Registre des traitements du canal d'alerte : guide CNIL

Un canal d'alerte sans fiche de traitement dans votre registre, c'est l'angle mort préféré des contrôleurs de la CNIL. Le registre des traitements canal d'alerte CNIL n'est pas une formalité administrative : c'est la pièce qui prouve, lors d'un contrôle, que vous avez documenté finalités, base légale, données, durées et mesures de sécurité comme l'exige le RGPD. Voici comment le remplir, ligne par ligne, sans laisser passer l'essentiel.

Sommaire

Points clés
Pourquoi le canal d'alerte doit apparaître dans le registre des traitements
Quelles finalités et bases légales inscrire pour un canal d'alerte
Quelles données et quelles durées de conservation déclarer à la CNIL
Quelles mesures de sécurité documenter pour prouver la conformité
Comment tenir le registre à jour après chaque évolution du dispositif
Questions fréquentes
Sources

Points clés

Le canal d'alerte est un traitement de données à part entière : il doit figurer dans le registre des traitements RGPD avec sa propre fiche, au même titre que la paie ou la gestion des Prospects.
La base légale la plus solide reste l'obligation légale, car la loi Sapin II et la directive 2019/1937 imposent la mise en place du canal ; l'intérêt légitime peut compléter pour les entités non tenues.
Les durées de conservation doivent être différenciées : signalements traités, signalements non fondés et données d'identité des auteurs suivent des calendriers distincts, souvent calés sur les délais d'action publique.
Les mesures de sécurité documentées dans la fiche doivent couvrir le canal de réception, le stockage, la restriction d'accès et la piste d'audit ; des contrôles CNIL récents reprochent précisément l'absence de chiffrement ou de journalisation.
Toute évolution du dispositif — changement d'outil, de prestataire, de finalité — déclenche une mise à jour du registre dans un délai court, traçable et documenté.

Pourquoi le canal d'alerte doit apparaître dans le registre des traitements

Le canal d'alerte doit figurer dans le registre des traitements parce qu'il collecte, conserve et transmet des données personnelles, parfois sensibles, sur les auteurs de signalement et les personnes mises en cause. Cela le place ipso facto dans le périmètre de l'article 30 du RGPD.

Sans fiche dédiée, le responsable de traitement ne peut pas démontrer qu'il a documenté sa conformité, alors que cette démonstration est la première chose demandée lors d'un contrôle.

La CNIL rappelle depuis plusieurs années que le registre n'est pas un outil de confort : c'est l'inventaire vivant des traitements. Chaque dispositif qui traite des données – paie, vidéosurveillance, gestion des Prospects – y figure avec sa fiche. Un canal d'alerte alimenté par un simple alias de messagerie ou un tableur partagé reste, lui aussi, un traitement, et à ce titre il doit être documenté au même niveau qu'un SIRH.

Pour les responsables conformité qui préparent un audit, l'absence de cette fiche est l'un des griefs les plus faciles à formuler. Le contenu minimal d'une fiche de traitement pour un canal d'alerte se construit autour de cinq blocs réglementaires : la finalité, la base légale, les catégories de données, les destinataires et les durées de conservation. Viennent ensuite les mesures de sécurité techniques et organisationnelles, qui font l'objet d'une section dédiée dans la fiche.

Qui est concerné par l'obligation de tenir un registre ?

Toute organisation, publique ou privée, qui exploite un canal d'alerte est concernée par l'obligation de tenir un registre, y compris les entités de moins de 250 salariés lorsque le traitement ne se limite pas à des données de contact et qu'il présente un risque pour les droits des personnes.

La CNIL considère en effet qu'un canal d'alerte traite quasi systématiquement des données sensibles ou relatives à des infractions, ce qui sort du régime d'allègement prévu pour les petites structures. Concrètement, dès lors qu'une PME ou une ETI met en place un canal pour la loi Sapin II, pour la directive 2019/1937, ou en anticipation d'une obligation sectorielle, elle doit documenter le traitement.

Le gdpr impose d'ailleurs au responsable de traitement de pouvoir fournir ce registre à l'autorité de contrôle sur demande, sans délai.

Quelles finalités et bases légales inscrire pour un canal d'alerte

Les finalités à inscrire sont la réception, l'examen et le traitement des signalements, ainsi que la conservation des données nécessaires à la défense des personnes mises en cause. La base légale principale est l'obligation légale posée par la loi Sapin II et, selon les cas, par la directive 2019/1937.

Pour une entreprise française de plus de 50 salariés soumise à Sapin II, la finalité se formule simplement : « recueil et traitement des alertes professionnelles dans le cadre des obligations prévues par la loi du 9 décembre 2016 ». Pour les entités de plus de 50 personnes actives dans l'UE, on ajoute la finalité liée à la transposition de la directive 2019/1937, ce qui permet d'aligner la fiche sur les deux corpus.

La base légale se choisit parmi trois options, avec une hiérarchie claire :

Obligation légale : à privilégier pour les entreprises relevant de Sapin II, de la directive 2019/1937, du code de la santé, du droit bancaire ou des obligations sectorielles de signalement. C'est la base la plus solide parce qu'elle ne dépend pas du consentement de l'auteur.
Intérêt légitime : envisageable pour les entités qui ne sont pas formellement tenues mais choisissent de déployer un canal. La balance doit alors montrer que l'intérêt de l'entreprise à détecter des manquements pèse plus lourd que l'atteinte à la vie privée des déclarants et des personnes mises en cause.
Mission d'intérêt public : pertinent pour les administrations, les collectivités et certains opérateurs publics soumis à des obligations de transparence.

Quelle base légale pour un canal d'alerte en PME ?

En PME, la base légale de référence pour un canal d'alerte est l'obligation légale, à partir du moment où l'organisation tombe dans le champ de Sapin II (entreprises d'au moins 50 salariés) ou de la directive 2019/1937. Hors champ, il faut documenter un intérêt légitime, mais celui-ci reste plus fragile et impose une analyse d'impact plus poussée.

Pour un DPO qui prépare la fiche, le réflexe consiste à citer explicitement le texte dans la colonne « base légale » : « article 17 de la loi n° 2016-1691 du 9 décembre 2016 », ou « article 6 de la directive (UE) 2019/1937 ». Cette rédaction évite toute ambiguïté lors du contrôle.

Quelles données et quelles durées de conservation déclarer à la CNIL

Quelles données et quelles durées de conservation déclarer à la CNIL Les données à déclarer couvrent l'identification de l'auteur du signalement lorsqu'elle est connue, les faits signalés, l'identité et la qualité des personnes mises en cause, les éléments recueillis au cours de l'enquête et les échanges entre le déclarant et le gestionnaire du canal. Les durées de conservation varient selon que le signalement est fondé, non fondé ou anonyme.

La colonne « catégories de données » doit distinguer plusieurs couches, car la CNIL attend une description fine :

Identité et coordonnées de l'auteur du signalement (lorsque l'anonymat n'est pas respecté).
Identité et fonctions des personnes mises en cause.
Faits signalés, pièces jointes, éléments de preuve.
Échanges bilatéraux entre l'auteur et l'équipe en charge du traitement.
Métadonnées techniques : date de réception, date de clôture, statut du dossier.

Pour la conservation des données du lanceur d'alerte, trois règles dominent la pratique des contrôles CNIL :

Signalement fondé donnant lieu à procédure disciplinaire ou judiciaire : conservation jusqu'à la clôture définitive de l'action engagée, puis archivage intermédiaire pour la durée de la prescription, généralement cinq ans pour les infractions du code du travail.
Signalement non fondé : conservation limitée au strict nécessaire pour justifier la décision, souvent deux à trois mois, puis purge des éléments permettant d'identifier l'auteur si l'anonymat a été levé.
Signalement anonyme sans suite : conservation brève, alignée sur le délai de traitement opérationnel, généralement inférieure à deux mois.

La durée se chiffre en mois dans la fiche, avec une date de fin précise ou un événement déclencheur (« clôture du dossier d'enquête »). Une durée « tant que nécessaire » sans plafond n'est, en pratique, jamais acceptée par la CNIL.

Combien de temps garder les données sensibles d'un lanceur d'alerte ?

La conservation des données sensibles d'un lanceur d'alerte suit la durée strictement nécessaire au traitement de l'alerte et à la défense des personnes mises en cause. Elle est plafonnée en pratique à deux mois pour un signalement non fondé et s'étend jusqu'à la clôture des actions engagées pour un signalement fondé, sans excéder la durée de la prescription.

Ce point est celui qui concentre le plus d'erreurs dans les registres observés lors de contrôles : la même durée est appliquée à tous les dossiers, alors que la CNIL attend une conservation différenciée et documentée.

Quelles mesures de sécurité documenter pour prouver la conformité

Les mesures de sécurité à documenter pour un canal d'alerte couvrent au minimum le chiffrement en transit et au repos, le contrôle d'accès restreint aux personnes habilitées, la traçabilité des consultations, le cloisonnement des données entre gestionnaires, la sauvegarde sécurisée et le plan de reprise. Ces mesures doivent être décrites précisément dans la fiche, sans formulation générique.

Une fiche qui se contente d'écrire « chiffrement TLS » sans préciser la nature des flux protégés ou qui mentionne « accès restreint » sans indiquer qui dispose des droits passe pour un copier-coller lors du contrôle. Le réflexe est de lister les mesures techniques et organisationnelles en deux blocs :

Mesures techniques : chiffrement de bout en bout, hébergement dans des centres certifiés ISO 27001, journalisation horodatée et immuable, séparation des rôles, sauvegardes chiffrées en Suisse ou dans l'UE.
Mesures organisationnelles : charte d'utilisation signée, clause de confidentialité dans les contrats des gestionnaires, procédure de notification en cas d'atteinte, restriction d'accès au strict besoin d'en connaître.

La CNIL a sanctionné à plusieurs reprises l'absence de chiffrement des messages reçus, le stockage sur des messageries grand public ou le transfert vers des prestataires hors UE. La fiche doit donc citer les outils, les localisations d'hébergement et les catégories de personnes ayant accès.

Pour un DPO qui veut anticiper un contrôle, la mesure la plus rentable à documenter est la piste d'audit : qui a ouvert tel dossier, qui a répondu à l'auteur, qui a clos le dossier, à quelle date. C'est cette piste qui distingue un canal en production d'un canal déclaré sur le papier. Les mesures de sécurité CNIL exigées pour les lanceurs d'alerte rejoignent, sur ce point, les exigences techniques des solutions spécialisées de signalement qui offrent nativement un journal d'audit immuable.

Quelles sont les mesures de sécurité CNIL minimales pour un canal d'alerte ?

Les mesures de sécurité CNIL minimales pour un canal d'alerte sont le chiffrement des données en transit et au repos, une restriction d'accès nominative et tracée, une journalisation des actions des gestionnaires, une conservation différenciée et un engagement de confidentialité signé par chaque personne habilitée.

Ces cinq mesures figurent dans les référentiels publiés par la CNIL sur les alertes professionnelles et constituent la base minimale que tout DPO doit documenter dans la fiche avant tout autre raffinement.

Comment tenir le registre à jour après chaque évolution du dispositif

Le registre des traitements se tient à jour en actualisant la fiche du canal d'alerte à chaque modification de finalité, de base légale, de prestataire, d'outil, de catégories de données ou de durées de conservation, et en datant précisément chaque version pour fournir un historique lisible lors d'un contrôle.

Les évolutions qui déclenchent une mise à jour du registre sont nombreuses et souvent sous-estimées :

Changement d'outil de réception (passage d'une boîte mail à un logiciel spécialisé, migration d'un éditeur à un autre).
Élargissement du périmètre des faits signalables (par exemple ajout des questions de harcèlement moral après une décision interne).
Modification des durées de conservation ou des règles d'archivage.
Nouveau destinataire interne (passage de la direction juridique au comité d'éthique).
Montée en puissance vers un nouveau cadre réglementaire (directive 2019/1937 transposée tardivement).

La mise à jour prend la forme d'une nouvelle version de la fiche, datée, stockée à côté des versions précédentes. La version archivée reste accessible pendant la durée de conservation des données du dernier dossier traité, pour permettre à la CNIL de reconstituer les engagements du responsable de traitement à un instant donné.

En pratique, beaucoup de responsables conformité découvrent la mise à jour de leur fiche trop tard, au moment où l'auditeur demande la version applicable à la date d'un signalement précis. Une fiche qui ne porte ni date ni numéro de version expose le responsable de traitement à devoir justifier a posteriori chaque écart entre sa pratique et sa documentation.

Qui est responsable de la mise à jour du registre dans l'organisation ?

La responsabilité de la mise à jour du registre incombe au responsable de traitement, c'est-à-dire au représentant légal de l'entreprise ou à l'autorité publique. Sa réalisation opérationnelle est confiée au DPO lorsqu'il existe ou à toute personne désignée par le responsable de traitement.

Concrètement, dans une PME française sans DPO externe, c'est le directeur conformité ou le directeur des risques qui porte la plume, en lien avec le prestataire qui opère le canal. Cette répartition doit elle-même être tracée dans une procédure interne, elle-même documentée dans le registre ou dans un document annexé.

Pour les organisations qui externalisent la partie logicielle, un logiciel conforme avec journalisation immuable permet de produire automatiquement les preuves demandées par la CNIL, et d'éviter la principale source d'écart entre la fiche de traitement et la réalité opérationnelle.

Questions fréquentes

Faut-il une autorisation préalable de la CNIL pour ouvrir un canal d'alerte ?

Non, il n'y a pas d'autorisation préalable à demander à la CNIL pour ouvrir un canal d'alerte : la mise en service du dispositif relève du seul responsable de traitement, sous réserve de respecter les principes du RGPD et les recommandations de la Commission. Une analyse d'impact relative à la protection des données reste néanmoins obligatoire, et la documentation doit être prête en cas de contrôle.

Le registre des traitements est-il communicable aux salariés ?

Le registre des traitements n'est pas en principe communicable aux salariés ni au public : il est réservé au responsable de traitement, au DPO et aux autorités de contrôle comme la CNIL. La communication à des tiers, CSE compris, suppose une demande précise et ponctuelle et l'information préalable du responsable de traitement.

Que se passe-t-il en cas de contrôle CNIL sur le canal d'alerte ?

En cas de contrôle CNIL sur le canal d'alerte, le contrôleur demande la fiche de traitement, l'analyse d'impact, la liste des destinataires, les durées de conservation effectives et les preuves de mesures de sécurité. L'absence de l'un de ces éléments ou un écart significatif entre la fiche et la pratique peut fonder une mise en demeure, une injonction sous astreinte ou, dans les cas les plus graves, une sanction.