Faut-il déclarer le canal de signalement à la CNPD avant de le mettre en service ?
Réponse courte
Non. La loi du 16 mai 2023 ne prévoit aucune formalité auprès de la Commission nationale pour la protection des données avant l'ouverture d'un canal de signalement. Son article 23 se borne à renvoyer le traitement des données au règlement (UE) 2016/679 et à la loi modifiée du 1er août 2018, sans créer d'autorisation ni de déclaration.
Le régime de déclaration préalable des traitements a disparu avec l'entrée en application du RGPD, qui lui a substitué la responsabilité du responsable du traitement : celui-ci n'annonce plus son fichier, il doit être en mesure de démontrer sa conformité à tout moment.
La CNPD intervient dans le dispositif à un tout autre titre. Elle est l'une des vingt-trois autorités compétentes de l'article 18 (1) et figure parmi celles qui prononcent elles-mêmes l'amende administrative de 1 500 à 250 000 euros, sans passer par l'Office des signalements, notamment en cas d'atteinte à la confidentialité de l'identité d'un auteur de signalement.
Définition
Le traitement des données du canal de signalement englobe la collecte, la consignation, la consultation et la conservation des informations relatives à l'auteur du signalement, à la personne concernée et aux tiers mentionnés. La loi du 16 mai 2023 ne lui consacre qu'un article, qui pose un renvoi de principe au droit commun de la protection des données et n'ajoute que deux exigences propres : l'écartement des données manifestement non pertinentes et l'encadrement de la consignation des signalements oraux.
Conditions d’exercice
Aucune démarche préalable n'est due, mais trois obligations de fond s'imposent dès la première réception.
| Élément | Détail |
|---|---|
| Base du traitement | Renvoi au règlement (UE) 2016/679 et à la loi modifiée du 1er août 2018 relative à la protection des personnes physiques en matière pénale et de sécurité nationale (art. 23 (1)) |
| Données non pertinentes | Elles ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié (art. 23 (2)) |
| Signalements oraux | Consignation encadrée, avec droit de l'auteur de vérifier, rectifier et approuver la transcription par sa signature (art. 23 (3) à (5)) |
| Confidentialité | Interdiction de divulguer l'identité de l'auteur sans son consentement exprès, en dehors des membres du personnel autorisés (art. 22) |
| Durée de conservation | Aucune durée n'est fixée par la loi ; la limitation de la conservation du RGPD s'applique, appréciée au cas par cas |
| Formalité préalable | Aucune : ni déclaration, ni autorisation, ni enregistrement auprès de la CNPD |
Modalités pratiques
Le rôle de la CNPD dans ce dispositif est celui d'une autorité de signalement et de sanction, non d'un greffe.
| Aspect | Détail |
|---|---|
| Statut de la CNPD | Autorité compétente au point 6° de la liste de l'article 18 (1), pour les signalements relevant de ses missions |
| Pouvoir de sanction | Elle prononce directement l'amende administrative, sans transmission à l'Office des signalements (art. 18 (3)) |
| Manquements visés | Entrave à un signalement, refus ou fausseté des renseignements, atteinte à la confidentialité, refus de remédier, absence de canal interne |
| Montant | 1 500 à 250 000 euros, maximum doublé en cas de récidive dans les 5 ans (art. 18 (5)) |
| Demande de renseignements | Adressée par écrit à l'entité, en veillant à la confidentialité de l'identité de l'auteur du signalement (art. 18 (2)) |
| Recours de l'entreprise | Recours en réformation devant le tribunal administratif dans le mois de la notification (art. 18 (7)) |
Pratiques et recommandations
L'absence de formalité déplace le risque, elle ne le supprime pas. Ce que la CNPD peut reprocher à une entreprise n'est pas de ne pas s'être annoncée, mais d'avoir laissé fuiter l'identité d'un auteur de signalement, et elle dispose pour cela d'un pouvoir de sanction qu'elle exerce sans intermédiaire.
L'article 23 (2) est une règle de conception du formulaire avant d'être une règle d'archivage : les données manifestement non pertinentes ne doivent pas être collectées. Un questionnaire qui réclame l'ancienneté, le service ou la situation familiale de la personne visée, alors que le signalement porte sur un fait précis, crée l'irrégularité à la source, avant même toute conservation.
Aucune durée de conservation ne peut être invoquée au titre de la loi de 2023 : elle n'en fixe aucune, et la CNPD n'en publie pas. Les durées annoncées dans certaines politiques internes, deux mois ou cinq ans, n'ont pas de fondement textuel ; l'horizon utile se déduit des voies de recours ouvertes à l'auteur du signalement, à commencer par l'action en réparation de l'article 26 (3).
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 23 (1) de la loi du 16 mai 2023 | Renvoi au règlement (UE) 2016/679 et à la loi modifiée du 1er août 2018 |
| Art. 23 (2) | Non-collecte et effacement sans retard injustifié des données manifestement non pertinentes |
| Art. 23 (3) à (5) | Consignation des signalements oraux et droit de vérification par leur auteur |
| Art. 22 | Devoir de confidentialité sur l'identité de l'auteur du signalement |
| Art. 18 (1), point 6° | La CNPD comme autorité compétente pour les signalements externes |
| Art. 18 (3) et (5) | Amende administrative prononcée directement par la CNPD, de 1 500 à 250 000 euros |
| Art. 18 (7) | Recours en réformation devant le tribunal administratif dans le mois |
| Règlement (UE) 2016/679 | Principes applicables au traitement, dont la limitation de la conservation |
Note
La saisine de la CNPD n'est jamais une condition de mise en service du canal ; elle n'intervient que comme destinataire d'un signalement externe ou comme autorité de sanction. Une politique interne qui annonce une déclaration à la CNPD décrit une formalité qui n'existe plus.