AgentPublic/cnil huggingface dataset:
Exemple 3 (DAP uniques) :
Un DAP unique peut être mis en place pour répondre à plusieurs finalités distinctes, par exemple pour traiter à la fois les alertes "de droit commun" (article 6 de la Loi "Sapin 2"), celles répondant au devoir de vigilance (art. L 225-102-4 du code du commerce) et celles résultant de l’application d’une charte ou d’un code éthique. Il devrait explicitement viser l’ensemble des finalités correspondantes, en distinguant celles qui résultent d’une disposition obligatoire spécifique de celles qui sont adoptées volontairement par l’organisme.
14. Les informations recueillies dans le cadre d’un DAP ne peuvent pas être réutilisées pour poursuivre un autre objectif qui serait incompatible avec les finalités mentionnées plus haut (v. le point 13).
A titre d’exemple, une réutilisation à des fins de la défense des droits de l’organisme dans le cadre d’un procès lié à l’alerte, constituerait a priori un objectif compatible. Il est à noter qu’en raison de l’encadrement strict des alertes professionnelles par le législateur, les hypothèses d’une réutilisation ultérieure des données d’une alerte sont en pratique très limitées. Par ailleurs, tout nouvel usage des données devra respecter l’ensemble des principes de protection des données personnelles.
15. Les traitements mis en œuvre ne doivent pas donner lieu à des mises en relation autres que celles nécessaires à l’accomplissement des finalités ci-dessus énoncées.
4. Bases légales du traitement
16. Chaque finalité du traitement doit reposer sur l’une des "bases légales" fixées par la réglementation. Dans le cadre du présent traitement, la base légale peut être :
a) Le respect d’une obligation légale incombant à l’organisme, imposant la mise en œuvre d’un DAP.
Afin de pouvoir invoquer ce fondement, le responsable du traitement s’assure de la réalisation des conditions suivantes :
- l’obligation de mettre en œuvre un DAP résulte d’une source interne du droit français (par exemple, la loi "Sapin 2"), d’un engagement international signé et ratifié par la France, ou encore du droit dérivé des organisations internationales et européennes dont la France fait partie ;
- l’organisme y est effectivement soumis au regard des critères retenus par la réglementation en question (par exemple, le dépassement des seuils de taille des effectifs, du chiffre d’affaires, la réalisation des opérations d’une certaine nature, etc.).
b) La réalisation de l’intérêt légitime poursuivi par l’organisme ou par le destinataire des données, sous réserve de ne pas méconnaître l’intérêt ou les droits et libertés fondamentaux de la personne concernée.
Ce fondement juridique s’applique lorsque la mise en place d’un DAP ne résulte pas d’une obligation légale.
17. Il incombe à chaque responsable du traitement de s’assurer du choix de l’une et/ou de l’autre de ces bases, en fonction des règles qui sont applicables à son entité.
18. Lorsqu’un DAP répond à une obligation légale précise (par exemple, celles résultant des articles 8 et/ou 17 de la loi "Sapin II", de la loi "devoir de vigilance", etc.), tout en permettant le recueil d’alertes relatives à un engagement volontaire de l’organisme (par exemple, prévues par un code éthique interne, ou par un texte législatif auquel l’organisme n’est pas juridiquement soumis), il appartient au responsable du traitement de distinguer non seulement ces finalités elles-mêmes (v. le n°13), mais également les bases légales qui fondent chacune de celles-ci.
5. Données personnelles concernées
5.1 Principes de pertinence et de minimisation des données
5.1.1 Au stade du recueil de l’alerte 
19. Pour les besoins de ce référentiel, la phase de recueil d’une alerte est entendue comme la période couvrant la réception de l’alerte par l’organisme et l’envoi du récépissé à son auteur.
20. Le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. Une attention particulière doit être portée aux faits pouvant être signalés via les DAP mis en place, d’initiative, par des organismes qui ne sont pas assujettis à des obligations spécifiques en ce sens. En l’absence d’encadrement spécifique par les textes législatifs et réglementaires en vigueur, il incombe au responsable du traitement de s’assurer tout particulièrement du respect, dans cette hypothèse, des droits, libertés et intérêts légitimes de l’ensemble des personnes pouvant être concernées par une alerte.
21. Les DAP présentent une particularité du fait que c’est le lanceur d’alerte qui choisit la nature et le volume des informations, notamment à caractère personnel, qu’il estime devoir communiquer. Le responsable de traitement est ensuite fondé à traiter ces données dans le cadre du signalement.
22. Néanmoins, il est recommandé au responsable du traitement de rappeler aux auteurs de signalements que les informations communiquées dans le cadre d’un DAP :
- doivent rester factuelles et présenter un lien direct avec l’objet de l’alerte ;
- ne doivent pas relever du secret de la défense nationale, du secret médical, du secret des délibérations judiciaires, du secret de l'enquête ou de l'instruction judiciaires ou du secret professionnel de l'avocat.
23. Lorsqu’un signalement émis de bonne foi s’avère être hors champ du DAP et sous réserve des dispositions spécifiques contraires, les organismes doivent garantir aux personnes concernées le même niveau de protection contre des représailles, ainsi que le même niveau de confidentialité de l’identité du lanceur d’alerte que ceux résultant des articles 6 et suivants de la loi Sapin 2 modifiée.
5.1.2 Au stade de l’instruction de l’alerte
24. Pour les besoins de ce référentiel, la phase d’instruction d’une alerte est entendue comme la période qui débute par la réception de l’alerte par l’organisme, et qui se termine par la prise de décision quant aux suites réservées à l’alerte et par l’information de son auteur.
25. Cette phase permet à l’organisme de vérifier l’exactitude des faits signalés. Pendant cette période, le DAP peut être utilisé en vue de documenter les diligences accomplies par l’organisme en ce sens (analyse juridique et technique des faits, collecte des preuves, échanges avec différentes parties prenantes, audition des personnes susceptibles de fournir des informations pertinentes, réalisation d’actes d’expertise, prise de mesures conservatoires, etc.).
26. La phase d’instruction est caractérisée par le rôle du responsable de traitement dans la détermination des éléments qui pourront être collectés ou conservés dans le DAP.
27. Il lui appartient donc de s’assurer que seules les informations pertinentes et nécessaires au regard des finalités du traitement sont collectées et/ou conservées dans le DAP. Tel est généralement le cas des catégories suivantes :
· alerte (les faits signalés) ;
· identité, fonctions et coordonnées de :
o l'émetteur de l'alerte ;
o personnes faisant l'objet de l’alerte ;
o personnes intervenant, consultées ou entendues dans le recueil ou dans le traitement de l'alerte ;
o facilitateurs et personnes en lien avec l’émetteur de l’alerte ;
· éléments recueillis dans le cadre de la vérification des faits signalés ;
· comptes rendus des opérations de vérification ;
· suites données à l'alerte.
28. Après s’être assuré de la nécessité et de la pertinence des données personnelles qu’il utilise, l’organisme doit par ailleurs s’assurer, tout au long de la durée de vie du traitement, de la qualité des données qu’il traite. Cela signifie en pratique que les données soient exactes et mises à jour.
5.1.3 Après la prise de la décision sur les suites à réserver à l’alerte
29. Lorsque la décision sur les suites à donner à l’alerte est prise par l’organisme, seules les données nécessaires aux finalités suivantes peuvent être conservées :
- assurer la protection des différentes parties prenantes (auteurs des signalements, facilitateurs, personnes mentionnées ou visées dans l’alerte) contre le risque de représailles ;
- permettre de constater, exercer et défendre ses droits en justice ;
- réaliser des audits internes ou externes de ses processus de conformité.
30. L’organisme doit veiller à ce que les modalités de conservation de ces éléments écartent la probabilité d’un détournement des finalités de la conservation.
5.2 Le traitement de données sensibles et de données d’infraction
31. Deux catégories de données appellent une vigilance renforcée.
32. D’une part, certaines données en raison de leur caractère particulièrement sensible, notamment celles qui révèlent l'origine ethnique ou prétendument raciale, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d’une personne, des données génétiques, des données biométriques, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne, bénéficient d’une protection particulière et ne peuvent être traitées que moyennant le respect de conditions spécifiques figurant à l’article 9 du RGPD et aux articles 6 et 44 de la LIL.
33. Dans le cadre du présent traitement, ces données peuvent notamment être traitées dans la mesure où la mise en place de DAP répond à un intérêt public important au sens de l’article 9.2.g) du RGPD ou encore est nécessaire, le cas échéant, à la constatation, à l'exercice ou à la défense d'un droit en justice au sens de l’article 9.2.f).
34. D’autre part, les données collectées et traitées dans le cadre des DAP peuvent également comprendre des données relatives aux infractions, condamnations et mesures de sûreté concernant des personnes physiques. De telles données ne peuvent être collectées et traitées que dans des conditions définies à l’article 10 du RGPD et à l’article 46 de la LIL.
35. Dans le cadre du présent traitement, la collecte des données sensibles et des données relatives aux infractions peut être autorisée :
· par des dispositions spécifiques du droit national (par exemple, articles 8 ou 17 de la loi "Sapin 2", article L. 225-102-4.-I. du code de commerce, etc. ;
· ou pour permettre au responsable de traitement "de préparer et, le cas échéant, d'exercer et de suivre une action en justice en tant que victime, mise en cause, ou pour le compte de ceux-ci", conformément à l’article 46-3° de la LIL.
5.3 Traitement de l’identité de l’auteur d’une alerte
5.3.1 Signalements effectués de manière anonyme
36. La règlementation applicable aux alertes internes distingue entre "les signalements effectués de manière anonyme", et les signalements pour lesquels les auteurs ont fourni des informations susceptibles de les identifier.
37. Pour les besoins de ce référentiel, sera considéré comme un "signalement effectué de manière anonyme" tout signalement dont l’auteur aura choisi de ne pas révéler son identité (nom, prénom, fonction, identifiants, adresse de courriel nominative, etc.), peu important qu’il puisse être possible de l’identifier au terme d’une enquête ou recherche complémentaire.
38. La plupart des dispositions régissant telle ou telle alerte spécifique (par exemple, le signalement d’une situation de conflits d’intérêts en application de l’article L. 135-3 du code général de la fonction publique (CGFP), le signalement des actes de violence, alertes anti-corruption de l’article 17 de la loi Sapin 2, etc.
[1]
) ne prévoient pas de règles particulières relatives au traitement des signalements effectués de manière anonyme. Il en va différemment dans le cas des alertes internes relevant du régime des articles 6 et suivants de la loi Sapin 2 modifiée. Dans ce dernier cas, les règles de procédure élaborées par les organismes doivent préciser "les suites données aux signalements anonymes".
39. Les DAP mis en place par les organismes devraient permettre aux auteurs d’émettre leurs signalements de manière anonyme.
40. Le DAP devrait, dans ce cas, permettre une poursuite des échanges avec l’auteur de l’alerte tout en lui conservant le bénéfice de l’anonymat (il est par exemple envisageable de lui demander de fournir une adresse électronique qui ne permette pas son identification ou l’adresse d’une boîte postale).
41. Sauf obligation légale contraire ou consentement de l’auteur du signalement, les organismes doivent s’abstenir de toute tentative de réidentification d’un lanceur d’alerte qui a souhaité émettre un signalement de manière anonyme.
42. Par application des principes de protection de vie privée par défaut et de minimisation des données par défaut, il est vivement recommandé aux entreprises de ne pas avoir recours à des procédés techniques rendant possible la réidentification des auteurs des signalements anonymes (dépôt des cookies et des pisteurs sur le terminal de l’utilisateur, collecte et recoupement des informations telles que les adresses IP, les paramètres de configuration du terminal, etc.).
5.3.2 Le traitement de l’identité du lanceur d’alerte
43. Si l'émetteur de l'alerte professionnelle choisit de s'identifier, ou si une disposition spécifique oblige l’organisme à identifier l’auteur d’un signalement anonyme, son identité est traitée de façon confidentielle par les personnes chargées de la gestion des alertes.
6. Accédants et destinataires des informations
44. Les données personnelles doivent uniquement être accessibles aux personnes habilitées à en connaitre au regard de leurs attributions.
45. Les habilitations d’accès doivent être documentées par les organismes, et les accès aux différents traitements doivent faire l’objet de mesures de traçabilité. Voir point "10. Sécurité" pour plus de détails.
6.1. L’externalisation du traitement des alertes
46. Le recours à différentes formes de mutualisation ou d’externalisation des opérations liées au traitement du signalement est susceptible d’entrainer une qualification des entités concernées en tant que "responsable de traitement", "sous-traitant" ou "responsable conjoint de traitement", au sens du RGPD.
47. Il appartient à l’organisme qui décide de s’engager dans une telle démarche, de déterminer le statut respectif des parties prenantes précédemment à la mise en place du traitement en question. Un contrat, définissant les caractéristiques du traitement ainsi que les différentes obligations des parties en matière de protection des données, doit être établi entre elles (cf. le chapitre IV du RGPD "responsable du traitement et sous-traitant").
48. Le responsable de traitement qui souhaite avoir recours à un sous-traitant doit veiller à ne faire appel qu’à des organismes présentant des garanties suffisantes, notamment lorsqu’il confie son canal de réception des signalements à un tiers agissant pour son compte.
49. Par ailleurs, les différentes règles encadrant les différents dispositifs d’alertes spécifiques prévoient la possibilité, pour l’organisme mettant en place un DAP, de déléguer la totalité ou une partie des opérations de traitements des alertes, à des entités tierces.
50. Le présent référentiel n’a pas vocation à interpréter de telles dispositions, et se borne à rappeler aux organismes mettant en place un DAP les règles en matière de protection des données à caractère personnel devant être respectées dès lors que le traitement des données afférent est effectué sous la responsabilité conjointe de deux ou plusieurs organismes, ou est confié à un ou plusieurs sous-traitants.
51. En toute hypothèse, il appartient à l’organisme souhaitant déléguer une partie des opérations liées à la réception ou traitement des signalements, de mener une analyse de faisabilité juridique de cette délégation.
Exemple des DAP internes relevant de l’article 6 de la loi Sapin 2 modifiée :
La transposition par la France de la directive (UE) 2019/1937 du Parlement européen et du Conseil du 23 octobre 2019 sur la protection des personnes qui signalent des infractions au droit de l’Union a modifié les règles applicables à la possibilité, pour les organismes assujettis, de déléguer la fonction de traitement des alertes internes (article 8.I.B.4° de la loi Sapin 2 modifiée et l’article 7 de son nouveau décret d’application).
L’externalisation des canaux de réception
des signalements apparaît largement ouverte à l’ensemble des organismes concernés par l’obligation de mettre en place un DAP : ils peuvent donc déléguer cette fonction à un tiers tel qu’un cabinet d’avocat, une plateforme spécialisée, ou un fournisseur de services de messagerie électronique. Les fonctions déléguées peuvent couvrir la réception de l’alerte (quelle qu’en soit la forme), mais aussi l’enregistrement d’un échange téléphonique ou audiovisuel en vue de sa transcription, sa consignation dans un procès-verbal, l’analyse initiale de la recevabilité de l’alerte et, enfin, l’émission du récépissé à destination de l’auteur du signalement.
La mise en commun des ressources aux fins d’évaluation de l’exactitude des faits invoqués dans le signalement, quant à elle, est en principe réservée aux seuls organismes employant moins de 250 personnes,
[2]
 qu’ils soient, ou non, membres d’un groupe.
La nouvelle règlementation ne semble pas prévoir de possibilité de déléguer purement et simplement l’intégralité du traitement des alertes (leur réception, l’évaluation de leur recevabilité, la réalisation des investigations et des enquêtes complémentaires éventuelles, l’évaluation juridique et éthique des éléments collectés, la décision sur les suites à donner au signalement, la communication éventuelle avec les différentes personnes concernées par l’alerte, des personnes susceptibles de fournir des informations pertinentes, ainsi qu’avec des autorités externes) à une entité tierce.
Exemple des DAP spécifiques :
Les limites imposées à l’externalisation du traitement des alertes par les articles 6 et suivants de la loi Sapin 2 modifiée ne concernent que la gestion des "alertes internes" mentionnées par ce texte.
Les autres DAP (telles que les alertes anti-corruption de l’article 17 de la loi Sapin 2, par exemple) ne sont pas concernées par cette règlementation. Les organismes publics comme privés peuvent y avoir recours sans conditions particulières de taille des effectifs ou de nature des fonctions déléguées.
Exemple des DAP uniques :
Les organismes qui souhaitent mettre en place un DAP unique permettant de recevoir et traiter des alertes relevant des régimes différents, devraient respecter les conditions d’externalisation et/ou de mise en commun des ressources qui s’appliquent aux alertes internes de droit commun (v. ci-dessus).
6.2. Les personnes accédant aux données pour le compte de l’organisme
52. Seules les personnes habilitées au titre de leurs missions ou de leurs fonctions, doivent pouvoir accéder aux données à caractère personnel traitées, dans la stricte limite de leurs attributions respectives et de l’accomplissement de ces missions et fonctions.
53. Il peut s’agir, par exemple :
· des personnes spécialement chargées de la gestion des alertes au sein de l’organisme ;
· du référent ou prestataire de service chargé de recueillir et traiter les alertes. Le référent ou prestataire de service éventuellement désigné pour gérer tout ou partie de ce DAP s'engage, notamment par voie contractuelle, à ne pas utiliser les données à des fins autres que la gestion des alertes, à assurer leur confidentialité, à respecter la durée de conservation limitée des données et à procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation ;
· de l’avocat/ du conseil chargé d’assister l’organisme ayant recueilli l’alerte ;
· d’une autre entité appartenant au même groupe, sous réserve des développements aux paragraphes 45 et suivants.
6.3. Les destinataires des données
54. Le RGPD définit les destinataires comme "la personne physique ou morale, l’autorité publique, le service ou
tout organisme qui reçoit la communication des données, qu’il s’agisse ou non d’un tiers".
55. Dans le cadre de ce traitement, il convient d’être particulièrement attentif à toute transmission des données en dehors de l’organisme ayant reçu l’alerte.
56. En effet, certaines dispositions légales ou réglementaires encadrent strictement la communication d’information 
[3]
. Par exemple, la loi Sapin 2 modifiée précise que "l
es éléments de nature à identifier le lanceur d'alerte ne peuvent être divulgués qu'avec le consentement de celui-ci", la seule exception admise à cet égard étant la communication à l'autorité judiciaire, et ce uniquement "dans le cas où les personnes chargées du recueil ou du traitement des signalements sont tenues de dénoncer les faits à celle-ci" (cf. l’article 9.I, alinéa 2 de la loi Sapin 2 modifiée).
57. C’est pourquoi le décret n° n° 2022-1284 du 3 octobre 2022 prévoit que lorsqu’un signalement est susceptible d’intéresser non seulement l’organisme auquel il a été adressé, mais, par exemple, une autre société appartenant au même groupe, l’organisme en question ne peut pas transférer l’alerte, et ne peut que proposer à l’auteur du signalement de le faire directement.
58. Il en va de même pour les éléments de nature à identifier la personne mise en cause par un signalement et qui ne peuvent être divulgués, sauf à l’autorité judiciaire, qu’une fois établi le caractère fondé de l’alerte.
59. Les données peuvent notamment être communiquées au sein du groupe de sociétés auquel appartient l'organisme concerné si cette communication est nécessaire aux seuls besoins de la vérification ou du traitement de l'alerte, sous réserve des développements des paragraphes 45 et suivants.
60. Pour assurer la continuité de la protection des données à caractère personnel, leur transfert en dehors de l’Union européenne (UE) est soumis à des règles particulières. Ainsi, conformément aux dispositions des articles 44 et suivants du RGPD, toute transmission de données hors de l’UE doit :
· être fondée sur une décision d'adéquation ;
· ou être encadrée par des règles internes d'entreprise ("BCR"), des clauses types de protection des données, un code de conduite ou un mécanisme de certification approuvé par la CNIL ;
· ou être encadrée par des clauses contractuelles ad hoc préalablement autorisées par la CNIL ;
· ou répondre à une des dérogations prévues à l'article 49 du RGPD.
61. Pour en savoir plus, consulter la rubrique "Transférer des données hors de l’UE" sur le site de la CNIL.
7. Durées de conservation
62. Conformément à l’article 5-1-e) du RGPD, les données à caractère personnel ne doivent être conservées sous une forme permettant l’identification des personnes que le temps strictement nécessaire à la réalisation des finalités poursuivies.
63. Les informations relatives à la durée de conservation de données ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée, doivent être communiquées aux personnes concernées.
7.1 Les durées de conservation
64. Au regard des finalités pouvant justifier la mise en place d’un DAP, et sauf disposition légale ou réglementaire contraire :
·
Les données relatives à une alerte peuvent être conservées en base active jusqu’à la prise de la décision définitive sur les suites à réserver à celle-ci. Cette décision doit intervenir dans un délai raisonnable à compter de la réception du signalement.
· 
Après la prise de la décision définitive sur les suites à réserver à l’alerte, les données pourront être conservées sous forme d’archives intermédiaires, "le temps strictement proportionné à leur traitement et à la protection de leurs auteurs, des personnes qu’ils visent et des tiers qu’ils mentionnent, en tenant compte des délais d’éventuelles enquêtes complémentaires
[4]".
· 
Lorsqu'une procédure disciplinaire ou contentieuse est engagée à l'encontre d’une personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives à l'alerte peuvent être conservées par l'organisation chargée de la gestion des alertes jusqu'au terme de la procédure ou de la prescription des recours à l’encontre de la décision intervenue.
65. Les données peuvent être conservées plus longtemps, en archivage intermédiaire, si le responsable du traitement en a l’obligation légale (par exemple, pour répondre à des obligations comptables, sociales ou fiscales), ou à des fins probatoires dans l’optique d’un contrôle ou d’un contentieux éventuel, ou encore à des fins de réalisation des audits de qualité des processus de traitement des signalements.
7.2 La conservation de données anonymisées