Une entreprise peut externaliser la réception d’une alerte, mais pas abandonner ses responsabilités. Le choix du prestataire détermine la confidentialité, les délais et la qualité du traitement.
Depuis le 1er septembre 2022, les entreprises d’au moins 50 salariés doivent disposer d’une procédure interne de signalement. Le décret n° 2022-1284 autorise un tiers à gérer le canal de réception. La CNIL distingue toutefois cette mission du traitement de l’alerte, qui comprend l’enquête et la décision.
En bref
- Un tiers peut recueillir les signalements et délivrer un accusé de réception.
- L’entreprise conserve le pilotage de l’enquête et la décision finale.
- L’accusé de réception doit partir sous sept jours ouvrés.
- Un retour écrit est dû dans les trois mois.
- Le contrat doit encadrer les accès et la conservation des données.
Le prestataire peut gérer le canal de réception
L’article 7 du décret n° 2022-1284 permet de confier le canal à un tiers. Une plateforme, un cabinet ou un centre d’appels peut recevoir les alertes écrites ou orales. Le prestataire peut aussi enregistrer un échange, le transcrire ou établir un procès-verbal, avec le consentement de l’auteur.
Il peut effectuer une analyse initiale de recevabilité et envoyer l’accusé de réception. En revanche, la CNIL ne considère pas que l’entreprise puisse lui déléguer entièrement la gestion des signalements. L’employeur doit garder la maîtrise du dossier et vérifier les conditions légales. Une politique d’externalisation rigoureuse aide à éviter les responsabilités mal définies, comme le rappelle ce guide sur les erreurs d’externalisation.
L’enquête interne et la décision restent à l’entreprise
La réception ne vaut pas traitement. L’entreprise conserve la vérification des faits, l’évaluation juridique et les suites à donner. Elle peut demander une expertise externe pour une enquête interne, à condition de piloter la mission et de préserver l’impartialité.
Cette séparation protège la confidentialité des données et limite les conflits d’intérêts. Un prestataire qui assure déjà la paie peut manquer d’indépendance sur une alerte liée aux ressources humaines. Les règles de coopération doivent donc préciser les rôles, les accès et les livrables. Un modèle de co-développement peut éclairer cette répartition des responsabilités : organiser une coopération externe.
Des délais précis encadrent chaque étape
Le prestataire peut gérer les notifications, mais l’entreprise doit contrôler leur échéance. La procédure doit aussi prévoir le retour à l’auteur et la clôture du dossier.
| Étape | Délai applicable | Responsabilité |
|---|---|---|
| Accusé de réception écrit | Sept jours ouvrés | Prestataire ou entreprise |
| Retour sur les mesures | Trois mois au plus | Entreprise |
| Clôture du signalement | Après décision définitive | Entreprise |
Confidentialité et protection des lanceurs d’alerte
L’article 9 de la loi Sapin II impose une stricte confidentialité sur l’identité de l’auteur, des personnes visées et des tiers cités. L’accès doit rester réservé aux personnes habilitées. Toute divulgation illicite peut entraîner deux ans d’emprisonnement et 30 000 euros d’amende.
Le contrat doit limiter l’usage des informations à la mission confiée. Il doit fixer la destruction ou la restitution des données en fin de prestation. Il doit aussi nommer les sous-traitants et les hébergeurs. Les transferts hors Union européenne exigent des garanties conformes au RGPD et une analyse des risques. Cette vigilance s’inscrit dans une réflexion plus large sur les réalités de l’externalisation.
Un contrat doit encadrer le suivi des alertes
Un contrat utile décrit chaque tâche, le délai de transmission et les preuves de réception. Il prévoit aussi un contrôle des habilitations et une journalisation des accès. L’entreprise peut demander un relevé mensuel des dates, sans détail sensible, pour vérifier le respect des délais.
La procédure doit inclure la protection des lanceurs d’alerte, l’évaluation des risques, les recommandations correctives et le suivi des mesures. Les salariés des sous-traitants peuvent aussi accéder au canal dans les conditions prévues par l’article 8. Une clause qui restreint leur droit de signalement ne peut pas l’écarter. La qualité du dispositif dépend donc moins de l’outil choisi que de la gouvernance conservée par l’entreprise.
- Qui reçoit les alertes et qui peut consulter les dossiers ?
- Comment l’entreprise contrôle-t-elle les délais légaux ?
- Quels sous-traitants et hébergeurs accèdent aux données ?
- Quelle durée de conservation prévoit la procédure ?
Une entreprise peut-elle externaliser tout le dispositif d’alerte ?
Non. Elle peut confier la réception et certaines tâches initiales, mais conserve le traitement, le pilotage de l’enquête et la décision finale.
Quel délai s’applique à l’accusé de réception ?
L’accusé écrit doit être envoyé dans les sept jours ouvrés après la réception du signalement.
Un salarié d’un sous-traitant peut-il utiliser le canal ?
Oui. La loi Sapin II ouvre le canal interne aux cocontractants, aux sous-traitants et aux membres de leur personnel.
Quelle durée de conservation faut-il prévoir ?
Les données sont conservées le temps nécessaire au traitement, puis archivées de façon proportionnée ou anonymisées selon la procédure.
