La conservation des signalements sur support papier est-elle conforme à la loi ?
Réponse courte
Oui. La loi du 16 mai 2023 ne prescrit aucun support pour la conservation des signalements. La seule exigence de forme qu'elle formule vise la consignation des échanges oraux, qui doit être durable et récupérable : une transcription ou un procès-verbal signé y satisfait aussi bien qu'un fichier. L'obligation de stockage durable de l'article 17 pèse sur les canaux externes des autorités compétentes, non sur les entreprises.
Le support est d'ailleurs indifférent au regard de la contrainte principale, qui est l'accès. L'identité de l'auteur ne peut être divulguée sans son consentement exprès à quiconque en dehors des membres du personnel autorisés, et cette règle vaut pour une armoire comme pour un serveur.
Aucune durée de conservation n'est fixée par la loi. L'article 23 renvoie au règlement (UE) 2016/679 et à la loi modifiée du 1er août 2018, et n'impose que l'effacement sans retard injustifié des données manifestement non pertinentes recueillies accidentellement.
Définition
La conservation d'un signalement couvre le maintien, sur quelque support que ce soit, du document de réception, de la consignation des échanges oraux et des pièces du suivi. La loi ne l'organise pas comme un archivage réglementé mais comme une conséquence du traitement : le support doit permettre de retrouver l'information, en préserver la confidentialité et n'être accessible qu'aux personnes chargées de recevoir les signalements ou d'en assurer le suivi. Le papier n'appelle donc pas de régime propre, mais impose des mesures de sécurité de nature physique.
Conditions d’exercice
Les exigences de la loi portent sur la forme du document et sur les personnes qui peuvent y accéder, jamais sur le matériau du support.
| Élément | Détail |
|---|---|
| Forme durable et récupérable | Exigée pour l'enregistrement d'une conversation et pour les comptes rendus de rencontre (art. 23 (3) et (5)) |
| Transcription et procès-verbal | Admis en alternative à l'enregistrement, établis par le membre du personnel chargé du signalement (art. 23 (3) et (4)) |
| Approbation par l'auteur | Vérification, rectification et approbation par l'apposition de sa signature |
| Accès | Limité aux membres du personnel autorisés compétents pour recevoir les signalements ou en assurer le suivi (art. 22 (1)) |
| Informations dérivées | Même protection pour tout élément permettant de déduire directement ou indirectement l'identité de l'auteur |
| Stockage durable des canaux externes | Obligation propre aux autorités compétentes, afin de permettre des enquêtes complémentaires (art. 17 (2), point 2°) |
Modalités pratiques
Ce que la loi impose de retirer du dossier compte davantage que ce qu'elle impose d'y conserver.
| Aspect | Détail |
|---|---|
| Données non pertinentes | Non collectées ou, si elles l'ont été accidentellement, effacées sans retard injustifié (art. 23 (2)) |
| Durée de conservation | Aucune durée fixée par la loi ; principe de limitation de la conservation du RGPD, apprécié au cas par cas (art. 23 (1)) |
| Textes applicables | Règlement (UE) 2016/679 et loi modifiée du 1er août 2018 |
| Horizon contentieux | Action en nullité dans les quinze jours de la notification de la mesure, action en réparation ouverte au-delà (art. 26 (2) et (3)) |
| Sanction d'un accès indu | Amende administrative de 1 500 à 250 000 euros pour atteinte à la confidentialité, maximum doublé en cas de récidive dans les 5 ans (art. 18 (5)) |
| Autorité compétente en la matière | La CNPD prononce elle-même l'amende, sans transmission à l'Office des signalements (art. 18 (3)) |
Pratiques et recommandations
Le papier complique une seule obligation, mais c'est l'une des plus précises du texte. L'effacement sans retard injustifié des données manifestement non pertinentes suppose, sur un dossier physique, d'extraire ou d'occulter des pièces déjà classées, ce qu'un dossier électronique permet de faire de manière sélective et traçable. Sur papier, la seule parade réaliste est de ne pas verser au dossier ce qui n'a pas à y figurer.
L'exigence de signature de l'article 23 joue en sens inverse et plaide pour le support physique. L'auteur du signalement doit pouvoir vérifier, rectifier et approuver la transcription ou le procès-verbal par l'apposition de sa signature : un exemplaire papier signé constitue la preuve la plus simple que cette formalité a été respectée.
Le risque décisif n'est ni le format ni la durée, mais l'emplacement. Un dossier de signalement rangé avec le dossier personnel du salarié, ou dans l'armoire commune du service RH, devient accessible à des personnes qui ne sont pas autorisées au sens de l'article 22, et cette seule configuration caractérise l'atteinte à la confidentialité, que la CNPD peut sanctionner directement.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 23 (1) de la loi du 16 mai 2023 | Renvoi au règlement (UE) 2016/679 et à la loi modifiée du 1er août 2018 |
| Art. 23 (2) | Non-collecte et effacement sans retard injustifié des données manifestement non pertinentes |
| Art. 23 (3) à (5) | Forme durable et récupérable, transcription ou procès-verbal, approbation par signature de l'auteur |
| Art. 22 (1) | Interdiction de divulguer l'identité de l'auteur hors des membres du personnel autorisés |
| Art. 17 (2), point 2° | Stockage durable imposé aux canaux de signalement externe des autorités compétentes |
| Art. 18 (3) et (5) | Amende administrative de 1 500 à 250 000 euros, notamment pour atteinte à la confidentialité |
| Art. 26 (2) et (3) | Délai de quinze jours de l'action en nullité et action en réparation |
| Règlement (UE) 2016/679 | Principe de limitation de la conservation |
Note
Aucune durée de conservation ne peut se réclamer de la loi du 16 mai 2023, qui n'en fixe aucune, et les durées annoncées dans certaines politiques internes sont sans fondement textuel. La durée retenue doit être justifiée au regard de la finalité poursuivie et des recours ouverts à l'auteur du signalement.