Malgré l’autorisation de la Cnil et un contrôle sur place de cette autorité ayant conclu à la régularité du dispositif d’alerte mis en place par l’entreprise Benoist Girard, la cour d’appel de Caen a confirmé le 23 septembre 2011 sa suspension, ordonnée par le TGI de Caen le 5 novembre 2009. La cour reproche à l’ancienne filiale du fabricant américain de matériel médical Stryker de permettre la dénonciation anonyme des faits qui s’écartent du champ autorisé par la délibération du 8 décembre 2005 de la Cnil.
Comme l’impose la loi américaine Sarbannes-Oxley de 2002, Stryker a mis en place un système d’alerte permettant aux salariés américains mais aussi à ceux des filiales étrangères de dénoncer les fraudes et malversations dont ils auraient connaissance. En France, ces systèmes sont licites, à condition toutefois de respecter la loi informatique et libertés. En application de ce texte, la délibération de la Cnil avait justement encadré la mise en place en France de tels dispositifs en limitant les domaines de dénonciation (comptabilité, finances, banque et lutte contre la corruption) et en excluant l’anonymat, sauf exception.

Le système d’alerte mondial de Stryker est fourni par un prestataire extérieur, Ethics Point, qui l’héberge sur son site internet. Pour se conformer à la loi française, deux rubriques litigieuses avaient été retirées du menu français : « questions d’intérêt vital pour l’entreprise » et « sujets d’inquiétude ». Mais elles restaient actives si, depuis le site américain, on visait la France dans la liste des pays proposés. De cette manière, il restait possible de dénoncer des faits qui n’entraient pas dans le cadre de la délibération de la Cnil. Par ailleurs, le système d’Ethics Point est conçu sur la base de l’anonymat. Celui-ci a été maintenu, malgré les recommandations.