Le Réseau Social d Entreprise (RSE)

ALTANA CABINET D AVOCATS Le Réseau Social d Entreprise (RSE) Maîtriser les risques de ce nouvel outil numérique d entreprise et déterminer sa stratégie digitale Claire BERNIER Document confidentiel Ne pas diffuser sans autorisation 1

INTRODUCTION Pourquoi mener une stratégie digitale? Evolutions des usages de l Internet Démocratisation de l IT Consumérisation de l IT Gestion de l e-réputation Démocratisation de l Internet mobile Démocratisation des services de communication (Social Networking) Démocratisation des équipements nomades Usage des équipements nomades domestiques dans le cadre d une activité professionnelles Utilisation forte des médias et de l Internet Prolifération et redondance des informations sur Internet ATAWAD Time Any Where Any Device ANY CONTENT ANY DATA Enjeux et opportunités pour l Entreprise Mobilité des collaborateurs Portabilité des données de l entreprise Hygiène informatique de l entreprise Intelligence collective par l intégration des réseaux sociaux au sein de l entreprise Communication multi canal Gestion de l identité numérique et de l e-réputation 2

Typologie des atteintes encourues par l Entreprise Atteintes aux systèmes d information de l entreprise perte de contrôle des ressources technologiques de l entreprise (équipements, réseau, systèmes d information) Atteintes au patrimoine informationnel de l entreprise perte de contrôle des informations stratégiques (informations techniques, commerciales, financières) Atteintes à la protection des données personnelles perte de contrôle des conditions de traitement des fichiers Atteintes au droit du travail au sein de l entreprise et à la vie privée des salariés perte de contrôle du temps de travail Atteintes aux droits de propriété intellectuelle de l entreprise perte de contrôle des biens incorporels exploités par l entreprise Atteintes à l identité numérique de l entreprise (e-réputation) perte de contrôle de l image de l entreprise Traitement juridique du management de la stratégie digitale Définir et encadrer les risques organisationnels, juridiques et réglementaires Accompagner les actions de gestion de crise 3

Qu est-ce qu un Réseau Social d Entreprise? Définition: service de réseautage social ( SRS ) mis en œuvre au sein d une organisation (entreprise ou groupe d entreprises) ayant pour objet de favoriser la communication entre ses membres, de capitaliser leurs expertises et de stimuler l intelligence collective SRS: «plates-formes de communication en ligne permettant à des personnes de créer des réseaux d utilisateurs partageant des intérêts communs» (Avis 5/2009 sur les réseaux sociaux en ligne, G29) Ex : Plazza, le réseau social d Orange ; Liferay Social office (solution Open Source) RSE = Social Networking Software = Réseau Social d Entreprise RSE = Responsabilité Sociale des Entreprises Fonctionnalités principales Espaces de travail collaboratif (networking) Messageries instantanées Agenda partagé Espaces communautaires Forums Sondages Espaces de partage d expériences (capitalisation du savoir-faire) Tableau de bord Gestion électroniques des documents Gestion du profil utilisateur CRM ( Customer Relationship Management ) Avantages pour l Entreprise Mise en avant des compétences des membres Diffusion et veille des informations stratégiques Renforcement du sentiment d appartenance à l entreprise Développement des synergies 2 étapes d implémentation d un RSE 1. Encadrement du projet informatique de réalisation d un RSE 2. Mise en production du RSE 4

Encadrement du projet informatique de réalisation d un RSE Définition des besoins et rédaction du cahier des charges Appel d offres / études de marché Sélection de la solution Contractualisation du projet Configuration et déploiement Cas d un RSE en mode SaaS Vérifier les conditions d hébergement des données (certifications ISO 27001, ISAE 3402 (ex SAS 70)) A noter : les autorités de protection des données personnelles privilégient l intégration de la protection de la vie privée directement dans la conception et le fonctionnement des systèmes (Privacy by Design) Déterminer la localisation des données hébergées par l entreprise Cas du développement d un RSE en interne : sauf dispositions contractuelles ou internes contraires, les droits patrimoniaux sur les logiciels et leur documentation créés par un ou plusieurs employés dans l exercice de leurs fonctions ou d après les instructions de leur employeur sont dévolus à l employeur qui est seul habilité à les exercer Cas du développement d un RSE par un prestataire Annexer le cahier des charges au contrat de développement S assurer de l existence de procédures de back-up Etablir un calendrier précis de réalisation des prestations S assurer de la cession des droits d auteur sur l ensemble des éléments composant le RSE par des clauses contractuelles dont la rédaction doit être précise (étendue, territoire, prix, durée) S assurer de la remise des codes sources (dans leur intégralité et chaque nouvelle version majeure du RSE) Cas de l Open Source : veiller au contenu de la licence (notamment quant aux modalités de diffusion et aux obligations relatives à l accès publique des données) Réaliser les déclarations CNIL idoines : déterminer et effectuer le type de déclaration dont relèvent les traitements de données personnelles mis en œuvre dans le cadre du RSE A noter : vérifier si les traitements mis en œuvre entrent dans le champ d application des normes simplifiées 5

Problématiques liées à la mise en production du RSE Consultation du CHSCT (articles L.4612-8 et 4612-9 du Code du Travail) Thèmes de la consultation : Présentation des outils existants dans l entreprise (intranet, outlook etc.) Présentation de l outil RSE et de ses principales caractéristiques: création d un profil pour chacun des salariés, possibilité de constituer des communautés, etc. Présentations des garanties offertes par le RSE pour protéger la santé et sécurité des salariés, et notamment : possibilité de se désengager d une communauté, détail des mécanismes permettant de protéger les données personnelles et la vie privée, existence ou non d un modérateur, durée d archivage des données, etc. L accent doit être mis sur la santé et la sécurité des travailleurs Le CHSCT a la possibilité de faire désigner un expert aux frais de l employeur pour tout projet important modifiant les conditions de santé et de sécurité ou les conditions de travail (article L.4614-12 du Code du travail). L ANI du 11 janvier 2013 prévoit que lorsqu un projet intéresse plusieurs établissements dotés chacun d un CHSCT, seule l instance de coordination ad hoc peut désigner un expert. Cette disposition aura pour effet de réduire significativement les frais d expertise pesant sur l employeur en cas de projet de grande envergure. En pratique : La consultation du CHSCT doit précéder celle du Comité d entreprise: la Cour de cassation a récemment jugé que la consultation du CHSCT (instance spécialisée) devait précéder celle du Comité d entreprise (instance généraliste) en matière de problèmes généraux intéressant les conditions de travail. (Cass. soc. 4-7-2012 n 11-19.678 ) S il existe plusieurs établissements et donc plusieurs CHSCT : - A ce jour, tous les CHSCT d établissement doivent être consultés. - ANI du 11 janvier 2013 : en cas de projet concerne plusieurs établissements ayant chacun leur CHSCT, une instance de coordination ad hoc issue des comités locaux sera créée. L ordre du jour des réunions ainsi que tout document devront être communiqués aux membres du CHSCT 15 jours au moins avant la date fixée pour la réunion (sous peine de délit d entrave au fonctionnement du CHSCT). L ordre du jour doit également être communiqué aux agents des services de prévention des organismes de sécurité sociale qui peuvent assister aux réunions du Comité. Il est également recommandé de communiquer l ordre du jour au médecin du travail et au responsable de la sécurité. 6

Problématiques liées à la mise en production du RSE Consultation du Comité d entreprise (Article L.2323-13 du Code du Travail) La mise en place d un RSE doit être précédée de la consultation : - du Comité d entreprise, - des Comités d établissement, - du Comité central d entreprise, Selon le niveau d implantation et d éventuelles spécificités. Un mois avant la réunion, les membres du Comité d entreprise doivent recevoir une note d information contenant : - des éléments d information sur le projet de RSE, - ses conséquences sur l emploi, la qualification, la rémunération, la formation et les conditions de travail, Un plan d adaptation devra également être présenté en cas de mesures importantes et rapides. La mise en place d un RSE étant complexe, il est recommandé d organiser deux réunions d information avec le Comité d entreprise Exemple de thèmes de la consultation de la 1ère réunion : Identiques à ceux présentés au CHSCT, sauf en ce qui concerne les questions relatives à la santé et à la sécurité des salariés qui seront abordés plus brièvement. Il semble important de présenter au Comité d entreprise les avantages du RSE: - Accélération de la gestion de projets, - Diffusion des bonnes pratiques, - Facilitation de l accès à l information, - Identification des compétences, - Valorisation des contribution des salariés, - Etc. Exemple de thèmes de la consultation de la 2nde réunion : Processus de mise en place du RSE : - Calendrier de la mise en place, - Modalités d information et de formation de salariés, - Rôle des managers dont il sera attendu une implication dans le cadre de la mise en place du RSE, - Avis du Comité d entreprise sur le projet. 7

Problématiques liées à la mise en production du RSE RSE et temps de travail Déterminer si tout ou partie du temps de travail consacré par les salariés à la plateforme communautaire peut recevoir la qualification de temps de travail effectif (i.e. si le RSE contient des parties plus «ludiques»). Dans l affirmative : - mettre en place un système destiné à encadrer le temps passé sur la plateforme, - s assurer du respect des durées maximales de travail. Exemples : déconnexion automatique après un certain temps, impossibilité d accès les week-end et jours fériés, système d alerte etc. La sensibilisation des managers à la problématique posée par le temps de travail et le RSE est cruciale RSE et évaluation des salariés Le RSE et l évaluation des salariés : le RSE aura-t-il un impact sur l évaluation des salariés? Leurs contributions sur le RSE feront-elles l objet d appréciations? Dans l affirmative, l employeur devra être en mesure de démontrer qu il a mis en œuvre toutes les mesures nécessaires à la formation des salariés pour pouvoir pénaliser ceux qui n utiliseraient pas le RSE de façon satisfaisante : - les salariés devront avoir reçu une formation complète sur l utilisation du RSE, - les publics n ayant pas l habitude des outils informatiques devront avoir reçu une formation plus poussée. Les représentants du personnel et les salariés devront avoir été informés de ce que le RSE peut devenir un outil d évaluation. RSE et risques psycho sociaux (stress et santé au travail) L introduction d un nouvel outil de travail peut être un facteur de stress pour les salariés et nécessite un temps d adaptation qui pourra être variable en fonction de chacun. Afin de limiter les effets de l introduction sur la santé des salariés, il conviendrait de prévoir, pendant un certain temps (2 ans par exemple), un suivi renforcé de la santé des salariés. Pour cela, une commission interne constituée de membres de comité d entreprise et du CHSCT pourrait être constituée et se réunir une fois par mois afin d évoquer les difficultés pouvant être rencontrés par les salariés avec le RSE et les conséquences sur leur santé. 8

Problématiques liées à la mise en production du RSE RSE et Liberté d expression Il conviendra de mettre en place une Charte de bonne conduite sur l utilisation du RSE afin d encadrer l usage de la liberté d expression des salariés. A noter: il est également possible de prévoir une black-list de mots clés (termes contraires aux bonnes mœurs) Leur liberté d expression pourra varier en fonction de l espace du RSE considéré (espace privé ou espace professionnel). Exemples: champs libres ou champs contraints (liste défilante, auto complétion) Lors des formations sur l utilisation du RSE, les salariés devront, en outre, être parfaitement informés des limites à leur liberté d expression. RSE et Données d identification du salarié Il conviendra de veiller à la cohérence entre les données personnelles figurant sur le profil du salarié et sur le fichier des RH Article 40 de la loi «Informatique et Libertés» L entreprise doit mettre en place des paramètres par défaut respectueux de la vie privée du salarié Exemple: respecter les principes de pertinence et de proportionnalité des informations diffusées dans le cas d une fiche profil préétablie En cas de départ d un salarié, l entreprise doit supprimer la diffusion de son profil. Toutefois, il doit conserver dans sa base archive des éléments du compte associé audit salarié Article 6 de la loi «LCEN» du 21 juin 2004 : conservation pendant 1 an des données d identification 9

RECOMMANDATIONS Quels sont les points à aborder avec les prestataires lors de la création d un RSE? Prévoir et rédiger un contrat avec le prestataire relatif à la mise en place d un RSE garantissant (i) une rédaction couvrant l intégralité des attentes et besoins et (ii) l obtention de garanties juridiques, techniques et financières nécessaire à un tel projet ; Obtenir communication de la police d assurance du prestataire ; Obtenir communication des analyses de risques (concernant la sécurité des données) ainsi que du Plan de Continuité d Activité (PCA) et du Plan de Reprise d Activité (PRA) ; Obtenir communication des certifications du prestataire (certification ISO 27001 et ISAE 3402 ) ; S assurer de la possibilité d insérer un clause d audit dans le contrat ; S assurer de l exacte localisation géographique des données (il est préférable que l ensemble des données soit localisées en France ou en Europe (hors UK) ; S assurer de la localisation technique des données (transit/solution d hébergement/stockage envisagé) ; S assurer des conditions de la récupération des données figurant sur la plateforme ; S assurer des conditions de la restauration des données en cours de contrat ; S assurer des conditions de restitution des données ; S assurer des conditions de réversibilité en cours de contrat ; Ne pas hésiter à solliciter les conseils et l assistance du Conseil habituel de la société en la matière. 10

CONTACT Claire BERNIER Avocat Associé ALTANA 45 rue de Tocqueville 75017 PARIS LD : 01 79 97 92 79 Fax : 01 79 97 97 69 cbernier@altanalaw.com 11