Comment le RGPD s'applique-t-il au dispositif d'alerte de la loi de 2023 ?
Réponse courte
Par renvoi. L'article 23 (1) de la loi du 16 mai 2023 dispose que tout traitement de données effectué en vertu de cette loi, y compris l'échange ou la transmission par les autorités compétentes, obéit au règlement (UE) 2016/679 et à la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu'en matière de sécurité nationale.
La loi n'ajoute que deux règles propres. Les données manifestement non pertinentes ne sont pas collectées ou, si elles l'ont été accidentellement, sont effacées sans retard injustifié (article 23 (2)). Le recueil des signalements oraux est encadré, avec consentement de l'auteur et droit de vérifier, rectifier et signer la transcription (article 23, paragraphes 3 à 5).
Le point de friction se situe ailleurs : le devoir de confidentialité de l'article 22 interdit de révéler l'identité de l'auteur, ce qui borne l'exercice des droits de la personne mise en cause. Aucune durée de conservation n'est fixée par la loi.
Définition
Le traitement de données engagé par un dispositif d'alerte porte sur trois catégories de personnes au moins : l'auteur du signalement, la personne concernée au sens de l'article 3, point 10°, et les tiers mentionnés dans le récit. La loi de 2023 ne crée pour eux ni régime dérogatoire, ni base légale spécifique : elle renvoie au droit commun de la protection des données.
Le devoir de confidentialité de l'article 22 fonctionne, lui, comme une restriction propre au dispositif : il interdit de divulguer l'identité de l'auteur, et toute information permettant de la déduire, à d'autres personnes que les membres du personnel autorisés compétents pour recevoir les signalements ou en assurer le suivi.
Conditions d’exercice
Trois règles seulement sont propres au dispositif d'alerte ; tout le reste relève du droit commun des données.
| Élément | Détail |
|---|---|
| Textes applicables | Règlement (UE) 2016/679 et loi du 1er août 2018 visée à l'article 23 (1) |
| Minimisation renforcée | Les données manifestement non pertinentes ne sont pas collectées, ou sont effacées sans retard injustifié (article 23 (2)) |
| Signalement oral enregistré | Enregistrement durable et récupérable ou transcription complète, avec le consentement de l'auteur (article 23 (3)) |
| Signalement oral non enregistré | Procès-verbal précis établi par le membre du personnel chargé du traitement (article 23 (4)) |
| Rencontre en personne | Compte rendu complet et précis, conservé sous forme durable avec le consentement de l'auteur (article 23 (5)) |
| Durée de conservation | Aucune durée fixée par la loi du 16 mai 2023 |
Modalités pratiques
L'articulation se joue surtout sur les droits que peut invoquer la personne mise en cause, et sur ce que la confidentialité leur oppose.
| Aspect | Détail |
|---|---|
| Identité de l'auteur | Non divulgable sans son consentement exprès, y compris à la personne concernée (article 22 (1)) |
| Informations dérivées | Même protection pour tout élément permettant de déduire l'identité directement ou indirectement |
| Levée du secret | Obligation nécessaire et proportionnée imposée par la loi, dans le cadre d'enquêtes d'autorités nationales ou de procédures judiciaires (article 22 (2)) |
| Garantie | Information préalable de l'auteur et explication écrite des motifs de la divulgation (article 22 (3)) |
| Validation des transcriptions | L'auteur peut vérifier, rectifier et approuver le document par l'apposition de sa signature |
| Autorité de contrôle | La CNPD figure parmi les 23 autorités compétentes énumérées à l'article 18 (1) |
Pratiques et recommandations
Le scénario à anticiper est celui du salarié mis en cause qui exerce son droit d'accès pour découvrir qui l'a dénoncé. Le devoir de confidentialité de l'article 22 y fait obstacle : la demande peut porter sur les données le concernant, non sur l'identité de l'auteur ni sur les éléments qui permettraient de la reconstituer.
Enregistrer un appel sans le consentement de l'auteur est exclu par l'article 23 (3). En l'absence de consentement, la seule voie est le procès-verbal précis de l'article 23 (4), que l'intéressé doit pouvoir vérifier, rectifier et approuver par sa signature : une pratique qui, appliquée sérieusement, vaut mieux que n'importe quel enregistrement en cas de contestation ultérieure du contenu.
Annoncer dans sa politique interne une conservation de deux mois ou de cinq ans après clôture revient à s'imposer une règle qu'aucun texte ne pose. La loi de 2023 est muette, et ce choix devra être justifié au regard du principe de limitation de la conservation, dossier par dossier.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 3, point 10° | Définition de la personne concernée par le signalement |
| Art. 22, paragraphes 1 à 3 | Devoir de confidentialité, dérogations et information préalable de l'auteur |
| Art. 23 (1) | Renvoi au règlement (UE) 2016/679 et à la loi du 1er août 2018 |
| Art. 23 (2) | Non-collecte et effacement sans retard injustifié des données non pertinentes |
| Art. 23, paragraphes 3 à 5 | Recueil et validation des signalements oraux et des comptes rendus de rencontre |
| Art. 7 (1), point 1° | Canaux conçus pour empêcher l'accès des membres du personnel non autorisés |
| Art. 18 (1) et (5) | Autorités compétentes, dont la CNPD, et amende administrative pour atteinte à la confidentialité |
Note
La loi du 16 mai 2023 ne crée pas de régime dérogatoire au RGPD : elle y renvoie, en n'ajoutant que l'effacement des données manifestement non pertinentes et le formalisme du recueil des signalements oraux. Aucune durée légale de conservation n'existe, et le devoir de confidentialité de l'article 22 limite ce qu'un droit d'accès permet d'obtenir.