L'employeur peut-il confier la gestion du canal de signalement à un prestataire externe ?
Réponse courte
Oui. La loi prévoit expressément que les canaux de signalement peuvent être gérés en interne par une personne ou un service désigné, ou fournis en externe par un tiers. Plateforme spécialisée, cabinet d'avocats ou société d'audit peuvent ainsi recevoir et instruire les signalements pour le compte de l'entité.
L'externalisation ne crée aucun régime allégé. Les mesures de sauvegarde et les exigences de l'article 7 s'appliquent au tiers mandaté comme à l'entité elle-même : sécurité du canal, accusé sous sept jours, instructeur impartial, suivi diligent et retour d'information dans les trois mois.
Elle ne déplace pas davantage la responsabilité. Le manquement reste imputable à l'entité, seule visée par l'amende administrative, et le prestataire agit en outre comme sous-traitant au sens du règlement général sur la protection des données.
Définition
L'externalisation du canal consiste à confier à un tiers, par mandat, la réception des signalements et tout ou partie de leur suivi. La loi la place sur le même plan que la gestion interne, sans conditionner le recours à un agrément, à une taille d'entreprise ou à une autorisation préalable.
Elle se distingue de la mutualisation, qui suppose un partage de ressources entre entités du secteur privé comptant chacune entre 50 et 249 travailleurs. La première ouvre à tous, la seconde est réservée à cette tranche d'effectif.
Conditions d’exercice
Le tiers mandaté hérite des obligations de l'entité, mais l'entité conserve celles que la loi met à sa charge propre.
| Élément | Détail |
|---|---|
| Fondement | Les canaux peuvent être gérés en interne ou fournis en externe par un tiers (art. 6 (4)) |
| Garanties transférées | Les mesures de sauvegarde et les exigences de l'article 7 (1) s'appliquent au tiers mandaté (art. 6 (4)) |
| Obligations conservées | Confidentialité, retour d'information et remédiation restent dues par l'entité |
| Impartialité | Le service désigné, interne ou externe, doit être impartial et compétent (art. 7 (1), 3°) |
| Sécurité du canal | Conception garantissant la confidentialité et empêchant l'accès des personnes non autorisées (art. 7 (1), 1°) |
| Données personnelles | Traitement soumis au règlement général sur la protection des données et à la loi modifiée du 1er août 2018 (art. 23 (1)) |
Modalités pratiques
Le contrat de prestation devient la pièce maîtresse du dispositif : ce qu'il ne prévoit pas, la loi ne le supplée pas.
| Aspect | Détail |
|---|---|
| Périmètre du mandat | Réception seule, ou réception et suivi ; l'entité doit savoir qui accuse réception et qui instruit |
| Délai de transmission | À fixer contractuellement ; les sept jours de l'accusé courent depuis la réception par le canal, non depuis l'information de l'entité (art. 7 (1), 2°) |
| Accès aux signalements | Réservé aux personnes autorisées, y compris chez le prestataire (art. 7 (1), 1°) |
| Signalements oraux | Enregistrement ou procès-verbal soumis au consentement de l'auteur et à son droit de vérification (art. 23 (3) à (5)) |
| Sous-traitance de données | Le prestataire agit comme sous-traitant, le traitement restant soumis au règlement général sur la protection des données (art. 23 (1)) |
| Sanction | L'amende administrative de 1 500 à 250 000 euros frappe l'entité défaillante, non le prestataire (art. 18 (5)) |
Pratiques et recommandations
Le piège du calendrier est le plus courant. Les sept jours courent depuis l'arrivée du signalement dans le canal, c'est-à-dire chez le prestataire ; si le contrat ne l'oblige pas à alerter l'entité sans délai, celle-ci découvre le dossier au bout de trois semaines et se trouve déjà en défaut. Une clause imposant au prestataire d'alerter l'entité dès la réception règle la question.
Externaliser le canal a un effet souvent recherché et rarement formulé : il crée une distance perçue avec la hiérarchie, ce qui augmente le nombre de signalements sérieux dans les structures où la direction est elle-même susceptible d'être mise en cause. C'est l'argument le plus solide face à une direction qui trouve le budget élevé.
Deux points échappent au prestataire quoi qu'il arrive. La remédiation, parce qu'elle suppose un pouvoir de décision dans l'entreprise, et la charge de la preuve en cas de représailles : c'est l'entité qui devra établir les motifs de la mesure prise à l'encontre de l'auteur, avec les pièces qu'elle détient et non celles du prestataire.
Cadre juridique
| Référence | Objet |
|---|---|
| Loi du 16 mai 2023, art. 6 (4) | Gestion interne ou externalisation du canal à un tiers, extension des garanties au tiers mandaté |
| Loi du 16 mai 2023, art. 6 (3) | Mutualisation réservée aux entités privées de 50 à 249 travailleurs |
| Loi du 16 mai 2023, art. 7 (1) | Exigences applicables à la procédure, y compris lorsqu'elle est confiée à un tiers |
| Loi du 16 mai 2023, art. 22 | Devoir de confidentialité sur l'identité de l'auteur de signalement |
| Loi du 16 mai 2023, art. 23 (1) | Renvoi au règlement général sur la protection des données et à la loi modifiée du 1er août 2018 |
| Loi du 16 mai 2023, art. 18 (5) | Amende administrative de 1 500 à 250 000 euros à la charge de l'entité |
Note
La loi autorise sans réserve la gestion du canal par un tiers, mais elle lui impose les mêmes garanties qu'à l'entité. Celle-ci reste seule débitrice de la remédiation et seule exposée à l'amende administrative. Le contrat doit donc fixer le délai de transmission des signalements, faute de quoi le délai de sept jours s'écoule à l'insu de l'employeur.