Quelle documentation conserver après le traitement d'un signalement interne ?
Réponse courte
La loi du 16 mai 2023 n'énumère aucune liste de pièces à archiver et ne fixe aucune durée de conservation. Elle impose seulement deux choses en sens inverse : l'effacement sans retard injustifié des données manifestement non pertinentes, et la conservation sous forme durable et récupérable des signalements oraux consignés avec le consentement de leur auteur.
La documentation utile se déduit donc des obligations dont l'entité doit pouvoir répondre : la preuve de l'accusé de réception dans les sept jours, celle du retour d'information dans les trois mois, et les pièces établissant les mesures de suivi et leurs motifs. Les autorités compétentes peuvent en effet réclamer par écrit tous les renseignements qu'elles jugent nécessaires.
La durée relève du principe de limitation de la conservation du RGPD, auquel renvoie l'article 23 : elle s'apprécie dossier par dossier, au regard de la finalité poursuivie. Aucune échéance chiffrée ne peut être invoquée au titre de la loi de 2023.
Définition
La documentation d'un signalement rassemble les pièces produites par la procédure elle-même : le signalement tel que reçu ou consigné, l'accusé de réception, les échanges avec l'auteur, les éléments de suivi et le retour d'information. Elle se distingue du rapport d'enquête, qui relève de l'organisation interne de l'entité et non d'une obligation de la loi.
Cette documentation contient par nature des données à caractère personnel relatives à l'auteur, à la personne concernée et aux tiers mentionnés, ce qui la place sous le régime de l'article 23 et du RGPD.
Conditions d’exercice
La loi ne raisonne pas en durée mais en pertinence : ce qui est manifestement étranger au signalement doit disparaître, ce qui le documente reste tant que la finalité le justifie.
| Élément | Détail |
|---|---|
| Absence de durée légale | Aucune disposition de la loi du 16 mai 2023 ne fixe de durée de conservation des signalements |
| Effacement obligatoire | Les données manifestement non pertinentes ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié (art. 23 (2)) |
| Régime applicable | RGPD et loi du 1er août 2018, par renvoi de l'art. 23 (1) — dont le principe de limitation de la conservation |
| Signalement oral enregistré | Conservation sous une forme durable et récupérable, ou transcription complète et précise, avec le consentement de l'auteur (art. 23 (3)) |
| Signalement oral non enregistré | Procès-verbal précis de la conversation, que l'auteur peut vérifier, rectifier et approuver par signature (art. 23 (4)) |
Modalités pratiques
Les pièces les plus utiles sont celles qui datent : l'entité doit pouvoir démontrer le respect de deux délais, non la qualité de son enquête.
| Aspect | Détail |
|---|---|
| Preuve des sept jours | Trace datée de l'accusé de réception adressé à l'auteur (art. 7 (1), 2°) |
| Preuve des trois mois | Trace datée du retour d'information et de son contenu : mesures envisagées ou prises, et motifs (art. 7 (1), 5° et art. 3, point 13°) |
| Rencontre en personne | Compte rendu complet et précis conservé sous forme durable, avec le consentement de l'auteur (art. 23 (5)) |
| Demande de l'autorité | Les autorités compétentes peuvent réclamer par écrit tous les renseignements nécessaires, en veillant à la confidentialité de l'identité de l'auteur (art. 18 (2)) |
| Refus ou fausseté | Refuser ces renseignements ou en fournir de faux est l'un des cinq manquements passibles de l'amende administrative de 1 500 à 250 000 euros (art. 18 (3) et (5)) |
Pratiques et recommandations
Deux durées circulent dans les modèles de procédure — deux mois après clôture, cinq ans par analogie comptable — et aucune ne repose sur la loi de 2023. Reprendre l'une ou l'autre en la présentant comme une exigence légale crée une contradiction visible avec le principe RGPD de limitation, dont l'entité devra ensuite justifier.
L'article 23 (2) fonctionne comme un filtre à l'entrée, non comme une purge à la sortie : le nom d'un tiers cité en passant, une donnée de santé livrée spontanément par l'auteur, un jugement de valeur sans lien avec la violation n'ont pas à être versés au dossier et s'effacent sans attendre la clôture.
La signature de l'auteur sur la transcription de son signalement oral est la pièce la plus souvent manquante. Elle est pourtant prévue aux paragraphes 3 à 5 de l'article 23 et constitue, en cas de contestation ultérieure sur la teneur de l'alerte, le seul élément que l'entité puisse opposer.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 7 (1), 2° et 5° de la loi du 16 mai 2023 | Accusé de réception sous sept jours et retour d'information sous trois mois |
| Art. 18 (2) de la loi du 16 mai 2023 | Communication des renseignements demandés par les autorités compétentes |
| Art. 18 (3) et (5) de la loi du 16 mai 2023 | Amende administrative de 1 500 à 250 000 euros, notamment en cas de refus de renseignements |
| Art. 22 de la loi du 16 mai 2023 | Devoir de confidentialité sur l'identité de l'auteur du signalement |
| Art. 23 (1) de la loi du 16 mai 2023 | Renvoi au RGPD et à la loi du 1er août 2018 |
| Art. 23 (2) de la loi du 16 mai 2023 | Effacement sans retard injustifié des données manifestement non pertinentes |
| Art. 23 (3) à (5) de la loi du 16 mai 2023 | Consignation des signalements oraux et des rencontres, vérification et approbation par l'auteur |
Note
Aucune durée de conservation ne figure dans la loi du 16 mai 2023, et la Commission nationale pour la protection des données n'en publie pas davantage. La procédure interne doit donc fixer sa propre durée et la motiver, plutôt que renvoyer à une échéance légale qui n'existe pas.