Quelles exigences la loi impose-t-elle aux outils de recueil des signalements ?
Réponse courte
La loi du 16 mai 2023 ne prescrit ni technologie, ni certification, ni lieu d'hébergement. Elle fixe un résultat : des canaux conçus, établis et gérés d'une manière sécurisée qui garantit la confidentialité de l'identité de l'auteur du signalement et de tout tiers mentionné, et qui empêche l'accès des membres du personnel non autorisés (article 7 (1), point 1°).
L'outil doit accepter les signalements par écrit ou oralement, dans l'une des trois langues administratives ou dans toute autre langue admise par l'entité. Le signalement oral doit être possible par téléphone ou par un autre système de messagerie vocale et, sur demande de l'auteur, par une rencontre en personne dans un délai raisonnable (article 7 (2)).
Le canal peut être géré en interne par une personne ou un service désigné, ou fourni en externe par un tiers, qui reste alors soumis aux mêmes exigences (article 6 (4)). Les entités privées de 50 à 249 travailleurs peuvent partager ces ressources sans être dispensées de la confidentialité ni du retour d'information (article 6 (3)).
Définition
Le canal de signalement interne désigne l'ensemble des moyens par lesquels une entité reçoit les signalements et en assure le suivi. La loi le décrit par ses fonctions et non par sa forme : réception sécurisée, confidentialité, cloisonnement des accès, accusé de réception, désignation d'une personne ou d'un service impartial, retour d'information et mise à disposition d'informations claires sur les procédures.
Un formulaire en ligne, une boîte postale, une adresse électronique dédiée, une ligne téléphonique ou une plateforme éditée par un prestataire peuvent tous constituer un canal conforme, dès lors qu'ils remplissent ces fonctions. Aucune obligation de recourir à une solution logicielle ne découle du texte.
Conditions d’exercice
Trois exigences seulement conditionnent la conformité d'un outil, et elles portent toutes sur le résultat obtenu, non sur la technique employée.
| Élément | Détail |
|---|---|
| Sécurité et confidentialité | Canaux conçus, établis et gérés de manière sécurisée, garantissant la confidentialité de l'auteur et de tout tiers mentionné (article 7 (1), point 1°) |
| Cloisonnement | L'accès aux canaux par les membres du personnel non autorisés doit être empêché (article 7 (1), point 1°) |
| Formes de signalement | Par écrit ou oralement, par téléphone ou messagerie vocale, et sur demande par rencontre en personne dans un délai raisonnable (article 7 (2)) |
| Langues | Une des trois langues administratives, ou toute autre langue admise par l'entité (article 7 (2)) |
| Gestion externalisée | Possible ; le tiers mandaté est soumis aux mesures de sauvegarde de l'article 7 (1) (article 6 (4)) |
| Anonymat | La loi n'impose pas d'accepter les signalements anonymes ; l'auteur anonyme identifié par la suite reste protégé (article 4 (2)) |
Modalités pratiques
Le point le plus contraignant pour un outil ne tient pas à la réception du signalement mais à la conservation de ce qui a été dit oralement.
| Aspect | Détail |
|---|---|
| Enregistrement d'un appel | Possible avec le consentement de l'auteur, sous forme durable et récupérable ou par transcription complète et précise (article 23 (3)) |
| Ligne non enregistrée | Procès-verbal précis de la conversation, établi par le membre du personnel chargé du traitement (article 23 (4)) |
| Rencontre en personne | Compte rendu complet et précis conservé sous forme durable, avec le consentement de l'auteur (article 23 (5)) |
| Validation par l'auteur | Dans les trois cas, l'auteur doit pouvoir vérifier, rectifier et approuver le document par sa signature |
| Données non pertinentes | Non collectées ou effacées sans retard injustifié si elles l'ont été accidentellement (article 23 (2)) |
| Traçabilité des délais | L'outil doit permettre d'établir la date de réception, l'accusé de réception à sept jours et le retour d'information à trois mois (article 7 (1)) |
Pratiques et recommandations
Une boîte aux lettres électronique générique, consultée par toute l'équipe RH, ne satisfait pas le point 1° de l'article 7 (1) : elle n'empêche pas l'accès de membres du personnel non autorisés. L'atteinte à la confidentialité figure parmi les cinq manquements passibles de l'amende administrative de 1 500 à 250 000 euros de l'article 18 (5).
L'exigence la plus souvent oubliée n'est pourtant pas technique. Aucun logiciel n'assure la rencontre en personne due sur demande de l'auteur : il faut une personne identifiée, disponible dans un délai raisonnable, et un lieu où l'entretien ne soit pas visible depuis les bureaux ouverts.
L'externalisation ne déplace pas la responsabilité. Le prestataire est tenu des mêmes mesures de sauvegarde, mais c'est l'entité qui répondra devant l'autorité compétente du défaut de canal ou de procédure, et c'est elle qui doit fournir les renseignements demandés sous peine de la même amende.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 4 (2) | Protection de l'auteur anonyme ultérieurement identifié |
| Art. 6 (3) | Partage de ressources réservé aux entités privées de 50 à 249 travailleurs |
| Art. 6 (4) | Gestion interne ou externalisée du canal ; exigences applicables au tiers mandaté |
| Art. 7 (1), point 1° | Conception sécurisée, confidentialité et cloisonnement des accès |
| Art. 7 (2) | Signalement écrit ou oral, téléphone, messagerie vocale, rencontre en personne, langues admises |
| Art. 18 (5) | Amende administrative de 1 500 à 250 000 euros, notamment pour atteinte à la confidentialité |
| Art. 23, paragraphes 2 à 5 | Effacement des données non pertinentes et formalisme des signalements oraux |
Note
La conformité d'un outil de recueil ne se prouve pas par une certification mais par sa capacité à garantir la confidentialité, à cloisonner les accès et à recevoir les signalements sous toutes les formes prévues à l'article 7 (2). Aucune disposition n'impose l'hébergement des données au Luxembourg ni le recours à une solution logicielle.