Comment protéger la confidentialité de l'identité de l'auteur d'un signalement ?
Réponse courte
L'article 22 de la loi du 16 mai 2023 pose une interdiction, non une obligation de moyens : l'identité de l'auteur d'un signalement ne peut être divulguée sans son consentement exprès à toute personne autre que les membres du personnel autorisés compétents pour recevoir les signalements ou en assurer le suivi. La protection s'étend à toute information permettant de déduire cette identité, directement ou indirectement.
Une seule dérogation existe, et elle est étroite. La divulgation suppose une obligation nécessaire et proportionnée imposée par la loi modifiée du 8 juin 2004 sur la liberté d'expression dans les médias ou par le droit de l'Union, dans le cadre d'enquêtes menées par des autorités nationales ou de procédures judiciaires. Aucune demande interne ne l'ouvre.
Le manquement se paie. L'atteinte à la confidentialité est l'un des cinq motifs de l'amende administrative de l'article 18 (5), soit 1 500 à 250 000 euros, dont le maximum est doublé en cas de récidive dans les 5 ans.
Définition
Le devoir de confidentialité interdit la divulgation de l'identité de l'auteur d'un signalement en dehors d'un cercle défini par la fonction, celui des membres du personnel autorisés à recevoir les signalements ou à en assurer le suivi. Il se distingue de l'anonymat, qui suppose que l'identité n'ait jamais été communiquée et que la loi n'impose pas d'accepter. Il ne protège pas seulement le nom : il couvre également tout élément à partir duquel l'identité peut être déduite, ce qui inclut les circonstances mêmes du signalement.
Conditions d’exercice
L'interdiction est de principe, et les seuls tempéraments sont ceux que le texte énumère.
| Élément | Détail |
|---|---|
| Cercle autorisé | Membres du personnel autorisés compétents pour recevoir les signalements ou pour en assurer le suivi (art. 22 (1)) |
| Étendue de la protection | Identité de l'auteur et toute autre information permettant de la déduire directement ou indirectement |
| Levée volontaire | Consentement exprès de l'auteur, seul mode de divulgation à un tiers |
| Dérogation légale | Obligation nécessaire et proportionnée imposée par la loi modifiée du 8 juin 2004 ou le droit de l'Union, dans le cadre d'enquêtes d'autorités nationales ou de procédures judiciaires (art. 22 (2)) |
| Secrets d'affaires | Les autorités compétentes ne les utilisent ni ne les divulguent au-delà de ce qui est nécessaire au suivi (art. 22 (4)) |
| Auteur anonyme | S'il est identifié par la suite et subit des représailles, il bénéficie de la même protection (art. 4 (2)) |
Modalités pratiques
La confidentialité se construit dans la conception du canal, avant d'être une consigne donnée aux personnes qui le gèrent.
| Aspect | Détail |
|---|---|
| Conception du canal | Conçu, établi et géré de manière sécurisée, garantissant la confidentialité de l'identité de l'auteur et de tout tiers mentionné et empêchant l'accès du personnel non autorisé (art. 7 (1), point 1°) |
| Gestion par un tiers | Les mêmes exigences s'appliquent au prestataire mandaté (art. 6 (4)) |
| Sauvegardes en cas de dérogation | L'auteur est informé avant la divulgation, sauf risque de compromettre l'enquête ou la procédure ; explication écrite des motifs par l'autorité compétente (art. 22 (3)) |
| Consignation des échanges oraux | Enregistrement durable, transcription ou procès-verbal, soumis à la vérification et à la signature de l'auteur (art. 23 (3) à (5)) |
| Données collectées | Les données manifestement non pertinentes ne sont pas collectées ou sont effacées sans retard injustifié (art. 23 (2)) |
| Autorité de sanction | La CNPD et les autres autorités de l'article 18 (3) prononcent directement l'amende ; l'ITM transmet le dossier à l'Office des signalements (art. 18 (4)) |
Pratiques et recommandations
Ce que le texte protège n'est pas le nom mais la déductibilité. Annoncer aux équipes qu'un signalement a été reçu, en précisant le service et la période concernés, suffit dans une unité de six personnes à désigner son auteur aussi sûrement qu'une divulgation directe, et tombe sous la même interdiction.
La demande de confrontation formulée par la personne mise en cause est le point de rupture le plus fréquent. Elle n'ouvre pas la dérogation de l'article 22 (2), qui exige une obligation légale et un cadre d'enquête d'autorité ou de procédure judiciaire ; les droits de la défense y sont mentionnés comme la finalité d'une divulgation ordonnée dans ce cadre, non comme un motif de la décider en interne.
Le cercle autorisé doit être défini par avance et se restreindre à la fonction, non au grade. Un directeur qui n'assure ni la réception ni le suivi des signalements n'appartient pas à ce cercle, et lui transmettre le dossier constitue une atteinte à la confidentialité au même titre qu'une fuite vers l'extérieur.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 22 (1) de la loi du 16 mai 2023 | Interdiction de divulguer l'identité sans consentement exprès, hors des membres du personnel autorisés |
| Art. 22 (2) | Dérogation limitée aux obligations légales dans le cadre d'enquêtes d'autorités ou de procédures judiciaires |
| Art. 22 (3) | Information préalable de l'auteur et explication écrite des motifs de la divulgation |
| Art. 22 (4) | Limitation de l'usage des secrets d'affaires par les autorités compétentes |
| Art. 7 (1), point 1° | Conception sécurisée du canal empêchant l'accès du personnel non autorisé |
| Art. 6 (4) | Application des mêmes exigences au tiers mandaté pour gérer le canal |
| Art. 4 (2) | Protection de l'auteur anonyme identifié par la suite |
| Art. 18 (3) à (5) | Amende administrative de 1 500 à 250 000 euros, maximum doublé en cas de récidive dans les 5 ans |
Note
La loi n'oblige pas à accepter les signalements anonymes, mais elle interdit d'exploiter une identité connue en dehors du cercle autorisé. Ces deux règles sont indépendantes, et l'entité qui refuse l'anonymat assume une exigence de confidentialité d'autant plus stricte.