Comment protéger les données personnelles issues d'un signalement au regard du RGPD ?
Réponse courte
La loi du 16 mai 2023 ne crée aucun régime dérogatoire : tout traitement effectué en son application obéit au règlement général sur la protection des données et, pour les traitements en matière pénale et de sécurité nationale, à la loi du 1er août 2018. Base légale, information des personnes, sécurité et registre des traitements s'appliquent donc au dispositif d'alerte comme à tout autre.
Deux règles lui sont propres. Les données manifestement non pertinentes ne doivent pas être collectées et, si elles le sont accidentellement, être effacées sans retard injustifié. La consignation d'un signalement oral n'est licite qu'avec le consentement de son auteur, qui peut vérifier, rectifier et approuver la transcription par sa signature.
Le devoir de confidentialité limite enfin les droits de la personne mise en cause : l'identité de l'auteur ne peut lui être communiquée sans le consentement exprès de celui-ci, sauf obligation légale nécessaire et proportionnée dans une enquête ou une procédure judiciaire.
Définition
Le dispositif d'alerte constitue un traitement de données à caractère personnel dont l'entité est responsable : il collecte l'identité de l'auteur, celle des personnes concernées et celle des tiers mentionnés dans le signalement. La loi renvoie pour l'essentiel au droit commun de la protection des données, sans définir de finalité ni de base légale spécifique.
Le devoir de confidentialité de l'article 22 se superpose à ce régime. Il porte non seulement sur le nom de l'auteur, mais sur toute autre information à partir de laquelle son identité peut être directement ou indirectement déduite.
Conditions d’exercice
Le régime combine les principes du règlement général et trois exigences propres à la loi de 2023.
| Élément | Détail |
|---|---|
| Texte applicable | Règlement général sur la protection des données et loi du 1er août 2018 relative aux traitements en matière pénale et de sécurité nationale (art. 23 (1)) |
| Minimisation | Les données manifestement non pertinentes ne sont pas collectées ou sont effacées sans retard injustifié (art. 23 (2)) |
| Confidentialité renforcée | Identité de l'auteur et toute information permettant de la déduire, sauf consentement exprès (art. 22 (1)) |
| Accès restreint | Canal empêchant l'accès des membres du personnel non autorisés (art. 7 (1), 1°) |
| Consignation des signalements oraux | Enregistrement ou transcription avec le consentement de l'auteur et droit de rectification et de signature (art. 23 (3) à (5)) |
| Secrets d'affaires | Les informations couvrant des secrets d'affaires ne sont pas utilisées au-delà de ce qui est nécessaire au suivi (art. 22 (4)) |
Modalités pratiques
Les demandes émanant de la personne mise en cause constituent le point de friction le plus fréquent du dispositif.
| Aspect | Détail |
|---|---|
| Demande d'accès de la personne concernée | L'identité de l'auteur ne peut lui être communiquée sans consentement exprès de ce dernier (art. 22 (1)) |
| Levée de la confidentialité | Seulement si une loi ou le droit de l'Union l'impose dans une enquête ou une procédure judiciaire, notamment pour les droits de la défense (art. 22 (2)) |
| Information préalable de l'auteur | Avant toute divulgation de son identité, sauf risque de compromettre l'enquête, avec explication écrite des motifs (art. 22 (3)) |
| Durée de conservation | Aucune durée légale ; le principe de limitation de la conservation du règlement général s'applique dossier par dossier |
| Sous-traitance | Le prestataire gérant le canal agit comme sous-traitant et reste soumis aux exigences de l'article 7 (art. 6 (4)) |
| Sanction | L'atteinte à la confidentialité expose à l'amende administrative de 1 500 à 250 000 euros (art. 18 (5)) |
Pratiques et recommandations
La demande d'accès de la personne mise en cause revient dans presque tous les dossiers, et la réponse est écrite dans la loi : son identité ne lui est pas communiquée, pas plus que les éléments permettant de la déduire. Le refus ne repose pas sur une appréciation d'opportunité mais sur l'article 22, ce qui change tout lorsqu'il faut le motiver par écrit.
L'effacement sans retard injustifié vise des données précises, celles qu'un signalement charrie sans qu'elles servent à quoi que ce soit — éléments de vie privée, données de santé, mentions de tiers étrangers aux faits. Trier à l'entrée, avant l'ouverture de l'enquête, évite de constituer un dossier qu'aucune finalité ne justifie et que rien n'autorisera à conserver.
Un point échappe souvent au responsable du traitement : la loi ne fixe aucune durée de conservation. Reprendre un délai forfaitaire trouvé dans un modèle étranger revient à écarter le seul critère applicable, celui de la durée strictement nécessaire, et à s'engager sur une échéance qu'un contentieux en cours rendra impossible à respecter.
Cadre juridique
| Référence | Objet |
|---|---|
| Loi du 16 mai 2023, art. 7 (1), 1° | Canal empêchant l'accès des membres du personnel non autorisés |
| Loi du 16 mai 2023, art. 22 | Devoir de confidentialité, conditions de sa levée et information préalable de l'auteur |
| Loi du 16 mai 2023, art. 23 (1) | Renvoi au règlement général sur la protection des données et à la loi du 1er août 2018 |
| Loi du 16 mai 2023, art. 23 (2) | Non-collecte et effacement sans retard injustifié des données non pertinentes |
| Loi du 16 mai 2023, art. 23 (3) à (5) | Consignation des signalements oraux et des rencontres, avec consentement et signature |
| Loi du 16 mai 2023, art. 18 (5) | Amende administrative de 1 500 à 250 000 euros pour atteinte à la confidentialité |
Note
Le dispositif d'alerte relève du droit commun de la protection des données, la loi du 16 mai 2023 n'y ajoutant que la minimisation renforcée, le formalisme de consignation des signalements oraux et le devoir de confidentialité. Ce dernier prime sur le droit d'accès de la personne mise en cause, dont l'identité de l'auteur reste protégée. Aucune durée de conservation n'étant fixée, elle doit être déterminée et justifiée par le responsable du traitement.