Le canal de signalement peut-il être hébergé en dehors de l'UE ?
Réponse courte
Oui. La loi du 16 mai 2023 ne fixe aucune règle de localisation des données de signalement et n'interdit nulle part l'hébergement hors de l'Union. Son article 6 (4) autorise expressément à faire gérer le canal par un tiers, sans condition d'implantation géographique.
La contrainte vient d'ailleurs. L'article 23 renvoie l'ensemble du traitement des données au RGPD et à la loi du 1er août 2018 : un hébergement hors Union constitue un transfert vers un pays tiers, qui relève du chapitre V du RGPD et suppose soit une décision d'adéquation, soit des garanties appropriées telles que les clauses contractuelles types.
L'externalisation ne déplace pas la responsabilité. Les garanties de l'article 7 (1) — sécurité du canal, confidentialité de l'identité de l'auteur, exclusion des membres du personnel non autorisés — s'appliquent au tiers mandaté, et l'atteinte à la confidentialité expose l'entité à l'amende administrative de 1 500 à 250 000 euros de l'article 18 (5).
Définition
L'hébergement du canal désigne le lieu où sont stockées et traitées les informations issues des signalements, y compris les données à caractère personnel de l'auteur, des personnes concernées et des tiers mentionnés. La loi du 16 mai 2023 distingue le canal géré en interne par une personne ou un service désigné et le canal fourni en externe par un tiers, sans privilégier l'une ou l'autre formule.
Un hébergement situé hors de l'Espace économique européen qualifie juridiquement un transfert vers un pays tiers, notion qui appartient au droit de la protection des données et non à la loi sur les lanceurs d'alerte.
Conditions d’exercice
Aucun article de la loi de 2023 ne conditionne le choix du prestataire à sa localisation : les conditions à respecter sont celles du droit des données personnelles, doublées des garanties propres au canal.
| Élément | Détail |
|---|---|
| Recours à un tiers | Expressément permis : le canal peut être géré en interne ou fourni en externe par un tiers (art. 6 (4)) |
| Garanties transposées au tiers | Les mesures de sauvegarde et exigences de l'art. 7 (1) s'appliquent au tiers mandaté pour le compte de l'entité privée (art. 6 (4)) |
| Régime des données | Tout traitement effectué en vertu de la loi obéit au RGPD et à la loi du 1er août 2018 (art. 23 (1)) |
| Transfert hors Union | Relève du chapitre V du RGPD : décision d'adéquation ou garanties appropriées, à défaut de quoi le transfert est illicite |
| Confidentialité | L'identité de l'auteur ne peut être divulguée sans son consentement exprès à d'autres que les membres du personnel autorisés (art. 22 (1)) |
Modalités pratiques
Le point sensible n'est pas le stockage lui-même mais l'accès : un serveur situé dans l'Union dont l'équipe support opère depuis un pays tiers réalise déjà un transfert.
| Aspect | Détail |
|---|---|
| Périmètre du transfert | Couvre l'accès à distance des équipes d'exploitation et de maintenance, pas seulement le lieu de stockage |
| Base du transfert | Décision d'adéquation ou garanties appropriées du chapitre V du RGPD, à documenter avant la mise en service |
| Données non pertinentes | Effacement sans retard injustifié des données manifestement étrangères au signalement (art. 23 (2)) |
| Signalements oraux | Enregistrements et transcriptions suivent le même régime de transfert que les signalements écrits (art. 23 (3) à (5)) |
| Sanction | L'atteinte à la confidentialité dont jouissent les auteurs de signalement est l'un des cinq manquements passibles de l'amende administrative (art. 18 (3) et (5)) |
Pratiques et recommandations
Aucune durée de conservation ne figure dans la loi de 2023 : ni deux mois, ni cinq ans. Le contrat d'hébergement ne peut donc renvoyer à une échéance légale inexistante et doit fixer lui-même une durée, justifiée au regard de la finalité poursuivie, sous le principe de limitation de la conservation du RGPD.
Le réflexe de rapatrier les données au Luxembourg par prudence coûte souvent plus qu'il ne protège : il prive l'entité des plateformes spécialisées offrant la boîte de dialogue à jeton et la séparation des habilitations, alors que le transfert restait parfaitement régularisable.
Une clause souvent oubliée dans les contrats de plateforme : l'engagement du prestataire de ne pas divulguer l'identité de l'auteur, y compris à la maison mère du groupe donneur d'ordre. Sans elle, l'article 6 (4) reste lettre morte, car la loi transpose au tiers les exigences de l'article 7 (1) mais ne les rend pas opposables au prestataire par elle-même.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 6 (4) de la loi du 16 mai 2023 | Gestion du canal en interne ou par un tiers, et transposition à ce tiers des exigences de l'art. 7 (1) |
| Art. 7 (1), 1° de la loi du 16 mai 2023 | Canaux conçus et gérés de manière sécurisée, garantissant la confidentialité et empêchant l'accès non autorisé |
| Art. 22 de la loi du 16 mai 2023 | Devoir de confidentialité sur l'identité de l'auteur du signalement |
| Art. 23 (1) de la loi du 16 mai 2023 | Renvoi au RGPD et à la loi du 1er août 2018 pour tout traitement de données |
| Art. 23 (2) de la loi du 16 mai 2023 | Effacement sans retard injustifié des données manifestement non pertinentes |
| Chapitre V du RGPD | Transferts de données vers un pays tiers : décision d'adéquation ou garanties appropriées |
| Art. 18 (3) et (5) de la loi du 16 mai 2023 | Amende administrative de 1 500 à 250 000 euros pour atteinte à la confidentialité |
Note
La loi du 16 mai 2023 ne comporte aucune règle propre à l'hébergement, à la localisation ou à la durée de conservation des signalements. Toute exigence en la matière trouve son fondement dans le RGPD, et non dans le texte luxembourgeois sur les lanceurs d'alerte.