La conservation des signalements sous format papier est-elle conforme au RGPD au Luxembourg ?
Réponse courte
La conservation des signalements internes sous format papier est conforme au RGPD au Luxembourg, à condition de respecter les principes de licéité, de sécurité, de confidentialité et de limitation de la durée de conservation. Les dossiers doivent être stockés dans des armoires fermées à clé, dans des locaux sécurisés, avec un accès strictement réservé aux personnes habilitées, et la traçabilité des accès doit être assurée.
L’employeur doit également informer les personnes concernées, définir une politique de conservation adaptée, réaliser une analyse d’impact relative à la protection des données, et détruire les documents de manière sécurisée à l’issue du délai de conservation. Toutes ces mesures doivent être documentées et justifiables auprès de la CNPD.
Définition
La conservation des signalements internes désigne l’archivage, par l’employeur, des documents relatifs à des alertes professionnelles (whistleblowing) effectuées par des salariés ou des tiers. Ces signalements concernent généralement des faits de corruption, de fraude, de harcèlement ou toute violation grave du droit. La conservation sous format papier implique l’utilisation de supports physiques pour stocker des informations à caractère personnel et potentiellement sensibles, dans le cadre d’un dispositif de recueil et de traitement des signalements.
Conditions d’exercice
La conservation des signalements, quel que soit le support, doit respecter les principes du Règlement (UE) 2016/679 (RGPD) et les dispositions du Code du travail luxembourgeois. Le traitement doit être licite, loyal, transparent, et limité à la finalité de gestion des signalements. La conservation sous format papier est autorisée à condition de garantir la confidentialité, l’intégrité et la sécurité des données. L’accès doit être strictement réservé aux personnes habilitées, et la durée de conservation ne doit pas excéder ce qui est nécessaire à l’instruction du signalement et au respect des obligations légales.
Modalités pratiques
Pour assurer la conformité, les dossiers papier doivent être conservés dans des armoires fermées à clé, situées dans des locaux sécurisés, avec un accès restreint aux seules personnes autorisées. Un registre des accès et des consultations doit être tenu pour assurer la traçabilité. La durée de conservation doit être définie dans une politique interne, limitée au temps strictement nécessaire à la gestion du signalement, à la clôture de l’enquête et à l’épuisement des voies de recours. À l’issue de ce délai, les documents doivent être détruits de manière sécurisée (déchiquetage, incinération), et la destruction doit être documentée.
Pratiques et recommandations
Il est recommandé de privilégier les supports électroniques sécurisés, mais la conservation sous format papier reste possible si les mesures de sécurité sont adaptées. L’employeur doit informer les personnes concernées de la conservation de leurs données, des mesures de sécurité mises en place et de leurs droits (accès, rectification, effacement). Une analyse d’impact relative à la protection des données (AIPD) est obligatoire pour les dispositifs de signalement, compte tenu de la nature sensible des données traitées. La politique de conservation doit être régulièrement revue pour garantir sa conformité avec la législation luxembourgeoise et les recommandations de la CNPD. L’égalité de traitement, la traçabilité des opérations et l’encadrement humain du dispositif doivent être assurés.
Cadre juridique
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment articles 5, 6, 9, 32, 35 et 30
- Code du travail luxembourgeois, articles L.261-1 à L.261-4 (protection des lanceurs d’alerte)
- Loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données
- Loi du 16 mai 2023 relative à la protection des personnes qui signalent des violations du droit national
- Lignes directrices de la CNPD sur la gestion des alertes professionnelles et la sécurité des données
Note
La conservation sous format papier expose à des risques accrus de perte, de vol ou d’accès non autorisé. Il est impératif de documenter précisément les mesures de sécurité, la traçabilité des accès et la destruction des documents, et de pouvoir en justifier à tout moment auprès de la CNPD en cas de contrôle.