Dejan Jasnic · Cofondateur et responsable conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil de l’ACFE Swiss Chapter
Dans la plupart des cas, oui. Un dispositif d’alerte traite des données sensibles concernant les lanceurs d’alerte, les personnes visées et les témoins : il remplit donc en général le critère du RGPD d’un traitement « susceptible d’engendrer un risque élevé », qui impose une analyse d’impact relative à la protection des données (AIPD). Certains pays le prévoient expressément : le décret italien sur les lanceurs d’alerte exige une AIPD et la CNIL range les dispositifs d’alerte professionnelle parmi les traitements pour lesquels elle est obligatoire. Là où aucun texte ne le dit, les critères de risque élevé des autorités de contrôle mènent à la même conclusion. L’AIPD doit être réalisée avant la mise en service du dispositif et revue à chaque évolution.
Ce guide explique quand une AIPD est requise, ce qu’elle doit couvrir pour un canal de signalement et les lacunes les plus fréquentes. Pour le cadre juridique plus large, voir notre guide sur la législation sur les lanceurs d’alerte dans l’UE.
au canal
Un canal de signalement conçu autour de la confidentialité. Trusty Whistleblowing vous offre une boîte de réception anonyme à double sens, un journal d’audit complet, des durées de conservation configurables et un accord de traitement des données pour chaque client.
Pourquoi un dispositif d’alerte est une question de protection des données
Un dispositif d’alerte sert à recueillir des informations sur d’éventuels manquements. Ces informations sont presque toujours des données à caractère personnel : sur la personne qui signale, la personne mise en cause, et les collègues ou témoins cités au fil du signalement.
Trois caractéristiques rendent ce traitement sensible :
- Catégories particulières de données et données pénales. Les signalements peuvent révéler l’état de santé, l’appartenance syndicale ou la vie sexuelle, qui sont des catégories particulières de données au sens de l’article 9 du RGPD. Beaucoup de signalements décrivent des infractions possibles, ce qui fait intervenir l’article 10 sur les données relatives aux condamnations pénales et aux infractions.
- Des personnes qui ne savent pas qu’elles sont citées. La personne concernée par un signalement l’apprend généralement tard, voire pas du tout, et a peu de contrôle sur ce qui est enregistré à son sujet.
- Une obligation légale de confidentialité. L’article 16 de la directive (UE) 2019/1937 exige que l’identité de l’auteur du signalement ne soit pas divulguée au-delà du personnel autorisé qui traite les signalements, sans son consentement explicite. Cela couvre aussi toute information permettant de déduire son identité.
La directive précise aussi que les données à caractère personnel manifestement non pertinentes pour un signalement ne doivent pas être collectées, ou doivent être supprimées sans retard injustifié si elles ont été collectées par accident (article 17). Ces obligations doivent être intégrées au canal. C’est dans l’AIPD que vous montrez comment.
Quand une AIPD est requise
L’article 35(1) du RGPD exige une AIPD avant tout traitement susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. L’article 35(3) énumère trois cas où elle est toujours requise, dont le traitement à grande échelle de données particulières ou de données relatives à des infractions pénales.
Pour tout le reste, les lignes directrices du groupe de travail « Article 29 » sur les AIPD (WP248 rev.01) définissent neuf critères. En règle générale, un traitement qui en remplit deux nécessitera, dans la plupart des cas, une AIPD. Un dispositif d’alerte en remplit généralement au moins deux : des données sensibles ou hautement personnelles et des personnes concernées vulnérables, une catégorie qui, selon les lignes directrices, inclut les salariés.
Dans certains pays, des règles nationales tranchent la question. Chaque autorité de protection des données (APD) doit publier une liste des traitements qui nécessitent une AIPD (article 35(4) du RGPD). Notre vérification des listes et des orientations associées a montré :
Pays | Position sur les dispositifs d’alerte | Source |
|---|---|---|
France | La liste de la CNIL inclut les traitements visant à gérer les alertes et signalements professionnels | CNIL Délibération n° 2018-327 |
Pologne | La liste de l’UODO cite, à titre d’exemple, les systèmes de signalement d’irrégularités (whistleblowing) | Liste AIPD de l’UODO |
Italie | Non mentionné sur la liste du Garante, mais le décret lanceurs d’alerte exige que le modèle de signalement soit fondé sur une AIPD | Décret législatif 24/2023, article 13(6) |
Allemagne | Non mentionné sur la liste nationale, mais l’orientation de la DSK sur les hotlines de lanceurs d’alerte indique qu’une AIPD est nécessaire en raison du risque particulièrement élevé | DSK Orientierungshilfe (2018) |
Espagne, Belgique, Pays-Bas, Irlande | Non mentionné sur les listes nationales : les critères généraux s’appliquent | Listes nationales d’AIPD |
Si vous concluez qu’une AIPD n’est pas nécessaire, documentez votre raisonnement. Les groupes qui exploitent un seul canal dans plusieurs pays doivent vérifier chaque règle nationale : notre guide sur les lanceurs d’alerte pour les employeurs multi-pays explique comment faire.
un accès maîtrisé
Éloignez les signalements des personnes qui ne devraient pas les voir. Trusty propose le SSO sur tous les forfaits, l’authentification à deux facteurs dès l’offre Standard et des autorisations par rôle avec Advanced, avec un journal d’audit complet de qui a fait quoi.
Ce que l’AIPD d’un dispositif d’alerte doit couvrir
L’article 35(7) du RGPD fixe le contenu minimal : une description systématique du traitement et de ses finalités, une évaluation de la nécessité et de la proportionnalité, une évaluation des risques pour les personnes concernées, et les mesures pour traiter ces risques. Pour un canal de signalement, passez en revue ces points :
- Finalité et base juridique. Recevoir et traiter les signalements au titre de votre loi nationale sur les lanceurs d’alerte. Pour les employeurs tenus de disposer d’un canal, il s’agit généralement du respect d’une obligation légale.
- Catégories de données. Identité et coordonnées si l’auteur du signalement les fournit, contenu du signalement, preuves, notes d’entretien, et toute donnée particulière ou donnée relative à des infractions pénales.
- Droits d’accès et rôles. Nommez les rôles : le gestionnaire de signalement, un suppléant en cas de conflit d’intérêts, les enquêteurs. Les autres personnes, y compris l’informatique et la direction, ne devraient pas avoir d’accès de routine.
- Durées de conservation. Fixez une durée pour chaque étape. L’Italie autorise la conservation des enregistrements pendant au plus cinq ans à compter de l’issue finale. L’Espagne exige la suppression des données du système après trois mois si aucune enquête n’a été ouverte, sauf si elles sont conservées pour démontrer le fonctionnement du système, et fixe une limite absolue de dix ans. Votre politique de lanceurs d’alerte doit indiquer la durée que vous choisissez.
- Droits de l’auteur du signalement et de la personne concernée. Comment vous informez les personnes au titre des articles 13 et 14 du RGPD, quand l’information de la personne concernée peut être différée, et comment les demandes d’accès sont traitées sans révéler l’auteur du signalement.
- Sécurité. Chiffrement, authentification, journalisation, lieu d’hébergement, et comment les auteurs de signalement anonymes restent anonymes.
- Sous-traitants. Si un éditeur de logiciel héberge le canal, il agit en tant que sous-traitant et vous avez besoin d’un contrat au titre de l’article 28 du RGPD. Le décret italien l’exige expressément.
Comment mener une AIPD en pratique
- Cartographier le processus. Suivez un signalement depuis le dépôt jusqu’à la suppression, y compris les signalements oraux et les réunions.
- Impliquer le DPO tôt. L’article 35(2) du RGPD exige que le responsable du traitement sollicite l’avis du délégué à la protection des données (DPO) lorsqu’il en a désigné un.
- Identifier les risques. Par exemple : l’auteur du signalement est identifié via des métadonnées, un manager mis en cause peut lire le signalement, ou les données sont conservées indéfiniment.
- Choisir les mesures. Associez chaque risque à un contrôle et consignez qui en est responsable.
- Valider et réexaminer. La direction accepte le risque résiduel sur avis du DPO. Réexaminez l’AIPD lorsque vous changez de prestataire, ajoutez un pays ou ouvrez un nouveau canal.
En Italie, les lignes directrices 2025 de l’ANAC, l’autorité nationale anticorruption, ajoutent deux points utiles. Le responsable du traitement peut s’appuyer sur l’assistance de l’éditeur de logiciel pour l’AIPD. Et l’e-mail ordinaire ou l’e-mail certifié (PEC) est jugé, à lui seul, insuffisant pour protéger la confidentialité, sauf si des contre-mesures spécifiques et justifiées sont identifiées dans l’AIPD. Pour une vue d’ensemble, voir protection des données et conformité.
Lacunes fréquentes
- Conservation non définie. « Aussi longtemps que nécessaire » n’est pas une durée de conservation. Fixez-en une pour chaque étape et assurez-vous que le système l’applique.
- Trop de personnes ont accès. Les boîtes partagées, les boîtes RH et les comptes administrateur donnent souvent à plus de personnes accès aux signalements que ne le permet la règle sur le personnel autorisé.
- Pas d’accord de sous-traitance. Utiliser un prestataire sans contrat au titre de l’article 28 est une lacune en soi.
- La personne concernée est oubliée. Beaucoup d’AIPD se concentrent sur l’auteur du signalement. La personne citée dans un signalement a aussi des droits, et l’analyse doit expliquer comment ils sont respectés.
- Rédigée une fois, jamais réexaminée. Une AIPD réalisée au lancement du canal ne reflétera pas de nouveaux pays, de nouveaux gestionnaires ou un nouveau prestataire.
Comment Trusty Whistleblowing aide
Trusty Whistleblowing donne aux contrôles qu’une AIPD examine un ancrage concret. Les données sont hébergées dans un centre de données certifié ISO 27001 en Allemagne, les connexions et les communications sont chiffrées, et aucune adresse IP n’est stockée. Les auteurs de signalement peuvent rester anonymes et poursuivre l’échange via une boîte de réception sécurisée.
Chaque forfait inclut le SSO, un journal d’audit complet et des dossiers inviolables, avec l’authentification à deux facteurs à partir du forfait Standard et des autorisations par rôle avec Advanced. Les durées de conservation sont configurables, avec des rappels de suppression, et un accord de traitement des données est disponible pour chaque client.
Vous cherchez un logiciel de signalement ? Trusty met en place un canal de signalement interne à partir de 49 € par mois.
Cet article est une information générale, pas un conseil juridique. Sources : Règlement (UE) 2016/679 (RGPD) ; Directive (UE) 2019/1937 ; Groupe de travail « Article 29 », WP248 rev.01 ; CNIL, liste des traitements nécessitant une AIPD ; Liste AIPD de l’UODO ; Liste AIPD du Garante ; Décret législatif 24/2023 ; DSK, Orientierungshilfe Whistleblowing-Hotlines ; Liste AIPD de l’AEPD ; Ley 2/2023 ; ANAC, Linee Guida n. 1/2025.
Questions fréquentes
Dans certains pays, elle est exigée explicitement, par exemple en Italie au titre du décret législatif 24/2023 et en France via la liste de la CNIL. Ailleurs, un canal de signalement remplit généralement au moins deux des critères de risque élevé des régulateurs, ce qui signifie, dans la plupart des cas, qu’une AIPD est requise.
C’est au responsable du traitement, l’organisation qui exploite le canal, de la réaliser. Il doit solliciter l’avis de son délégué à la protection des données lorsqu’il en a désigné un, et peut demander à l’éditeur de logiciel les détails techniques.
Le RGPD ne fixe pas de durée précise : ce sont donc le droit national et votre AIPD qui tranchent. L’Italie autorise jusqu’à cinq ans à compter de l’issue finale. L’Espagne fixe une limite absolue de dix ans et exige la suppression après trois mois si aucune enquête n’a été ouverte.
Oui, en principe, mais il peut être restreint pour protéger l’identité de l’auteur du signalement. La CNIL en France et la DSK en Allemagne confirment toutes deux ce droit tout en permettant de ne pas divulguer l’identité de l’auteur du signalement, et le droit italien le limite lorsqu’il porterait atteinte à la confidentialité de l’auteur du signalement.
Non. L’organisation reste le responsable du traitement et doit toujours réaliser l’AIPD. Le prestataire agit en tant que sous-traitant dans le cadre d’un contrat au titre de l’article 28 et peut fournir les informations techniques dont vous avez besoin.
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts de la conformité.