NOUVEAU : Téléchargez dès aujourd'hui le rapport de référence 2026 sur la dénonciation

Comment les données des lanceurs d'alerte sont-elles stockées et protégées ?

Les données relatives aux lanceurs d'alerte comptent parmi les informations les plus sensibles détenues par une organisation.

Un dossier individuel peut contenir l'identité du lanceur d'alerte (ou les données techniques susceptibles de la révéler), le nom de la personne accusée d'actes répréhensibles, les coordonnées des témoins, les conclusions de l'enquête, des documents financiers et, éventuellement, des données relevant de catégories particulières, telles que des informations médicales ou des preuves de comportements criminels. La manière dont ces données sont stockées – leur emplacement, les personnes autorisées à y accéder, leur durée de conservation et ce qu'il advient d'elles lorsqu'elles ne sont plus nécessaires – n'est pas une simple question technique secondaire. Il s'agit d'une décision de gouvernance ayant des conséquences directes sur le plan réglementaire, juridique et en matière de réputation.

Pour les responsables de la conformité, il est essentiel de bien comprendre l'architecture de stockage et de protection de leur système d'alerte, tant pour respecter les obligations en matière de protection des données que pour préserver la confiance des lanceurs d'alerte, sur laquelle repose l'ensemble du programme.

Où sont stockées les données relatives aux signalements

Le lieu physique et juridique où sont conservées les données relatives aux signalements détermine quelles lois sur la protection des données s'appliquent, quelles autorités de régulation sont compétentes et quel est le degré de complexité de la mise en conformité pour les multinationales.

Localisation des données

La résidence des données désigne le lieu géographique où les données à caractère personnel sont physiquement stockées. Pour les systèmes de signalement, cet aspect est important car le RGPD et le RGPD britannique imposent des restrictions au transfert de données à caractère personnel en dehors de l'Espace économique européen (EEE) ou du Royaume-Uni, à moins que des garanties appropriées ne soient mises en place. L'hébergement des données d'alerte au sein de la juridiction de l'organisation elle-même – par exemple, la résidence des données au Royaume-Uni pour les organisations basées au Royaume-Uni – élimine le besoin de mécanismes de transfert international pour les données nationales et apporte une réponse claire et vérifiable à la question que se poseront les régulateurs et les personnes concernées : où se trouvent mes données ?

Pour les multinationales, les décisions relatives à la localisation des données deviennent plus complexes. Certaines entreprises choisissent d'héberger toutes les données relatives aux signalements dans une seule juridiction dotée de normes strictes en matière de protection des données. D'autres ont recours à un hébergement géographiquement réparti afin de se conformer aux exigences locales en matière de localisation des données. Le principe fondamental est le suivant : quel que soit le lieu de stockage des données, les mesures de protection appliquées doivent respecter la norme la plus stricte applicable – et l'entreprise doit être en mesure de le démontrer à toute autorité de régulation compétente.

Modèle d'hébergement : interne ou externe

Les données relatives aux signalements peuvent être hébergées sur l'infrastructure propre à l'organisation, sur une plateforme cloud tierce ou sur une infrastructure gérée par le prestataire de services de signalement. Chaque modèle présente des caractéristiques de risque différentes.

Les systèmes hébergés en interne permettent à l'organisation d'exercer un contrôle direct sur les données, mais l'exposent également à des risques liés à l'accès interne. Les administrateurs informatiques, les gestionnaires de bases de données et, potentiellement, d'autres membres du personnel disposant de droits d'accès étendus au système peuvent être en mesure d'accéder aux dossiers de dénonciation – ce qui constitue une préoccupation majeure lorsque le canal est destiné à traiter des signalements concernant des cadres supérieurs. Les systèmes hébergés en externe et gérés par un prestataire indépendant créent une séparation structurelle : le personnel technique de l'organisation n'a pas d'accès administratif à la plateforme, et les contrôles de sécurité du prestataire fonctionnent indépendamment de l'environnement informatique interne de l'organisation.

Cette indépendance structurelle est l'un des principaux arguments en faveur de l'hébergement externe. Elle évite à l'organisation de devoir compter sur ses propres politiques informatiques pour empêcher tout accès non autorisé : elle supprime purement et simplement toute voie d'accès.

Comment les données relatives aux signalements sont-elles protégées ?

Cryptage

Le chiffrement constitue la protection fondamentale des données issues de la dénonciation. Les données doivent être chiffrées à la fois en transit (lorsqu'elles circulent entre l'appareil du lanceur d'alerte et la plateforme) et au repos (lorsqu'elles sont stockées sur des serveurs). Le protocole TLS (Transport Layer Security) protège les données en transit, tandis que le chiffrement AES-256 est la norme largement acceptée pour les données au repos. Ensemble, ces mesures garantissent que, même en cas de violation ou d'interception, le contenu des signalements reste incompréhensible sans les clés de déchiffrement appropriées.

L'amende de 40 000 euros infligée par l'autorité italienne de protection des données à l'aéroport de Bologne pour avoir exploité un système de signalement sans cryptage adéquat illustre concrètement les attentes réglementaires. Le cryptage n'est pas une fonctionnalité optionnelle : il s'agit d'une exigence minimale que les autorités de régulation prendront en compte lors de l'évaluation de la conformité.

Contrôles d'accès

Les contrôles d'accès basés sur les rôles limitent les personnes autorisées à consulter, modifier et traiter les données relatives aux signalements. Dans un système correctement configuré, l'accès est réservé au personnel spécifiquement habilité : le responsable de la conformité désigné, les enquêteurs désignés et, si nécessaire, les conseillers juridiques. Les cadres supérieurs, les généralistes des ressources humaines, les administrateurs informatiques et les autres employés ne devraient pas y avoir accès, sauf si cet accès leur a été spécifiquement accordé dans un but précis et documenté.

L'authentification multifactorielle ajoute un niveau de protection supplémentaire pour tous les utilisateurs ayant accès à la gestion des dossiers, garantissant ainsi qu'un mot de passe piraté ne suffit pas à lui seul pour accéder au système. Des paramètres d'autorisation détaillés permettent d'attribuer différents niveaux d'accès : un gestionnaire de dossiers peut disposer d'un accès complet aux dossiers qui lui sont attribués, tandis que le responsable de la conformité supervise les données au niveau du programme sans nécessairement consulter les détails de chaque dossier.

Pistes d'audit

Chaque interaction avec les données relatives aux signalements doit être consignée dans une piste d'audit exhaustive : qui a consulté quel dossier, quand, quelles actions ont été effectuées et quelles données ont été consultées. Cette journalisation a un double objectif. En matière de conformité, il fournit la preuve que les obligations de confidentialité prévues par la directive européenne sur la dénonciation et le RGPD ont été respectées. En matière de sécurité, il permet de détecter des schémas d'accès anormaux – tels qu'un utilisateur consultant des dossiers qui ne lui sont pas attribués ou accédant au système à des heures inhabituelles – qui peuvent indiquer une compromission ou une menace interne.

Mesures de protection de l'anonymat

La protection de l'identité des lanceurs d'alerte anonymes nécessite des mesures techniques spécifiques allant au-delà des contrôles d'accès standard. La plateforme doit éviter d'enregistrer les adresses IP des soumissions anonymes, supprimer les métadonnées des documents téléchargés (en supprimant les noms d'auteur, les identifiants d'appareil et les coordonnées GPS) et veiller à ce qu'aucune donnée de reconnaissance du navigateur ou de l'appareil ne soit collectée. Sans ces mesures de protection, un lanceur d'alerte qui se croit anonyme pourrait être identifié par inadvertance grâce aux données techniques capturées par le système.

La décision de ne pas enregistrer les rapports téléphoniques relève également de considérations liées au stockage. Les enregistrements vocaux constituent des données à caractère personnel et peuvent être considérés comme des données biométriques dans certaines conditions de traitement. Les prestataires qui n'enregistrent pas les appels éliminent totalement cette catégorie de données sensibles de leur système de stockage, ce qui réduit à la fois la charge liée à leur protection et le risque associé à une éventuelle violation.

Combien de temps les données relatives aux signalements sont-elles conservées ?

Le principe de limitation de la conservation des données prévu par le RGPD exige que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire au regard des finalités pour lesquelles elles ont été collectées. En ce qui concerne les données relatives aux signalements, cela implique d'appliquer des délais de conservation différenciés en fonction de l'issue des dossiers.

Conformément aux lignes directrices du Contrôleur européen de la protection des données relatives à la dénonciation, la meilleure pratique consiste à conserver les signalements qui ne donnent pas lieu à une enquête pendant une période plus courte – généralement deux à trois mois – et à conserver plus longtemps les données issues d’enquêtes abouties, lorsque cela est nécessaire pour étayer des procédures disciplinaires, des mesures réglementaires ou des litiges. Plusieurs transpositions nationales au sein de l'UE imposent des exigences spécifiques : l'Autriche, par exemple, exige que les enregistrements de toutes les opérations de traitement liées aux canaux de signalement internes soient conservés pendant trois ans au-delà de la période de conservation applicable.

La technologie permet d'appliquer ces calendriers différenciés de manière cohérente et automatique. Les règles de conservation configurables au sein de la plateforme de gestion des dossiers permettent de marquer les dossiers pour examen, archivage ou suppression en fonction de leur issue et de la durée de conservation applicable, éliminant ainsi le recours à des cycles d'examen manuels, qui sont sujets à des oublis et à des incohérences.

Que se passe-t-il lorsque des données sont supprimées ?

La suppression des données relatives aux signalements doit être sécurisée et vérifiable. Le simple fait de supprimer un dossier de l'interface de gestion des dossiers ne garantit pas nécessairement sa suppression de la base de données sous-jacente, des systèmes de sauvegarde ou des espaces d'archivage. Une suppression sécurisée implique que les données soient écrasées ou effacées de manière cryptographique afin d'empêcher toute récupération, et que cette suppression s'applique à tous les emplacements de stockage, y compris les sauvegardes et les environnements répliqués.

L'organisation doit être en mesure de prouver, si une autorité de contrôle ou une personne concernée le demande, que les données ont été supprimées conformément au calendrier de conservation applicable. Cela signifie que le processus de suppression lui-même doit être consigné et vérifiable – un autre domaine dans lequel la technologie impose une rigueur que les processus manuels peinent à maintenir.

Questions que les responsables de la conformité devraient poser

Lorsqu'ils évaluent la manière dont les données relatives aux signalements sont stockées et protégées – qu'il s'agisse d'examiner un système existant ou de choisir un nouveau prestataire –, les responsables de la conformité doivent obtenir des réponses claires aux questions suivantes :

  • Dans quelle juridiction les données sont-elles physiquement stockées, et cela répond-il à toutes les exigences applicables en matière de résidence des données ?
  • Les données sont-elles chiffrées conformément aux normes en vigueur (TLS pendant le transfert, AES-256 au repos) ?
  • Qui a accès au système, et les contrôles basés sur les rôles sont-ils appliqués avec une authentification multifactorielle ?
  • L'équipe informatique de l'organisation dispose-t-elle d'un accès administrateur à la plateforme ?
  • Les journaux d'audit sont-ils exhaustifs et couvrent-ils tous les événements et toutes les actions liés à l'accès ?
  • Des mesures de protection de l'anonymat sont-elles en place, notamment la suppression de l'adresse IP et le retrait des métadonnées ?
  • Les appels téléphoniques sont-ils enregistrés, et si oui, comment ces enregistrements sont-ils conservés, protégés et supprimés ?
  • Les calendriers de conservation sont-ils configurables en fonction de l'issue de l'affaire, et la suppression est-elle sécurisée et vérifiable ?
  • Le prestataire est-il certifié ISO 27001, et cette certification est-elle à jour ?

Un prestataire capable de répondre clairement à chacune de ces questions – et de fournir des documents à l'appui d'une analyse d'impact relative à la protection des données – donne au responsable de la conformité l'assurance que le stockage et la protection des données relatives aux signalements répondent aux normes attendues par les autorités de régulation, les auteurs de signalements et le conseil d'administration.

Ressources connexes

Comment Safecall peut vous aider

Safecall stocke et protège les données relatives aux signalements de manière conforme aux normes les plus strictes. Notre plateforme est hébergée sur des serveurs situés au Royaume-Uni, certifiés ISO 27001 et conformes au RGPD, et bénéficie d’un chiffrement de bout en bout, de contrôles d’accès basés sur les rôles, d’un journal d’audit complet et d’un effacement des métadonnées pour les signalements anonymes. Nous n'enregistrons pas les appels téléphoniques, ce qui élimine toute une catégorie de données sensibles du stockage. Comme Safecall fonctionne indépendamment de l'infrastructure informatique de nos clients, leur personnel technique interne n'a aucun accès administratif au système. Fort de plus de 25 ans d'expérience opérationnelle et d'un taux de fidélisation de la clientèle de 95 %, Safecall fournit une architecture de stockage et de protection que les responsables de la conformité peuvent documenter dans leur AIPD et présenter à leur conseil d'administration en toute confiance.

Pour savoir comment Safecall protège les données relatives aux signalements au sein de votre organisation, contactez notre équipe ou appelez le +44 (0) 191 516 7720.

Sources et lectures complémentaires

  • Règlement général sur la protection des données (RGPD) de l'UE, articles 5, 25 et 32, chapitre V – gdpr-info.eu
  • Contrôleur européen de la protection des données (CEPD), Lignes directrices relatives au traitement des données à caractère personnel dans le cadre d'une procédure de dénonciation (2019) – edps.europa.eu
  • Directive (UE) 2019/1937 relative à la protection des personnes qui signalent des violations du droit de l'Union – eur-lex.europa.eu
  • ISO/IEC 27001:2022, Systèmes de gestion de la sécurité de l'information – iso.org
  • Morgan Lewis, Conséquences des procédures de dénonciation sur la protection des données dans l'UE et au Royaume-Uni (2024) – Mesures coercitives à l'aéroport de Bologne, pratiques de conservation des données – lexology.com
  • Morrison Foerster, Aperçu des lois relatives à la mise en œuvre des dispositifs d'alerte – Obligations de conservation des données en Autriche – mofo.com