Quelles sont les politiques de conservation des données applicables aux systèmes d'alerte ?

La directive européenne relative à la protection des lanceurs d'alerte ajoute une complexité supplémentaire en imposant des exigences spécifiques en matière de traitement des données, tout en laissant aux États membres le soin de définir les règles détaillées relatives à la conservation des données. Il est essentiel de bien comprendre ces exigences qui se recoupent pour les responsables de la conformité chargés de mettre en œuvre ou de gérer les dispositifs de lancement d'alerte.

Pour plus d'informations sur les obligations liées à la conformité à la directive européenne, consultez notre centre de ressources sur la conformité à la directive européenne relative à la dénonciation.

L'article 5, paragraphe 1, point e), du RGPD énonce le principe de limitation de la conservation : les données à caractère personnel doivent être « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ».

Cela crée immédiatement des tensions dans les situations de dénonciation, où les données à caractère personnel comprennent :

Données permettant d'identifier le lanceur d'alerte : nom, coordonnées, informations professionnelles ou toute combinaison de données susceptibles d'identifier le lanceur d'alerte – même lorsque celui-ci a choisi de ne pas divulguer son nom, les métadonnées peuvent permettre de l'identifier.

Données relatives aux personnes concernées : informations concernant les personnes accusées de fautes professionnelles ou citées dans des rapports.

Données relatives aux témoins : informations concernant les collègues, les clients ou les tiers susceptibles de disposer d'informations pertinentes.

Données d'enquête : comptes rendus d'entretiens, éléments de preuve recueillis, décisions prises et mesures adoptées.

Aucune durée de conservation prescrite

Il est important de noter que le RGPD ne précise pas la durée pendant laquelle les organisations peuvent conserver les données. Les délais de conservation doivent être fixés en fonction :

Finalités du traitement : pourquoi ces données ont-elles été collectées ? Quels sont les objectifs légitimes justifiant leur conservation ?

Obligations légales : d'autres lois imposent-elles des délais de conservation spécifiques ?

Intérêts légitimes : existe-t-il des raisons commerciales valables justifiant la poursuite de la conservation des données ?

Attentes des personnes concernées : à quoi les personnes pouvaient-elles raisonnablement s'attendre au moment où leurs données ont été collectées ?

Dans le cadre des dispositifs d'alerte, ces facteurs peuvent aller dans des directions différentes. Un lanceur d'alerte signalant un cas de harcèlement sexuel peut s'attendre à ce que son identité soit protégée, mais aussi à ce que ses préoccupations fassent l'objet d'une enquête et donnent lieu à des mesures correctives. La personne visée par l'allégation s'attend à ce qu'une enquête équitable soit menée, mais aussi à ce que les allégations infondées soient écartées. L'organisation doit conserver les preuves d'une enquête menée en bonne et due forme afin de se défendre contre d'éventuelles plaintes en matière d'emploi ou face à un contrôle réglementaire.

Exigences de la directive européenne sur les lanceurs d'alerte

La directive européenne relative à la protection des lanceurs d'alerte aborde brièvement la question de la conservation des données à l'article 17, qui stipule :

« Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d'un signalement spécifique ne doivent pas être collectées ou, si elles ont été collectées par inadvertance, doivent être effacées sans retard injustifié. »

Par ailleurs, la directive s'aligne largement sur le RGPD tout en exigeant des États membres qu'ils veillent à ce que le traitement des signalements soit conforme à la législation sur la protection des données. Cela a donné lieu à des approches nationales variées.

Différences entre les États membres

Différents pays de l'UE ont mis en place des obligations de conservation spécifiques :

Portugal : la loi n° 93/2021 impose la conservation des dossiers relatifs aux signalements pendant au moins cinq ans à compter de la date de clôture du dossier. Cette disposition apporte une certitude claire, mais peut, dans certains cas, aller au-delà de l'exigence du RGPD selon laquelle les données ne doivent pas être conservées « plus longtemps que nécessaire ».

Allemagne : La loi sur la protection des lanceurs d'alerte (Hinweisgeberschutzgesetz) ne précise pas de délais de conservation, laissant aux organisations le soin de déterminer les durées appropriées en se fondant sur les principes du RGPD.

France : La loi Sapin II et les textes d'application qui en découlent imposent des délais de conservation permettant de démontrer le respect des obligations en matière de lutte contre la corruption, généralement interprétés comme allant de 5 à 7 ans.

Espagne : Les organisations doivent conserver leurs documents en vue d'éventuelles procédures judiciaires, les délais de conservation dépendant des délais de prescription applicables aux infractions concernées.

Cette fragmentation pose des difficultés aux multinationales qui cherchent à mettre en place des politiques de conservation des données cohérentes dans l'ensemble de leurs activités européennes.

Facteurs déterminant les durées de conservation appropriées

Les responsables de la conformité doivent tenir compte de multiples facteurs lorsqu'ils établissent des politiques de conservation des données :

Exigences en matière d'enquête

Les enquêtes relatives aux signalements peuvent s'étendre sur plusieurs mois, voire plusieurs années, en particulier dans les affaires complexes impliquant de nombreux témoins, des activités transfrontalières ou des enquêtes réglementaires menées en parallèle. Les données doivent être conservées pendant toute la durée des enquêtes en cours.

Même une fois les enquêtes terminées, les organisations peuvent être amenées à conserver des documents afin de :

Veiller à ce que les mesures correctives convenues soient mises en œuvre
Veiller à ce que les mesures de protection promises aux lanceurs d'alerte soient maintenues
Fournir des preuves si les lanceurs d'alerte invoquent par la suite une réponse insuffisante ou des représailles

Délais applicables aux procédures judiciaires

Au Royaume-Uni, les recours devant les tribunaux du travail doivent généralement être introduits dans un délai de trois mois à compter du fait incriminé, bien que ce délai puisse être prolongé dans les affaires de discrimination continue. Toutefois, les plaintes pour dénonciation peuvent porter sur des faits survenus plusieurs années auparavant si les représailles se poursuivent.

Les actions civiles et les enquêtes réglementaires peuvent être soumises à des délais de prescription plus longs. La conservation des dossiers relatifs aux signalements pendant 6 à 7 ans permet de couvrir la plupart des procédures judiciaires susceptibles de se référer à ces signalements ou enquêtes.

Attentes réglementaires

Les autorités de régulation qui examinent les dispositifs d'alerte interne des organisations s'attendent à constater, au fil du temps, des preuves d'un traitement approprié. Lorsqu'elle évalue les procédures d'alerte interne des entreprises, l'Autorité de conduite financière peut demander des données concernant :

Nombre et types de rapports reçus
Résultats de l'enquête
Mesures de protection mises en place
Comment ces préoccupations ont été prises en compte

Pour le démontrer, il faut conserver les données récapitulatives même après la suppression des détails relatifs à chaque cas.

Reconnaissance de formes

Des signalements répétés concernant un même service, un même responsable ou un même type de comportement peuvent révéler des problèmes systémiques nécessitant des mesures correctives. La conservation de données suffisantes pour identifier des tendances sert l'intérêt légitime de l'organisation à prévenir les fautes professionnelles.

Il convient toutefois de trouver un juste équilibre avec le principe de minimisation des données. Les organisations peuvent conserver des synthèses statistiques et des thèmes généraux tout en supprimant les informations personnelles détaillées une fois les dossiers clos.

Stratégies pratiques de conservation des données

Les organisations peuvent mettre en place des politiques de conservation qui concilient des exigences contradictoires :

Durées de conservation différenciées

Les différents types de données relatives aux signalements justifient des durées de conservation différentes :

Données relatives aux dossiers en cours : conservées pendant toute la durée de l'enquête et de la mise en œuvre du suivi (généralement entre 3 et 12 mois).

Dossiers clos : conservés pendant 6 à 7 ans afin de couvrir d'éventuelles procédures judiciaires, puis supprimés de manière sécurisée, sauf en cas de litige ou d'enquête en cours.

Allégations non fondées : lorsque les enquêtes ne révèlent aucune preuve d'actes répréhensibles, il convient d'envisager une suppression anticipée (éventuellement après 2 à 3 ans) afin de protéger la réputation des personnes mises en cause.

Données statistiques : les statistiques récapitulatives anonymisées (nombre de rapports, types, résultats) peuvent être conservées plus longtemps que les dossiers détaillés, car elles ne contiennent aucune donnée à caractère personnel une fois correctement anonymisées.

Données relatives à l'identité des lanceurs d'alerte : lorsque la possibilité de signaler des faits de manière anonyme est offerte, aucune donnée relative à l'identité ne doit être collectée. Lorsque l'identité est connue, ces données doivent bénéficier de la protection la plus stricte et faire l'objet d'une durée de conservation potentiellement plus courte que les autres données relatives au dossier.

Réduction progressive des données

Au lieu de conserver indéfiniment l'intégralité des dossiers, les organisations peuvent supprimer progressivement les données à caractère personnel tout en conservant les documents essentiels :

Années 0 à 2 : dossier complet conservé à des fins de prise en charge active et de suivi éventuel.

Années 2 à 7 : les informations personnelles détaillées sont supprimées ; un résumé est conservé, indiquant la nature du problème, les conclusions de l'enquête et les mesures prises.

À partir de 7 ans : toutes les données à caractère personnel sont supprimées ; seuls les résumés statistiques sont conservés à des fins d'analyse des tendances et de démonstration de la conformité.

Exceptions à la conservation légale

Les délais de conservation standard ne s'appliquent plus lorsque les données sont concernées par des procédures judiciaires, des enquêtes réglementaires ou des demandes d'accès aux données. Les politiques de conservation des données doivent prévoir des procédures permettant d'identifier et de mettre en œuvre des mesures de conservation à des fins juridiques lorsque cela s'avère nécessaire.

Considérations relatives à la mise en œuvre technique

Une conservation efficace des données nécessite des mesures techniques appropriées :

Stockage sécurisé

Les données relatives aux signalements doivent être conservées sous forme cryptée et faire l'objet de contrôles d'accès limitant leur consultation au personnel autorisé uniquement. L'article 32 du RGPD exige la mise en place de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque.

Chez Safecall, toutes les données relatives aux dossiers sont conservées :

Chiffrement de bout en bout pendant le transfert et au repos
Contrôles d'accès basés sur les rôles
Des journaux d'audit complets indiquant qui a consulté quelles données et à quel moment
Tests de sécurité réguliers et certification selon la norme ISO 27001

Suppression automatique

Les processus manuels de suppression des données sont sujets aux erreurs et aux incohérences. Les systèmes automatisés qui marquent les données à supprimer selon des critères prédéfinis garantissent une application cohérente des politiques de conservation.

Toutefois, la suppression automatique doit s'accompagner de mesures de protection :

Vérification manuelle avant la suppression lorsque les dossiers peuvent avoir des répercussions à long terme
Fonctionnalité de conservation à des fins juridiques empêchant la suppression des données pertinentes pour une procédure judiciaire
Méthodes de suppression sécurisée garantissant que les données ne peuvent pas être récupérées

Anonymisation ou suppression

Dans certains cas, l'anonymisation constitue une alternative à la suppression. Les données véritablement anonymisées (celles pour lesquelles il n'est plus possible d'identifier les personnes concernées) ne sont plus considérées comme des données à caractère personnel au sens du RGPD et peuvent être conservées indéfiniment à des fins d'analyse statistique et de reconnaissance de tendances.

Cependant, il est difficile de garantir un anonymat véritable. Le simple fait de supprimer les noms tout en conservant les fonctions, les services, les dates et les allégations spécifiques peut encore permettre d'identifier les personnes concernées, en particulier dans les petites structures ou pour des types de signalements inhabituels.

Transferts transfrontaliers de données

Les organisations exerçant leurs activités dans plusieurs pays doivent tenir compte des exigences relatives à la localisation des données. Le RGPD restreint les transferts de données à caractère personnel en dehors de l'Espace économique européen, sauf si des garanties appropriées sont mises en place.

Les organisations britanniques qui gèrent des dispositifs d'alerte pour le compte d'entités de l'UE doivent veiller à ce que :

Les données fournies par les lanceurs d'alerte de l'UE sont traitées et conservées conformément au RGPD
Des mécanismes de transfert appropriés sont en place en cas d'accès aux données depuis le Royaume-Uni
Les recommandations des autorités locales chargées de la protection des données sont respectées dans chaque État membre

Obligations en matière de tenue des registres

Au-delà de la conservation des dossiers, les organisations doivent conserver des documents attestant de leur conformité :

Les organisations doivent consigner par écrit :

Catégories de données à caractère personnel traitées dans les systèmes d'alerte
Finalités du traitement
Destinataires des données
Délais de conservation
Mesures de sécurité mises en place

Ces registres doivent être mis à la disposition des autorités chargées de la protection des données sur simple demande.

Analyses d'impact relatives à la protection des données

Les dispositifs d'alerte professionnelle nécessitent généralement des analyses d'impact relatives à la protection des données (AIPD), car ils impliquent :

Traitement systématique des données relevant de catégories particulières (allégations de comportements criminels, informations relatives à la santé, etc.)
Traitement à grande échelle de données à caractère personnel
Traitements susceptibles de présenter un risque élevé pour les droits et libertés des personnes

Les AIPD doivent être réexaminées et mises à jour lorsque les opérations de traitement subissent des modifications importantes.

Signalement aux autorités compétentes

Certains États membres exigent des organisations qu'elles communiquent aux autorités compétentes des statistiques relatives aux signalements. Ces obligations de déclaration impliquent la conservation de données récapitulatives démontrant le respect des exigences de la directive, notamment :

Nombre de signalements reçus
Types de préoccupations soulevées
Calendrier de l'enquête
Résultats et mesures prises

Comment Safecall gère la conservation des données

L'approche de Safecall en matière de conservation des données concilie les exigences légales et les principes de protection des données :

Des politiques de conservation claires

Notre logiciel de gestion des dossiers met en œuvre des politiques de conservation configurables qui :

Marquer automatiquement les données pour révision et suppression en fonction des dates de clôture des dossiers
Activer les mesures de conservation légale afin d'empêcher la suppression des données pertinentes pour la procédure
Tenir à jour des pistes d'audit complètes pour tous les traitements de données
Favoriser une réduction progressive des données à mesure que les dossiers prennent de l'âge

Localisation des données au Royaume-Uni et dans l'EEE

Toutes les données des lanceurs d'alerte de Safecall sont hébergées au Royaume-Uni, en totale conformité avec le RGPD. Pour les organisations exigeant que les données soient hébergées dans l'EEE, nous garantissons des mesures de protection adéquates en matière de localisation et de transfert des données.

Sécurité et contrôles d'accès

Des contrôles d'accès stricts limitent l'accès aux données au personnel autorisé uniquement, et tous les accès aux données font l'objet d'une journalisation exhaustive. Cela permet de réduire les risques de divulgation non autorisée tout en conservant des traces attestant d'un traitement approprié des données.

Examen indépendant

En tant que prestataire externe, Safecall assure un contrôle indépendant des décisions relatives à la conservation des données, ce qui réduit les risques de conservation inappropriée des données due à des pressions internes ou à des conflits d'intérêts.

Choosing an external whistleblowing provider simplifies data retention considerably, because responsibility for implementing and enforcing compliant policies sits with a specialist rather than being absorbed by internal compliance teams. Safecall has managed whistleblowing data under UK and EU data protection frameworks since 1999, and its case management software includes configurable retention schedules, automated deletion flagging, legal hold functionality, and full audit trails as standard. Data is held on UK-resident servers with ISO 27001-certified security controls, and — because Safecall operates as a structurally independent third party — there is no internal pressure to retain data beyond its legitimate purpose. For organisations managing programmes across 150 countries, that combination of technical rigour and genuine independence is difficult to replicate in-house.

Prochaines étapes

Mettre en place des politiques de conservation des données conformes au RGPD pour les systèmes d'alerte :

Durées de conservation des données relatives aux différents types de signalements, en fonction des finalités du traitement et des exigences légales
Mettre en place des mesures techniques permettant un stockage sécurisé et une suppression automatisée
Mettre en place des procédures de conservation légale pour les données pertinentes dans le cadre d'une procédure judiciaire
Examiner les exigences des États membres applicables aux organisations opérant dans plusieurs pays de l'UE
Réaliser des analyses d'impact relatives à la protection des données et les mettre à jour en cas de modification des traitements

Pour bénéficier de conseils d'experts sur la mise en place de systèmes d'alerte interne conformes à la réglementation en matière de protection des données, contactez Safecall au +44 (0) 191 516 7720 ou rendez-vous sur notre page dédiée aux solutions d'alerte.

Pour une vue d'ensemble plus large de la conformité, consultez notre centre de ressources consacré à la conformité à la directive européenne sur le lancement d'alerte ainsi que nos conseils sur la manière dont les services de lancement d'alerte contribuent à réduire la responsabilité civile des employeurs.