Un lanceur d'alerte peut-il faire rectifier ou effacer les données de son signalement ?
Réponse courte
Oui, mais par deux voies distinctes. La loi du 16 mai 2023 ne crée aucun droit général de rectification : son article 23 renvoie au RGPD et à la loi modifiée du 1er août 2018, dont les droits s'exercent avec leurs propres conditions et leurs propres limites.
La loi organise en revanche un droit de rectification précis pour les signalements oraux. Lorsque le signalement est reçu par ligne téléphonique, par messagerie vocale ou lors d'une rencontre, l'auteur doit pouvoir vérifier, rectifier et approuver l'enregistrement, la transcription, le procès-verbal ou le compte rendu, par l'apposition de sa signature (article 23, paragraphes 3 à 5).
L'effacement obéit à une logique voisine : les données manifestement non pertinentes pour le traitement d'un signalement ne sont pas collectées ou, si elles l'ont été accidentellement, sont effacées sans retard injustifié (article 23 (2)). Aucune durée de conservation n'est fixée par la loi.
Définition
La rectification vise la mise en conformité de données inexactes ou incomplètes avec la réalité ; l'effacement vise leur suppression. Dans le dispositif d'alerte, ces deux opérations relèvent du droit commun de la protection des données, auquel l'article 23 (1) de la loi du 16 mai 2023 renvoie expressément, en visant le règlement (UE) 2016/679 et la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale.
La loi de 2023 n'ajoute à ce socle qu'une garantie procédurale propre au signalement oral et une obligation d'effacement des données sans pertinence manifeste. Elle ne prévoit ni délai spécifique de réponse, ni durée de conservation des dossiers d'alerte.
Conditions d’exercice
Le fondement de la demande détermine son étendue : la loi de 2023 est précise sur le signalement oral et muette sur le reste, qui relève du RGPD.
| Élément | Détail |
|---|---|
| Signalement oral enregistré | Enregistrement sous forme durable et récupérable, ou transcription complète et précise, avec consentement de l'auteur (article 23 (3)) |
| Signalement oral non enregistré | Procès-verbal précis de la conversation établi par le membre du personnel chargé du traitement (article 23 (4)) |
| Rencontre en personne | Compte rendu complet et précis conservé sous forme durable, avec le consentement de l'auteur (article 23 (5)) |
| Droit reconnu à l'auteur | Vérifier, rectifier et approuver le document par l'apposition de sa signature (article 23, paragraphes 3 à 5) |
| Effacement d'office | Les données manifestement non pertinentes sont effacées sans retard injustifié (article 23 (2)) |
| Autres demandes | Régies par le RGPD et la loi du 1er août 2018, avec leurs limitations propres (article 23 (1)) |
Modalités pratiques
La demande se traite comme une demande d'exercice de droits classique, sous une réserve qui prime tout : le devoir de confidentialité de l'article 22.
| Aspect | Détail |
|---|---|
| Destinataire | Le responsable du traitement, soit l'entité destinataire du signalement, soit l'autorité compétente saisie |
| Limite tenant à l'identité | L'identité de l'auteur ne peut être divulguée sans son consentement exprès, non plus que toute information permettant de la déduire (article 22 (1)) |
| Limite tenant au suivi | L'effacement ne peut faire obstacle au suivi diligent du signalement, qui s'impose à l'entité (article 7 (1), point 4°) |
| Durée de conservation | Aucune durée légale ; le principe de limitation de la conservation du RGPD s'applique au cas par cas |
| Voies de recours | La CNPD figure parmi les 23 autorités compétentes de l'article 18 (1) et reste l'autorité de contrôle en matière de données |
Pratiques et recommandations
Le contentieux le plus fréquent vient du sens inverse : c'est la personne mise en cause qui invoque son droit d'accès pour connaître l'auteur du signalement. L'article 22 (1) s'y oppose sans consentement exprès, et la seule brèche, celle de l'article 22 (2), suppose une obligation nécessaire et proportionnée imposée par la loi dans le cadre d'enquêtes menées par des autorités nationales ou de procédures judiciaires.
Même lorsque cette dérogation joue, l'auteur doit être informé avant que son identité ne soit divulguée, et l'autorité compétente lui adresse une explication écrite des motifs de la divulgation (article 22 (3)). Cette information préalable ne cède que si elle risque de compromettre les enquêtes ou procédures en cours.
Quant aux politiques internes annonçant une conservation de deux mois ou de cinq ans après clôture, elles s'imposent une règle qu'aucun texte ne prévoit et qu'il faudra ensuite justifier.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 7 (1), point 4° | Suivi diligent des signalements dont l'auteur est identifié ou identifiable |
| Art. 22 (1) | Interdiction de divulguer l'identité de l'auteur et toute information permettant de la déduire |
| Art. 22 (2) et (3) | Dérogations au devoir de confidentialité et information préalable de l'auteur |
| Art. 23 (1) | Renvoi au RGPD et à la loi modifiée du 1er août 2018 |
| Art. 23 (2) | Effacement sans retard injustifié des données manifestement non pertinentes |
| Art. 23, paragraphes 3 à 5 | Droit de vérifier, rectifier et approuver la transcription, le procès-verbal ou le compte rendu |
| Art. 18 (1) | Liste des 23 autorités compétentes, dont la CNPD |
Note
La loi du 16 mai 2023 ne crée pas de droit autonome de rectification ou d'effacement, hormis pour les transcriptions et procès-verbaux de signalements oraux, que leur auteur doit pouvoir vérifier et signer. Aucune durée légale de conservation n'existe, et le devoir de confidentialité de l'article 22 fait obstacle à ce qu'un droit d'accès serve à identifier l'auteur d'une alerte.