Lanceurs d'alerte : préserver la confidentialité de l'auteur quand on partage le dossier
Un dispositif d'alerte professionnelle peut être irréprochable — plateforme chiffrée, accès cloisonnés, possibilité de signaler sans se nommer — et pourtant trahir le lanceur d'alerte. La faille se situe rarement dans l'outil de recueil. Elle apparaît ensuite, quand le dossier circule : téléchargé par le référent, transmis aux ressources humaines, joint à une note pour la direction ou confié à un cabinet d'avocats. Chaque copie emporte des noms, des signatures d'e-mail, des métadonnées et des détails qui permettent de deviner qui a parlé. Cet article rappelle ce qu'exige le droit français et européen, puis propose une méthode pour préparer les pièces d'une enquête interne de sorte que chaque destinataire ne voie que ce dont il a besoin.
Ce que dit la loi : l'identité et tout ce qui permet de la déduire
La directive (UE) 2019/1937 sur la protection des lanceurs d'alerte pose, à son article 16, un devoir de confidentialité : l'identité de l'auteur du signalement ne peut être divulguée, sans son consentement exprès, à personne d'autre que les membres du personnel autorisés à recueillir ou traiter les signalements. La protection s'étend à toute autre information à partir de laquelle cette identité peut être déduite directement ou indirectement. L'article 17 interdit de collecter les données manifestement inutiles au traitement d'un signalement et impose leur effacement si elles l'ont été par erreur.
En France, le socle est la loi n° 2016-1691 du 9 décembre 2016, dite Sapin II, profondément remaniée par la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d'alerte (loi Waserman), qui transpose la directive, et par son décret d'application du 3 octobre 2022. Les points utiles pour le traitement documentaire :
- Article 9 de la loi Sapin II : les procédures de recueil et de traitement doivent garantir l'intégrité et la confidentialité des informations recueillies, notamment l'identité de l'auteur du signalement, des personnes visées et de tout tiers mentionné.
- Divulgation encadrée : les éléments de nature à identifier le lanceur d'alerte ne peuvent être divulgués qu'avec son consentement, sauf à l'autorité judiciaire. La divulgation d'éléments confidentiels est pénalement sanctionnée (deux ans d'emprisonnement et 30 000 € d'amende).
- Accès limité : seules les personnes chargées du recueil et du traitement doivent pouvoir accéder aux informations, y compris quand le dossier est transmis pour suite à donner.
- Référentiel CNIL : la CNIL a actualisé en 2023 son référentiel sur les dispositifs d'alertes professionnelles, qui détaille durées de conservation, mesures de sécurité et minimisation.
Le Défenseur des droits oriente et protège les lanceurs d'alerte, et plusieurs autorités externes peuvent recevoir des signalements. Mais, quel que soit le canal, la conséquence pratique est la même : il ne suffit pas de masquer le nom en première page. Il faut relire tout le dossier en se demandant si une personne qui connaît l'organisation pourrait retrouver l'auteur du signalement.
Par où l'identité s'échappe d'un dossier d'alerte
Un dossier type mélange le formulaire de recueil, des échanges d'e-mails, des captures d'écran, des tableurs (pointages, notes de frais, journaux d'accès), des comptes rendus d'entretien et parfois des pages scannées annotées à la main. Les fuites les plus courantes :
- Identifiants directs : nom, matricule, adresse e-mail professionnelle, numéro de poste, signature sur un compte rendu.
- En-têtes et signatures d'e-mail : un .msg ou un .eml transféré conserve expéditeur, destinataires, fonction et service.
- Métadonnées : le champ « Auteur » d'un Word ou d'un PDF, les modifications suivies, les commentaires masqués. Voir notre article sur les métadonnées cachées dans Word et PDF.
- Identifiants indirects : « la seule cheffe d'équipe de nuit de l'entrepôt de Lyon », une date d'arrêt maladie, un projet précis, une phrase que seul un participant à la réunion pouvait écrire.
- Captures d'écran : session ouverte, photo de profil, nom du poste dans la barre des tâches.
- Faux caviardage : des rectangles noirs dessinés par-dessus un PDF, sous lesquels le texte reste sélectionnable.
Un destinataire, une version du dossier
La règle la plus sûre consiste à préparer une version par catégorie de destinataire et à tracer qui a reçu quoi. Exemple indicatif (fictif) pour un signalement de harcèlement :
| Destinataire | Besoin | Version conseillée |
|---|---|---|
| Référent alerte | Tout, pour apprécier et piloter l'enquête | Original complet, accès restreint |
| Enquêteur interne ou externe | Faits, preuves, témoins ; pas toujours l'identité de l'auteur | Pseudonymisée (« Auteur-1 », « Témoin-A »), table de correspondance conservée à part |
| RH, en cas de procédure disciplinaire | Faits établis et personne visée | Pseudonymisée, sans l'auteur ni les tiers étrangers aux faits |
| Avocat ou commissaire aux comptes | Comportement et pièces probantes | Pseudonymisée ou anonymisée selon la mission |
| Comité de direction, rapport annuel | Tendances et mesures prises | Anonymisée et agrégée |
| Autorité judiciaire | Ce que l'autorité requiert | Selon la réquisition, avec l'appui du service juridique |
La pseudonymisation est précieuse pendant l'enquête : remplacer chaque personne par un libellé constant garde le récit lisible et permet de croiser les témoignages sans exposer quiconque. Une donnée pseudonymisée reste toutefois une donnée personnelle ; la différence est détaillée dans anonymiser ou pseudonymiser.
Méthode pour préparer les pièces
Avant que le dossier ne quitte le référent
- Recenser les identifiants directs et indirects de l'auteur, de la personne visée et des témoins.
- Décider, pour chaque destinataire, qui doit rester identifiable (en général, seulement la personne visée).
- Pseudonymiser de façon cohérente et conserver la table de correspondance chiffrée, séparée du document.
- Contrôler les pièces jointes des e-mails, les tableurs (colonnes masquées comprises) et les images.
- Supprimer métadonnées, commentaires et versions antérieures avant l'export.
- Vérifier le PDF final : essayer de sélectionner et copier le texte caviardé.
- Faire relire par une seconde personne qui connaît l'organisation et repérera les indices indirects.
- Consigner quelle version a été remise, à qui et dans quel but.
Deux angles morts reviennent souvent. Le récit d'abord : « comme je l'ai dit à ma responsable lors du point de mardi » identifie plus sûrement qu'un nom ; certains passages doivent être reformulés, pas seulement noircis. Les tiers sans lien avec les faits ensuite (proches, clients, collègues cités en passant) : la minimisation impose de les retirer. Enfin, à la clôture, anonymiser le dossier plutôt que le conserver tel quel permet de garder l'enseignement utile sans conserver de données au-delà du nécessaire, à condition d'éliminer aussi les combinaisons qui permettraient une réidentification.
Ce qu'apporte Anonimatum
Anonimatum permet de produire ces versions sans caviarder à la main. Sa pseudonymisation remplace chaque personne par le même alias dans tout le document et conserve la table de correspondance chiffrée, réversible uniquement par qui la détient. Son IA propre repère noms, organisations, dates, adresses et montants, tandis que des motifs détectent e-mails, téléphones ou IBAN ; une personne valide l'aperçu avant application et peut tracer des zones manuelles sur les signatures ou tampons. L'outil traite PDF (y compris scannés), Word, Excel, images et e-mails avec pièces jointes, supprime les métadonnées et conserve le format d'origine. Le traitement s'effectue sur des serveurs situés dans l'Union européenne, sans envoi du texte à des API externes de modèles de langage ; voir notre page sécurité. Consultez les offres et commencez en ligne.
Questions fréquentes
La personne visée peut-elle découvrir l'auteur via son droit d'accès RGPD ?
Elle a droit à ses propres données, mais pas à celles qui identifient le lanceur d'alerte, protégées par l'article 9 de la loi Sapin II. La copie communiquée doit donc être expurgée de tout élément permettant de le reconnaître.
Suffit-il de retirer le nom de l'auteur ?
Non. La directive protège aussi toute information permettant de déduire l'identité : fonction, horaires, dates, signatures d'e-mail, métadonnées, style du récit. Il faut traiter les identifiants indirects.
Pseudonymiser ou anonymiser pendant l'enquête ?
Pendant l'enquête, la pseudonymisation garde la cohérence entre témoignages. Pour les rapports à la direction, les statistiques ou l'archivage après clôture, l'anonymisation irréversible est préférable.