Quelle est la durée de conservation des signalements reçus ?
Réponse courte
La durée de conservation des signalements reçus ne doit pas excéder deux mois à compter de la clôture de la procédure interne, sauf en cas de procédure disciplinaire ou judiciaire engagée. Dans ce cas, les données peuvent être conservées jusqu’à l’issue définitive de la procédure et dans la limite des délais de prescription applicables.
Dès la clôture du traitement du signalement, les données doivent être supprimées ou anonymisées, sauf obligation légale ou contentieux en cours. Toute conservation au-delà de la durée strictement nécessaire est interdite.
Définition
La durée de conservation des signalements reçus correspond à la période pendant laquelle l’employeur ou l’organisme compétent est autorisé à conserver les données relatives à un signalement effectué dans le cadre d’un dispositif interne ou externe de recueil et de traitement des alertes professionnelles. Cette durée concerne l’ensemble des éléments du dossier, incluant l’identité de l’auteur du signalement, des personnes visées, des témoins, ainsi que toutes les pièces et correspondances afférentes.
La conservation de ces données vise à permettre le traitement du signalement, la vérification des faits, la prise de mesures correctives éventuelles et le respect des obligations légales en matière de suivi. Elle doit également garantir la protection des droits des personnes concernées, notamment en matière de confidentialité et de protection des données à caractère personnel.
Conditions d’exercice
La conservation des signalements est strictement encadrée par la législation luxembourgeoise, notamment l’article 13 de la loi du 16 mai 2023 relative à la protection des lanceurs d’alerte. L’employeur doit limiter la durée de conservation aux nécessités du traitement du dossier, de la vérification des faits signalés, de la prise de mesures correctives éventuelles et du respect des obligations légales en matière de suivi.
La conservation ne peut excéder la durée nécessaire à la réalisation de ces finalités, sous réserve des délais de prescription applicables en matière disciplinaire, civile ou pénale. Toute conservation au-delà de la durée strictement nécessaire est interdite, sauf en cas de contentieux ou d’obligation légale expresse.
Modalités pratiques
Dès la clôture du traitement du signalement, les données doivent être supprimées ou anonymisées, sauf si leur conservation est requise pour la gestion d’un contentieux ou le respect d’une obligation légale. En pratique, la durée de conservation ne doit pas excéder deux mois à compter de la clôture de la procédure interne, sauf en cas de procédure disciplinaire ou judiciaire engagée, auquel cas les données peuvent être conservées jusqu’à l’issue définitive de la procédure et dans la limite des délais de prescription applicables.
L’accès aux données doit être strictement limité aux personnes habilitées, conformément au principe de confidentialité et à l’obligation de traçabilité. Toute opération de conservation, suppression ou anonymisation doit être documentée et tracée afin d’assurer la conformité avec les exigences légales.
Pratiques et recommandations
Il est recommandé de formaliser une politique interne précisant les durées de conservation applicables aux signalements, en distinguant les cas de clôture sans suite, de mesures disciplinaires ou de contentieux. Les responsables du traitement doivent informer les personnes concernées de la durée de conservation au moment de la collecte des données, conformément à l’article 13 de la loi du 16 mai 2023 et à la loi du 1er août 2018 relative à la protection des données à caractère personnel.
Un registre des traitements doit être tenu à jour, mentionnant les dates de réception, de clôture et de suppression ou d’anonymisation des signalements. Il est également conseillé de prévoir un encadrement humain du dispositif, garantissant l’égalité de traitement et la protection des droits des personnes concernées. Toute conservation au-delà de la durée strictement nécessaire expose l’employeur à des sanctions administratives et pénales.
Cadre juridique
- Article 13 de la loi du 16 mai 2023 relative à la protection des lanceurs d’alerte (transposant la directive (UE) 2019/1937)
- Loi du 1er août 2018 relative à la protection des personnes à l’égard du traitement des données à caractère personnel
- Articles L.121-6, L.121-7 et L.121-8 du Code du travail luxembourgeois (protection des données et égalité de traitement)
- Délais de prescription applicables prévus par le Code du travail, le Code pénal et le Code civil luxembourgeois
Note
Assurez-vous de documenter chaque étape du traitement et de la conservation des signalements, y compris la justification de la durée de conservation retenue, afin de pouvoir démontrer la conformité en cas de contrôle par l’Inspection du travail et des mines (ITM) ou la Commission nationale pour la protection des données (CNPD).