RGPD dans les enquêtes internes : bien traiter les données du lanceur d'alerte

Le RGPD (règlement (UE) 2016/679) ne vous interdit pas d'enquêter sur un signalement — il en définit les modalités. Vous traitez les données personnelles du lanceur d'alerte, de la personne mise en cause et des éventuels témoins sur une base licite (presque toujours l'intérêt légitime ou une obligation légale), vous ne collectez que ce dont l'enquête a réellement besoin, vous préservez la confidentialité de l'identité du lanceur d'alerte et vous supprimez les données dès qu'elles ne sont plus nécessaires. Se tromper ici n'est pas un détail : cela peut transformer une enquête légitime en violation de données à part entière.

Points clés

• Le RGPD autorise les enquêtes internes — la base légale est normalement l'intérêt légitime (article 6(1)(f)) ou une obligation légale (article 6(1)(c)), et non le consentement de la personne mise en cause.
• La personne mise en cause dispose d'un droit d'accès (article 15), mais celui-ci ne lui donne pas le droit de connaître l'identité du lanceur d'alerte — l'article 16 de la directive (UE) 2019/1937 et la limite des "droits et libertés d'autrui" protègent l'auteur du signalement.
• Vous pouvez différer l'information de la personne mise en cause sur le traitement de ses données lorsque cela compromettrait l'enquête (article 14(5)).
• Appliquez la minimisation des données (article 5(1)(c)) et la limitation de la conservation (article 5(1)(e)) — ne collectez que des données pertinentes et supprimez-les à la clôture du dossier.
• Un canal de signalement nécessite presque toujours une analyse d'impact relative à la protection des données (article 35) avant sa mise en service.

La base légale est l'intérêt légitime — pas le consentement

La première erreur des équipes conformité est de vouloir fonder une enquête sur le consentement. C'est impossible : la personne visée ne consentira pas librement à être enquêtée, et un consentement qui ne peut être refusé librement est invalide au titre du RGPD. Le traitement repose plutôt sur l'un de deux fondements :

• Intérêt légitime (article 6(1)(f)) — l'intérêt réel de l'organisation à détecter et prévenir les manquements, mis en balance avec les droits des personnes dont vous traitez les données. Ce test de mise en balance doit être documenté avant la mise en service du canal.
• Obligation légale (article 6(1)(c)) — lorsqu'une loi vous impose d'agir, comme l'obligation d'exploiter un canal de signalement et d'y donner suite au titre de la directive (UE) 2019/1937, ou les règles sectorielles relatives au blanchiment et à la délinquance financière.

Si un signalement touche des catégories particulières de données (santé, appartenance syndicale, opinions politiques, données relatives aux infractions), il vous faut une condition supplémentaire au titre de l'article 9 ou de l'article 10 — par exemple que le traitement est nécessaire à la constatation, à l'exercice ou à la défense d'un droit en justice. C'est précisément pour ce type de signalement — harcèlement, discrimination — que les canaux sont le plus utilisés.

Le droit d'accès de la personne mise en cause n'annule pas la confidentialité

Le conflit le plus vif dans toute enquête est le suivant : la personne mise en cause est elle aussi une personne concernée et, au titre de l'article 15, elle peut demander l'accès aux données personnelles que vous détenez sur elle — y compris les faits allégués. Traitée naïvement, une demande d'accès devient un moyen de démasquer le lanceur d'alerte.

Il n'en est rien. La confidentialité de l'identité du lanceur d'alerte est protégée par l'article 16 de la directive (UE) 2019/1937, et le RGPD lui-même limite le droit d'accès lorsqu'il porterait atteinte aux "droits et libertés d'autrui" — une limite que les lignes directrices 01/2022 du CEPD sur le droit d'accès abordent directement. En pratique, vous divulguez la substance de l'allégation à la personne mise en cause lorsque l'équité l'exige, mais vous occultez tout ce qui identifierait l'auteur du signalement — noms, fonction, dates ou détails que seule une personne précise pourrait connaître. Les transpositions nationales et les autorités de protection des données le confirment : l'identité du lanceur d'alerte n'est pas quelque chose que la personne mise en cause peut obtenir par une demande d'accès.

Vous pouvez aussi différer l'information de la personne mise en cause sur le traitement de ses données, au titre de l'article 14(5), lorsque la notification compromettrait gravement l'enquête — par exemple en alertant la personne visée avant que les preuves ne soient sécurisées. Il s'agit d'un report, non d'une exemption permanente : l'obligation renaît une fois le risque écarté.

Minimisation et conservation : ne collecter et ne garder que le nécessaire

Deux principes régissent le cycle de vie des données d'enquête :

• Minimisation des données (article 5(1)(c)) — ne réunissez que des données adéquates, pertinentes et limitées à ce que l'enquête requiert. Copier en bloc l'ensemble de la messagerie d'un salarié "par précaution" est l'inverse de la minimisation.
• Limitation de la conservation (article 5(1)(e)) — ne conservez les données que le temps nécessaire. L'article 18 de la directive (UE) 2019/1937 confirme que les registres des signalements ne sont pas conservés plus longtemps que nécessaire et proportionné.

La règle pratique : les signalements qui s'avèrent infondés ou manifestement non pertinents doivent être supprimés rapidement, tandis que les dossiers avérés sont conservés le temps nécessaire pour se défendre en justice ou respecter une obligation légale de conservation — puis supprimés. Un calendrier de conservation défini, appliqué automatiquement, est bien plus sûr qu'une suppression au cas par cas.

Quand une analyse d'impact (AIPD) est requise

Un canal de signalement traite des informations sensibles sur des personnes identifiables, de façon systématique et souvent à l'échelle de tout l'effectif. Ce profil atteint généralement le seuil de l'article 35 pour une analyse d'impact relative à la protection des données — une analyse documentée des risques pour les personnes et des mesures qui les atténuent. La plupart des autorités de protection des données considèrent l'AIPD pour un dispositif d'alerte comme attendue plutôt qu'optionnelle ; réalisez-la donc avant le lancement, et non après un incident.

C'est le même travail de fond que celui requis pour le canal lui-même. Si vous cartographiez encore les personnes concernées et les délais légaux applicables, notre guide sur la directive européenne sur les lanceurs d'alerte couvre les obligations qui accompagnent ces devoirs RGPD.

Comment Vaelo transforme une demande d'accès en non-événement

Dès qu'une personne mise en cause exerce son droit d'accès au titre de l'article 15, le risque dans la plupart des organisations est manuel : quelqu'un doit penser à retirer chaque détail susceptible de désigner le lanceur d'alerte avant que le dossier ne sorte. L'espace de travail des dossiers de Vaelo rend cette étape structurelle plutôt qu'un test de mémoire — les enquêteurs exportent une copie expurgée du dossier dont les champs identifiant le lanceur d'alerte sont masqués automatiquement, de sorte que répondre à une demande d'accès ne devient jamais le moment où un lanceur d'alerte est démasqué. La messagerie anonyme bidirectionnelle garde l'identité du lanceur d'alerte hors des notes du dossier dès le premier message, et l'accès basé sur les rôles et journalisé limite qui peut même voir la version non expurgée. Le résultat est un flux d'enquête défendable au regard des deux textes à la fois — disponible dans les 24 langues officielles de l'UE.

Foire aux questions

Quelle est la base légale du traitement de données dans une enquête interne ? Presque toujours l'intérêt légitime de l'organisation (article 6(1)(f) du RGPD) ou une obligation légale (article 6(1)(c)) — par exemple l'obligation d'exploiter un canal au titre de la directive (UE) 2019/1937. Une enquête sur un signalement ne doit pas reposer sur le consentement de la personne mise en cause.

La personne mise en cause peut-elle accéder au signalement au titre du RGPD ? Elle dispose d'un droit d'accès au titre de l'article 15 du RGPD, mais celui-ci ne s'étend pas à la révélation de l'identité du lanceur d'alerte. L'article 16 de la directive (UE) 2019/1937 et la limite des "droits et libertés d'autrui" permettent d'occulter les informations qui l'identifieraient.

Faut-il une AIPD pour un canal de signalement ? Dans la plupart des cas, oui. Un dispositif d'alerte traite des données sensibles sur des personnes identifiables, souvent à grande échelle, ce qui atteint généralement le seuil de l'article 35 du RGPD — une analyse d'impact relative à la protection des données est donc attendue avant la mise en service.

Combien de temps peut-on conserver les données d'une enquête interne sous RGPD ? Uniquement le temps nécessaire et proportionné (article 5(1)(e) du RGPD et article 18 de la directive (UE) 2019/1937). Les données issues de signalements infondés ou manifestement non pertinents doivent être supprimées rapidement, et non conservées par défaut.