Le lancement d'alerte est régi par un ensemble de plus en plus complexe de textes législatifs et de règles de conformité.
Rien qu'au Royaume-Uni, les organisations doivent se conformer à la loi de 1998 sur la divulgation d'informations d'intérêt public (PIDA), au RGPD britannique, à la loi de 2018 sur la protection des données et, selon le secteur, à des exigences réglementaires supplémentaires émanant d'organismes tels que la FCA ou la CQC. Les organisations exerçant des activités en Europe doivent également se conformer à la directive européenne relative à la protection des lanceurs d'alerte (2019/1937) et aux lois nationales de transposition de chaque État membre dans lequel elles opèrent.
Pour les responsables de la conformité, le défi ne consiste pas simplement à connaître les exigences légales, mais à démontrer que celles-ci sont respectées de manière cohérente, dans chaque cas, d'une manière qui résiste à l'examen des autorités de régulation. Les logiciels de gestion des dossiers fournissent l'infrastructure nécessaire pour traduire les obligations légales en réalité opérationnelle. Ce document met en correspondance les principales exigences réglementaires avec les fonctionnalités spécifiques de la plateforme qui permettent de les respecter.
Exigences de la directive européenne sur les lanceurs d'alerte
La directive européenne relative à la protection des lanceurs d'alerte impose une série d'obligations procédurales aux organisations comptant au moins 50 salariés dans n'importe quel État membre de l'UE. Les logiciels de gestion des dossiers répondent directement à chacune de ces exigences.
Confidentialité de l'identité
La directive exige que l'identité de la personne effectuant le signalement ne soit divulguée à personne d'autre que les membres du personnel autorisés et compétents pour recevoir ou donner suite aux signalements. Les plateformes de gestion des cas garantissent cette confidentialité grâce à des contrôles d'accès basés sur les rôles, qui limitent la visibilité des dossiers au personnel désigné. Les journaux d'audit enregistrent chaque accès, fournissant ainsi une trace vérifiable du respect des obligations de confidentialité. En cas de signalement par téléphone, le choix d'enregistrer ou non les appels a des implications directes : les prestataires qui n'enregistrent pas les appels éliminent le risque que des données d'identification vocale soient présentes dans le système.
Délais de réponse et de retour d'information
Les organisations doivent accuser réception d'un signalement dans un délai de sept jours et fournir un retour d'information sur les mesures prises ou prévues dans un délai de trois mois. Il ne s'agit pas d'objectifs facultatifs, mais d'obligations légales, et leur non-respect peut constituer une violation de la législation d'application. Le suivi automatisé des délais dans le logiciel de gestion des dossiers calcule ces dates à partir du moment où un signalement est enregistré, envoie des rappels au responsable à l'approche des échéances et transmet les dossiers en retard à la hiérarchie. La piste d'audit du système fournit une preuve contemporaine que les délais ont été surveillés et respectés.
Tenue des registres
La directive impose aux organisations de conserver une trace de chaque signalement reçu. Plusieurs transpositions nationales vont plus loin : l'Autriche, par exemple, exige que les enregistrements de toutes les opérations de traitement liées aux canaux de signalement internes soient conservés pendant trois ans au-delà de la période de conservation applicable. Une plateforme de gestion des dossiers conserve un enregistrement complet et horodaté de chaque signalement et de toutes les mesures prises tout au long de son cycle de vie – depuis la réception et le tri jusqu'à l'enquête, la résolution et la clôture –, fournissant ainsi précisément la documentation requise par ces exigences.
Obligations au titre du RGPD et du RGPD britannique
Base juridique et limitation des données
Le traitement des données issues des signalements nécessite une base légale au sens de l'article 6 du RGPD. Lorsque la directive européenne ou la législation nationale impose la mise en place de canaux de signalement internes, c'est généralement la base de l'obligation légale (article 6, paragraphe 1, point c)) qui s'applique. Les logiciels de gestion des dossiers facilitent cette démarche en garantissant que la collecte de données est structurée et limitée aux informations pertinentes pour le problème signalé, conformément au principe de minimisation des données prévu à l'article 5. Des formulaires de signalement structurés guident les lanceurs d'alerte afin qu'ils fournissent des détails pertinents sans encourager la collecte excessive de données à caractère personnel.
Analyses d'impact relatives à la protection des données
Le traitement des signalements est généralement considéré comme présentant un risque élevé, et plusieurs autorités de contrôle de l'UE l'ont inscrit sur leurs listes d'AIPD obligatoires. Une plateforme de gestion des dossiers bien documentée simplifie le processus d'AIPD en fournissant des spécifications techniques, des schémas de flux de données, des normes de chiffrement et de la documentation relative au contrôle d'accès qui alimentent directement l'évaluation. La configuration même de la plateforme – y compris les dispositions relatives à la localisation des données, les informations sur les sous-traitants et les paramètres de conservation – constitue un élément central du dossier justificatif de l'AIPD.
Limites de stockage et durée de conservation
Le RGPD exige que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire. Les logiciels de gestion des dossiers facilitent la mise en conformité grâce à des calendriers de conservation configurables qui prévoient des durées variables en fonction de l'issue du dossier : les signalements qui ne donnent pas lieu à une enquête peuvent être programmés pour être supprimés plus rapidement, tandis que les dossiers avérés peuvent être conservés plus longtemps afin de servir de base à des procédures disciplinaires ou judiciaires. L'application automatisée de ces calendriers élimine le recours à un examen manuel et garantit une application cohérente à l'échelle de l'ensemble du programme.
Notification de violation
En vertu de l'article 33, toute violation de données affectant les dossiers relatifs aux lanceurs d'alerte doit être signalée à l'autorité de contrôle compétente dans un délai de 72 heures. Les plateformes de gestion des dossiers facilitent la gestion des incidents grâce à des journaux d'audit complets qui permettent d'identifier rapidement quelles données ont été consultées et par qui, ce qui accélère le processus d'évaluation et de notification de la violation.
Exigences spécifiques au Royaume-Uni
La loi de 1998 sur la divulgation d'informations d'intérêt public (PIDA) protège les travailleurs qui effectuent des divulgations éligibles contre tout préjudice ou licenciement. Bien que la PIDA ne prescrive pas d'exigences procédurales spécifiques pour les canaux de signalement internes, l'existence d'un système de signalement bien géré et confidentiel renforce considérablement la position de l'employeur en cas de plainte. La piste d'audit d'une plateforme de gestion des dossiers fournit la preuve que l'organisation a reçu la divulgation, l'a prise au sérieux, a préservé la confidentialité et a suivi un processus structuré – autant de facteurs qu'un tribunal du travail prendrait en considération pour déterminer si l'employeur a agi de manière raisonnable.
Dans les secteurs réglementés, des obligations supplémentaires s'appliquent. La FCA exige que certaines entreprises mettent en place des dispositifs internes de signalement et désignent un cadre supérieur comme « responsable de la protection des lanceurs d'alerte ». Les fonctionnalités de reporting de la plateforme permettent à ce responsable de superviser le fonctionnement du programme sans nécessairement avoir accès aux détails des cas individuels, ce qui lui permet de préserver la confidentialité tout en remplissant son rôle de gouvernance.
Conformité multi-juridictionnelle
Pour les organisations présentes dans plusieurs pays, le cadre réglementaire en matière de conformité devient nettement plus complexe. La transposition de la directive sur la protection des lanceurs d’alerte par chaque État membre de l’UE entraîne des divergences : des seuils différents pour les signalements anonymes, des sanctions différentes en cas de non-respect et des exigences différentes en matière de consultation du comité d’entreprise.
Les logiciels de gestion des dossiers facilitent la conformité dans plusieurs juridictions grâce à des flux de travail configurables qui peuvent être adaptés aux exigences locales tout en respectant une norme mondiale cohérente. Les contrôles de résidence des données garantissent que les données à caractère personnel sont hébergées dans la juridiction appropriée, et la prise en charge linguistique permet aux déclarants d'utiliser le système dans la langue de leur choix. Un fournisseur disposant d'une expérience confirmée dans l'exploitation de multiples cadres réglementaires – et de l'infrastructure nécessaire pour soutenir des organisations dans plus de 150 pays – allège la charge de conformité qui, sans cela, incomberait à l'équipe interne chargée de gérer chaque juridiction individuellement.
Ressources connexes
- Centre dédié aux technologies et aux canaux de signalement – Présentation des canaux de signalement et des critères de sélection des technologies.
- Centre de conformité à la directive européenne sur la dénonciation – Guide complet sur les exigences et la mise en œuvre de la directive.
- Centre sur le cadre juridique britannique en matière de dénonciation – Exigences de la PIDA et de la FCA, ainsi que les obligations spécifiques au Royaume-Uni.
- Centre dédié à la protection des données et au RGPD dans le cadre de la dénonciation – Aspects relatifs à la protection des données dans les systèmes de dénonciation.
- Comment un logiciel de gestion de dossiers peut-il faciliter les enquêtes en milieu professionnel ? – Un accompagnement à chaque étape du cycle de vie de l'enquête.
Comment Safecall peut vous aider
Le service d'alerte professionnelle de Safecall est conçu pour garantir la conformité réglementaire dans de nombreuses juridictions. Opérant depuis plus de 25 ans dans le cadre des réglementations britanniques et européennes, notre plateforme combine une gestion sécurisée des dossiers avec une ligne d'assistance téléphonique disponible 24 heures sur 24 et 7 jours sur 7, gérée par d'anciens agents de police britanniques – chacun ayant plus de 25 ans d'expérience en matière d'auditions. Certifiée ISO 27001, conforme au RGPD et hébergée sur des serveurs situés au Royaume-Uni, Safecall accompagne des organisations dans 150 pays et dans plus de 175 langues, en offrant la double conformité aux normes britanniques et européennes dont les multinationales ont besoin.
Pour savoir comment Safecall peut aider votre organisation à se conformer aux exigences en matière de dénonciation, contactez notre équipe ou appelez le +44 (0) 191 516 7720.
Sources et lectures complémentaires
- Directive (UE) 2019/1937 relative à la protection des personnes qui signalent des violations du droit de l'Union – eur-lex.europa.eu
- Loi de 1998 sur la divulgation d'informations d'intérêt public – legislation.gov.uk
- Règlement général sur la protection des données (RGPD) de l'UE, articles 5, 6, 33 et 35 – gdpr-info.eu
- Loi britannique de 2018 sur la protection des données – legislation.gov.uk
- Morrison Foerster, Aperçu des lois relatives à la dénonciation – mofo.com
- FCA, Lutte contre la corruption dans les établissements de dépôt, les entreprises d'investissement désignées par la PRA et les assureurs (PS15/24)