Quelle documentation doit être conservée à l’issue du traitement d’un signalement interne de lanceur d’alerte ?
Réponse courte
À l’issue du traitement d’un signalement interne de lanceur d’alerte, il faut conserver de manière sécurisée le signalement initial (écrit ou retranscrit), les preuves et éléments recueillis lors de l’enquête, les rapports d’enquête et d’analyse, les décisions ou mesures prises, les échanges avec l’auteur du signalement et les personnes concernées, ainsi que les preuves de la notification de la clôture du dossier.
La conservation doit être limitée aux éléments strictement nécessaires pour démontrer la gestion loyale et conforme du signalement, justifier les mesures prises ou défendre les droits des parties concernées, dans le respect de la confidentialité et de la protection des données. L’accès à cette documentation doit être restreint aux personnes habilitées et tracé.
La durée de conservation ne peut excéder celle nécessaire à ces finalités, sous réserve des délais de prescription applicables. À l’expiration de ce délai, la documentation doit être détruite de manière irréversible, sauf en cas de contentieux en cours ou de nécessité de défense des droits en justice.
Définition
La documentation à conserver à l’issue du traitement d’un signalement interne regroupe l’ensemble des pièces, informations et éléments de preuve recueillis, produits ou échangés lors de la réception, de l’examen et de la clôture d’un signalement effectué conformément à la législation luxembourgeoise sur la protection des lanceurs d’alerte. Cette documentation comprend notamment le signalement initial, les échanges avec l’auteur du signalement, les rapports d’enquête, les décisions prises et toute correspondance afférente.
Elle vise à démontrer la gestion loyale, diligente et conforme du signalement, à justifier les mesures adoptées et à permettre la défense des droits de l’entreprise ou des personnes concernées, dans le respect des obligations de confidentialité et de protection des données à caractère personnel.
Conditions d’exercice
La conservation de la documentation est strictement limitée aux éléments nécessaires à la démonstration du traitement loyal et diligent du signalement, à la justification des mesures prises ou à la défense des droits des parties concernées. Seules les personnes habilitées, soumises à une obligation de confidentialité, peuvent accéder à ces documents.
La durée de conservation ne peut excéder celle strictement nécessaire à la réalisation des finalités précitées, sous réserve des délais de prescription applicables en matière civile, pénale ou administrative. Toute conservation au-delà de ces délais est prohibée, sauf en cas de contentieux en cours ou de nécessité de défense des droits en justice.
L’employeur doit garantir la traçabilité des accès, modifications et suppressions, ainsi que l’encadrement humain du traitement des signalements, conformément au principe d’égalité de traitement et à la réglementation sur la protection des données.
Modalités pratiques
À l’issue du traitement du signalement, l’employeur doit archiver de manière sécurisée :
- Le signalement initial, qu’il soit écrit ou retranscrit en cas de signalement oral
- Les preuves et éléments recueillis lors de l’enquête interne
- Les rapports d’enquête et d’analyse
- Les décisions ou mesures prises à la suite du signalement
- Les échanges avec l’auteur du signalement et, le cas échéant, les personnes concernées
- Les preuves de la notification de la clôture du dossier
La documentation doit être conservée sur un support sécurisé, garantissant l’intégrité, la confidentialité et la disponibilité des données. Toute consultation, modification ou suppression doit être tracée et justifiée. À l’expiration du délai de conservation, la documentation doit être détruite de manière irréversible, sauf en cas de contentieux en cours ou de nécessité de défense des droits en justice.
Pratiques et recommandations
Il est recommandé de formaliser une procédure interne précisant les modalités de conservation, d’accès, de traçabilité et de destruction de la documentation relative aux signalements internes. Cette procédure doit prévoir :
- Un registre des signalements, anonymisé si possible, mentionnant la date, la nature du signalement, les mesures prises et la date de clôture
- Un accès restreint et documenté aux seules personnes chargées du traitement des signalements
- Une information claire des personnes concernées sur la durée de conservation, leurs droits d’accès, de rectification et d’effacement
- Une revue périodique des dossiers afin de procéder à la destruction des documents arrivés à échéance
- La consultation du délégué à la protection des données (DPO) pour s’assurer de la conformité des pratiques de conservation avec la législation sur la protection des données à caractère personnel
Il est également conseillé de sensibiliser les personnes habilitées à la gestion des signalements aux principes d’égalité de traitement, de confidentialité et de respect des droits des personnes concernées.
Cadre juridique
La conservation de la documentation relative aux signalements internes est encadrée par :
- Loi du 16 mai 2023 relative à la protection des personnes signalant des violations du droit national, notamment :
- Article 13 (obligation de confidentialité et de protection des données)
- Article 17 (modalités de conservation et destruction des données)
- Code du travail luxembourgeois, notamment :
- Loi modifiée du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données
- Règlement (UE) 2016/679 (RGPD), applicable au traitement des données à caractère personnel
- Code civil luxembourgeois, pour les délais de prescription applicables selon la nature des faits signalés et des mesures prises
Note
La conservation excessive, injustifiée ou non sécurisée de la documentation expose l’employeur à des sanctions administratives et pénales, notamment en matière de protection des données personnelles. Il est impératif de limiter la conservation aux seules finalités légales, de garantir la traçabilité des accès et de procéder à la destruction dès que la conservation n’est plus justifiée.