Qui peut accéder au contenu d'un signalement dans l'entreprise ?
Réponse courte
La loi du 16 mai 2023 raisonne par fonction, non par niveau hiérarchique. Seuls les membres du personnel autorisés compétents pour recevoir les signalements ou pour en assurer le suivi peuvent connaître l'identité de l'auteur, et cette identité ne peut être divulguée à quiconque d'autre sans son consentement exprès (article 22 (1)).
La protection couvre également toute information à partir de laquelle cette identité peut être directement ou indirectement déduite. Le canal lui-même doit être conçu, établi et géré de manière à empêcher l'accès des membres du personnel non autorisés (article 7 (1), point 1°).
Le contenu factuel du signalement, lui, peut circuler dans la mesure nécessaire au suivi, à condition de ne pas trahir l'identité de l'auteur. Le canal peut d'ailleurs être confié à un tiers, soumis aux mêmes mesures de sauvegarde (article 6 (4)).
Définition
Le devoir de confidentialité de l'article 22 ne porte pas sur le dossier dans son ensemble, mais sur l'identité de l'auteur du signalement et sur les éléments permettant de la reconstituer. Il s'impose à tous, y compris à la direction, dès lors que ses membres ne sont pas désignés pour recevoir les signalements ou en assurer le suivi.
Le cloisonnement technique de l'article 7 (1), point 1°, est distinct : il vise l'accès matériel au canal, qui doit être fermé aux membres du personnel non autorisés. Une entité peut ainsi respecter le premier et manquer au second, par exemple en dirigeant les signalements vers une boîte partagée par tout un service.
Conditions d’exercice
Le droit d'accès se déduit de la mission exercée, et non du rang occupé dans l'organigramme.
| Élément | Détail |
|---|---|
| Accès de principe | Membres du personnel autorisés compétents pour recevoir les signalements ou en assurer le suivi (article 22 (1)) |
| Personne chargée du suivi | Personne ou service impartial désigné, éventuellement le même que celui qui reçoit les signalements (article 7 (1), point 3°) |
| Direction et hiérarchie | Aucun accès de droit : la qualité de dirigeant ne confère pas celle de destinataire autorisé |
| Prestataire externe | Possible ; le tiers mandaté est soumis aux mesures de sauvegarde de l'article 7 (1) (article 6 (4)) |
| Consentement de l'auteur | Seul moyen ordinaire de lever la confidentialité sur son identité (article 22 (1)) |
| Personne mise en cause | Pas de droit d'accès à l'identité de l'auteur pendant le traitement interne du signalement |
Modalités pratiques
Les seules ouvertures admises tiennent à des procédures extérieures à l'entreprise, et elles sont assorties de garanties.
| Aspect | Détail |
|---|---|
| Dérogation légale | Obligation nécessaire et proportionnée imposée par la loi modifiée du 8 juin 2004 sur la liberté d'expression dans les médias ou par le droit de l'Union, dans le cadre d'enquêtes d'autorités nationales ou de procédures judiciaires (article 22 (2)) |
| Droits de la défense | Invocables dans ce cadre seulement, notamment en vue de sauvegarder les droits de la personne concernée |
| Information préalable | L'auteur est informé avant la divulgation, avec explication écrite des motifs, sauf risque de compromettre l'enquête ou la procédure (article 22 (3)) |
| Secrets d'affaires | Les autorités compétentes qui en reçoivent ne les utilisent ni ne les divulguent au-delà du nécessaire au suivi (article 22 (4)) |
| Contrôle externe | L'autorité compétente peut demander tous les renseignements nécessaires, en veillant à la confidentialité de l'identité de l'auteur (article 18 (2)) |
| Sanction | L'atteinte à la confidentialité figure parmi les cinq manquements passibles de 1 500 à 250 000 euros (article 18 (5)) |
Pratiques et recommandations
La demande la plus difficile à refuser vient du sommet de l'entreprise. L'article 22 (1) ne prévoit pourtant aucune exception hiérarchique : un directeur général qui n'a pas été désigné pour recevoir ou suivre les signalements est, au regard du texte, un tiers comme un autre, et lui transmettre le dossier constitue une atteinte à la confidentialité.
Le cas devient franchement délicat lorsque le signalement met en cause la personne qui reçoit habituellement les alertes. L'exigence d'impartialité du point 3° de l'article 7 impose alors un destinataire de substitution, faute de quoi le suivi est vicié et l'auteur aura tout intérêt à saisir directement une autorité compétente.
Externaliser la réception ne règle qu'une partie du problème. Le tiers mandaté est soumis aux mêmes exigences, mais l'entité reste comptable de la confidentialité devant l'autorité compétente, et c'est elle qui devra fournir les renseignements demandés sans révéler qui a signalé.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 6 (4) | Gestion du canal en interne ou par un tiers soumis aux mêmes exigences |
| Art. 7 (1), points 1° et 3° | Cloisonnement des accès au canal et désignation d'un service impartial |
| Art. 22 (1) | Interdiction de divulguer l'identité de l'auteur sans consentement exprès |
| Art. 22 (2) et (3) | Dérogations au devoir de confidentialité et information préalable de l'auteur |
| Art. 22 (4) | Usage limité des secrets d'affaires par les autorités compétentes |
| Art. 18 (2) | Demande de renseignements par l'autorité, dans le respect de la confidentialité |
| Art. 18 (5) | Amende administrative de 1 500 à 250 000 euros pour atteinte à la confidentialité |
Note
L'accès au contenu d'un signalement se détermine par la fonction exercée dans le traitement de l'alerte, et non par la position hiérarchique. Toute divulgation de l'identité de l'auteur en dehors des destinataires autorisés ou des dérogations de l'article 22 (2) expose à l'amende administrative de l'article 18 (5).