accès et de rectification des informations données ;
• le nombre « limité » de destinataires des informations collectées parmi les membres de la DRH ou des instances internes dédiées à la lutte contre les discriminations, « dans la limite de leurs attributions » et avec « une obligation renforcée de confidentialité »
• des mesures pour assurer la sécurité des données et une « traçabilité des opérations effectuées sur la boite de messagerie électronique recevant les alertes. »