Ashio whistleblowing software

Oct 18, 2026

Durée de conservation d'un signalement : combien de temps garder un dossier d'alerte après la clôture ?

Durée de conservation d'un signalement : combien de temps garder un dossier d'alerte après la clôture ?

« Deux ans ou six mois ? » — la question de la durée conservation données signalement revient dans presque chaque audit de canal d'alerte : voici le raisonnement en trois paliers que vos auditeurs accepteront. La durée de conservation d'un signalement ne se résume jamais à un chiffre sorti de nulle part : elle découle de la finalité du traitement déclarée à la CNIL, du temps nécessaire pour prouver la conformité et, le cas échéant, des obligations procédurales qui s'y rattachent.

Pour une PME française de 50 à 250 salariés, l'enjeu est moins de tomber sur le « bon » nombre que de documenter une logique défendable devant un contrôleur. Un dossier bien tracé, avec une durée de conservation justifiée et des preuves techniques d'anonymat, pèse souvent plus, lors d'un audit, qu'un chiffre isolé copié d'un guide sectoriel.

Sommaire

Points clés

  • La CNIL raisonne en finalités : un signalement clôturé sans suite n'a pas la même durée de conservation qu'un dossier transmis au procureur.
  • Pour les alertes closes sans suites disciplinaires ni judiciaires, deux ans à partir de la clôture constituent la durée de conservation la plus défendue.
  • Lorsqu'une procédure disciplinaire ou un contentieux est engagé, la conservation s'aligne sur les délais de prescription applicables, souvent trois à cinq ans.
  • Tout signalement transmis au procureur de la République au titre de l'article 40 du Code de procédure pénale impose un délai de conservation de dix ans.
  • La durée retenue doit figurer dans le registre des traitements, accompagnée de la preuve que les données identifiantes sont détruites ou anonymisées à l'échéance.

Pourquoi la durée de conservation d'un signalement n'est jamais une seule réponse (finalité CNIL + obligation de preuve)

La durée de conservation d'un signalement dépend de deux logiques que la CNIL distingue clairement. La première est la logique « finalité » : chaque traitement de données personnelles doit être limité à ce qui est strictement nécessaire au regard de l'objectif poursuivi, conformément à l'article 5 du RGPD. La seconde est la logique « preuve » : l'employeur doit pouvoir démontrer, y compris plusieurs années après, que le signalement a bien été traité conformément aux obligations issues de la loi Sapin II et de la directive (UE) 2019/1937.

Cette double contrainte produit, selon les cas, des durées très différentes : six mois suffisent parfois, dix ans sont nécessaires dans d'autres. C'est pourquoi un audit sérieux commence toujours par la qualification du dossier clos : alerte sans suite, procédure interne engagée, ou transmission à l'autorité judiciaire — chaque branche obéit à un calendrier distinct.

Pour un responsable conformité, cette qualification n'est pas un exercice théorique : elle conditionne ce qui sera inscrit dans le registre, ce qui sera communiqué au lanceur d'alerte dans la note d'information, et ce qui devra être démontré à l'auditeur lors d'une mission de contrôle. Trois branches, trois calendriers, trois justificatifs à produire.

Combien de temps garder un signalement clôturé sans suite : le cas le plus courant en PME

Pour une alerte close sans suite disciplinaire ni transmission au parquet, la durée de conservation des données signalement la plus défendable se situe entre six mois et deux ans à compter de la clôture. La CNIL admet une conservation courte lorsque le signalement n'a donné lieu à aucune suite, parce que la finalité du traitement est alors achevée.

Que devient le dossier après la clôture ?

À la clôture, les pièces qui identifient le lanceur d'alerte ou des tiers doivent être détruites ou anonymisées de manière irréversible, tout en conservant la possibilité de produire la preuve du traitement (date de réception, accusé de réception sous sept jours, retour d'information sous trois mois, identité du responsable de traitement). La CNIL recommande, dans sa fiche pratique sur les alertes professionnelles, de distinguer clairement les données « contenu » du dossier, qui peuvent être effacées, des éléments de traçabilité, qui doivent être conservés plus longtemps pour démontrer la conformité du dispositif.

Concrètement, une PME de 80 salariés opère souvent avec un palier de deux ans à compter de la clôture : assez long pour couvrir un contrôle, assez court pour ne pas conserver de données au-delà de la finalité. Cette durée archivage dossier alerte doit alors être inscrite dans la politique interne et dans le registre des traitements.

Combien de temps garder un signalement qui déclenche une enquête interne ou une procédure disciplinaire

Dès qu'une enquête interne est ouverte ou qu'une procédure disciplinaire est engagée, la durée de conservation s'aligne sur les délais de prescription applicables. En matière de faute au travail, la prescription est généralement de deux mois pour un salarié protégé ou selon les conventions collectives, mais le délai de contestation prud'homal peut atteindre deux ans pour les actions liées à l'exécution du contrat. Pour une sanction disciplinaire contestée, la conservation pour preuve peut donc grimper jusqu'à trois à cinq ans.

Pour les faits susceptibles de donner lieu à des poursuites pénales (corruption, harcèlement, atteinte aux personnes), le Code pénal fixe des délais de prescription qui dépassent souvent cinq ans, notamment pour les délits passibles de plus de trois ans d'emprisonnement. Dans ces hypothèses, conserver le dossier pendant cinq ans après la clôture de la procédure interne reste une pratique prudente, défendue par les juristes spécialisés en droit de la conformité.

Quelle trace garder en cas de procédure disciplinaire ?

Le contenu intégral du signalement, les pièces collectées lors de l'enquête, les auditions, les décisions rendues et les suites données doivent être conservés. Les éléments identifiants du lanceur d'alerte restent protégés, mais leur conservation est légitime au titre de la défense des droits de l'employeur en justice, fondement expressément prévu par l'article 6 du RGPD. Inscrire cette base dans le registre traitement signalement durée permet de tracer la justification de la prolongation.

Combien de temps garder un signalement transmis au procureur (article 40 CPP) — la règle des 10 ans

Lorsque l'employeur, après avoir recueilli le signalement, procède à la dénonciation au procureur de la République au titre de l'article 40 du Code de procédure pénale, la durée de conservation du dossier change radicalement. L'article R. 40-1 du Code de procédure pénale impose en effet que les procédures soient conservées pendant dix ans à compter de leur classement sans suite ou de la décision définitive.

Cette durée de dix ans n'est pas optionnelle : elle s'impose comme une obligation légale de conservation des pièces de procédure. Les données du signalement initial — y compris celles qui pourraient identifier le lanceur d'alerte ou des témoins — doivent donc être archivées pendant cette période, sous réserve des règles propres à la protection des données personnelles. La CNIL accepte cette conservation prolongée dès lors qu'elle est nécessaire au respect d'une obligation légale, ce qui est explicitement le cas ici.

En pratique, les équipes conformité des PME qui n'ont jamais transmis un dossier au parquet sous-estiment souvent cette branche. Or, dès qu'une transmission au procureur intervient, la politique interne doit prévoir un régime dérogatoire de conservation, séparé du régime commun, traçable dans le registre et auditable.

Inscrire la durée retenue dans le registre des traitements et la preuve d'anonymat

Inscrire la durée retenue dans le registre des traitements et la preuve d'anonymat La durée de conservation retenue doit être consignée dans le registre des traitements au titre du RGPD, avec, pour chaque finalité, la base légale, les catégories de données, les destinataires et la durée applicable. Pour un canal d'alerte, cela signifie décrire au minimum trois finalités distinctes : la réception et le traitement de l'alerte, la preuve de la conformité aux obligations légales, et, le cas échéant, la défense des droits en justice.

La CNIL exige également que l'organisation soit en mesure de prouver l'anonymat effectif des alertes lorsqu'elle le promet. Cela suppose de documenter les mesures techniques retenues (absence de journalisation des adresses IP, pas de cookies traceurs, chiffrement de bout en bout) et de les relier à la durée de conservation déclarée. Une promesse d'anonymat non documentée est, en cas de contrôle, considérée comme une donnée conservée au-delà de la finalité déclarée.

Pour un auditeur, la cohérence entre la durée inscrite au registre et les mesures techniques réellement en place fait toute la différence : un écart entre ce qui est écrit et ce qui est prouvé techniquement suffit souvent à transformer un contrôle routinier en demande de mise en conformité.

Quels engagements techniques documenter dans le registre ?

Au minimum, la politique de conservation doit préciser que les données ne quittent pas le territoire européen, qu'aucun identifiant persistant n'est créé pour le lanceur d'alerte, que le serveur ne peut pas déchiffrer le contenu des signalements, et que les délais de sept jours pour l'accusé de réception et de trois mois pour le retour d'information restent visibles et tracés. Cette traçabilité est ce qui transforme une durée de conservation théorique en une durée opposable à un auditeur.

Modèle de clause de durée à intégrer dans votre politique de whistleblowing interne

Une politique de whistleblowing efficace contient une clause de durée claire, vérifiable et différenciée. Voici la structure recommandée, adaptable à la convention collective et au secteur :

  • Alerte close sans suite disciplinaire ni judiciaire : conservation des éléments de traçabilité pendant deux ans à compter de la clôture ; destruction ou anonymisation du contenu du signalement à l'issue de ce délai.
  • Alerte ayant donné lieu à une enquête interne ou à une procédure disciplinaire : conservation du dossier complet pendant cinq ans à compter de la décision définitive, ou jusqu'à l'extinction des voies de recours.
  • Alerte transmise au procureur de la République au titre de l'article 40 du Code de procédure pénale : conservation du dossier pendant dix ans à compter de la décision de classement sans suite ou de la décision définitive, conformément à l'article R. 40-1 du Code de procédure pénale.
  • Données identifiantes du lanceur d'alerte : limitées au strict nécessaire, protégées par des mesures techniques propres à empêcher toute lecture par le personnel non habilité, et détruites dès que la finalité de conservation cesse.
  • Suivi des délais légaux : accusé de réception sous sept jours et retour d'information sous trois mois conservés comme éléments de preuve de conformité, même après destruction du contenu.

Une fois adoptée, cette clause doit être croisée avec le registre des traitements et avec la note d'information remise au lanceur d'alerte au moment du dépôt. C'est cette cohérence qui fait la différence lors d'un audit.

Questions fréquentes

Quelle durée de conservation pour un signalement non fondé ?

Un signalement clôturé sans suite peut être conservé pendant deux ans à compter de la clôture, sous forme de simples éléments de preuve (date de réception, accusé de réception, identité du responsable de traitement), tandis que le contenu est anonymisé ou détruit à l'issue de ce délai.

La CNIL impose-t-elle une durée fixe ?

La CNIL n'impose pas une durée unique : elle exige que la durée retenue soit nécessaire à la finalité déclarée, documentée dans le registre des traitements et révisable selon que l'alerte a donné lieu ou non à des suites.

Combien de temps garder un signalement transmis à la justice ?

Un signalement transmis au procureur de la République au titre de l'article 40 du Code de procédure pénale doit être conservé dix ans à compter de la décision de classement sans suite ou de la décision définitive, conformément à l'article R. 40-1 du même code.

Peut-on anonymiser un dossier d'alerte avant la fin de la durée de conservation ?

L'anonymisation est possible dès lors que les éléments de preuve de la conformité (accusé de réception, retour d'information, traçabilité des délais) restent conservés ; en revanche, le contenu identifiant du dossier ne doit pas être détruit avant l'échéance prévue si une procédure disciplinaire ou judiciaire est encore en cours.

Le lanceur d'alerte doit-il être informé de la durée de conservation ?

Oui, la note d'information remise au moment du dépôt doit préciser la durée de conservation applicable et les critères qui la font varier, conformément aux articles 13 et 14 du RGPD.

Sources