Qui gère vraiment le canal d'alerte : DPO, compliance officer ou DRH ?

Cover: Qui gère vraiment le canal d'alerte : DPO, compliance officer ou DRH ?

Trois personnes, une même obligation légale, beaucoup de zones de flou. Quand une PME désigne un délégué à la protection des données, recrute un responsable conformité ou confie le canal d'alerte à la DRH, la question revient toujours : qui pilote vraiment ? Le rôle DPO canal alerte conformité ne se devine pas : il s'écrit dans une fiche de poste, un acte de désignation et une procédure opposable. Voici une grille de décision pour attribuer les responsabilités sans doublon ni angle mort.

Sommaire

Pourquoi la question se pose dans chaque PME qui nomme un DPO externe
Trois responsabilités à distinguer : concevoir, opérer, décider
Matrice de décision DPO / compliance / DRH selon la taille et le secteur
Cas concret : ETI de 200 salariés avec DPO externalisé
Pièges classiques : le DPO qui devient juge et partie, le DRH qui gère les dossiers sensibles
Comment outiller chaque rôle sans créer de conflit d'intérêts
Questions fréquentes
Sources

Pourquoi la question se pose dans chaque PME qui nomme un DPO externe

Dans les structures de 50 à 250 salariés, le DPO est souvent externalisé — quelques heures par mois, parfois moins. La loi Sapin II, renforcée par la loi du 21 mars 2022 dite « Waserman » et son décret d'application du 3 octobre 2022, impose pourtant une procédure interne de recueil et de traitement des signalements dès le seuil de 50 salariés. Le dirigeant reste pénalement responsable si personne ne reçoit, accuse réception sous sept jours et ne répond pas sous trois mois.

Le DPO intervient alors comme conseiller, mais pas comme opérateur. Beaucoup de dirigeants confondent les deux fonctions et découvrent trop tard que le le rôle du DPO doit être déporté dès qu'un dossier le concerne personnellement — un point que la CNIL détaille dans sa fiche sur les conflits d'intérêts. Pour une PME, cela signifie qu'un DPO externalisé peut parfaitement concevoir le dispositif, mais ne peut pas traiter les alertes qui le mettraient en cause.

C'est précisément ce flou qui justifie d'écrire noir sur blanc qui fait quoi.

Trois responsabilités à distinguer : concevoir, opérer, décider

Tout canal d'alerte interne repose sur trois fonctions qu'il faut séparer, sinon le contrôle s'effondre.

1. Concevoir la procédure. C'est le périmètre du DPO et du responsable conformité : rédiger la politique, définir les catégories d'alertes, choisir l'outil, documenter la conservation des données, réaliser l'analyse d'impact (AIPD) si nécessaire. Le référentiel CNIL sur les alertes professionnelles recommande d'ailleurs que le DPO soit consulté en amont, sans endosser la responsabilité opérationnelle du traitement des signalements.

2. Opérer le canal. Concrètement : recevoir, accuser réception sous sept jours, qualifier, instruire, répondre sous trois mois. Cette fonction revient à une équipe neutre — souvent un binôme conformité + RH — ou à un tiers de confiance. Le DPO ne « traite » pas les alertes ; il s'assure que le traitement respecte le cadre RGPD et que la séparation des rôles est documentée.

3. Décider des suites. C'est le comité d'alerte — direction générale, conformité, parfois RH — qui tranche : enquête interne, saisine d'un avocat, transmission au Défenseur des droits pour les alertes externes, ou classement. Le DPO n'y siège qu'en conseil, jamais en juge.

Cette tripartition évite l'effet « guichet unique » où le même personnage reçoit la plainte, instruit le dossier et prononce la sanction.

Matrice de décision DPO / compliance / DRH selon la taille et le secteur

La répartition dépend moins de l'organigramme que des risques réellement portés par chaque métier. Voici une grille à adapter.

Situation	Pilote opérationnel	Conseiller / contrôleur	Décideur des suites
PME < 50 salariés, pas d'obligation Sapin II	DRH ou direction	DPO externe (conseil ponctuel)	Direction
PME 50–250 salariés, DPO externalisé	Compliance officer ou référent désigné	DPO (déporté si concerné)	Direction + compliance
ETI, services financiers ou santé	Compliance officer dédié	DPO interne	Comité d'alerte
Filiale française d'un groupe UE	Correspondant RGPD local	DPO groupe + DPO local	Direction locale + groupe
Secteur public	Référent alerte éthique	DPO de l'autorité	Autorité hiérarchique

Trois principes transverses : (1) le DPO ne peut pas être l'opérateur du canal s'il peut être mis en cause, (2) la DRH pilote les alertes de harcèlement ou de discrimination mais pas les alertes financières ou de conformité, (3) le pilote canal d'alerte PME doit avoir un mandat écrit, daté et signé par la direction. Sans mandat, aucune imputabilité réelle.

Cas concret : ETI de 200 salariés avec DPO externalisé

Infographic: Cas concret : ETI de 200 salariés avec DPO externalisé Une entreprise de services numériques de 200 salariés, certifiée ISO 27001, fait face à une alerte pour fraude au devis. Le DPO externalisé a conçu la procédure et validé l'internal reporting channel. À la réception du signalement anonyme, le conflit apparaît : le dirigeant soupçonné est l'interlocuteur quotidien du DPO chez le prestataire.

La marche à suivre, étape par étape :

Le DPO se déporte immédiatement et désigne un suppléant interne ou un autre DPO pour la durée du dossier, conformément aux recommandations de la CNIL.
La compliance officer prend l'opérationnel : accusé réception sous sept jours, qualification, instruction.
La DRH est informée uniquement si l'alerte touche un collaborateur ; sinon, elle reste en dehors.
Le comité d'alerte — direction générale, compliance, avocat externe — décide des suites.
Une note de déport est versée au dossier et au journal d'audit.

Le DPO externalisé, lui, reste disponible pour valider toute réutilisation de données personnelles (listes de personnes interrogées, conservation de pièces, etc.). Ce cas illustre pourquoi « désigner un DPO » ne signifie jamais « lui confier le canal ».

Pièges classiques : le DPO qui devient juge et partie, le DRH qui gère les dossiers sensibles

Deux dérives reviennent dans les contrôles.

Le DPO juge et partie. Quand le DPO interne est aussi RSSI, DAF ou directeur juridique, il peut se retrouver à qualifier des alertes qui le concernent ou concernent son supérieur direct. La CNIL recommande trois leviers — déport ponctuel, DPO suppléant, ou remplacement — et considère que la simple information du comité éthique ne suffit pas à neutraliser le conflit.

Le DRH qui gère tous les dossiers sensibles. Confier l'intégralité du canal d'alerte à la DRH expose l'entreprise à deux risques : traiter les alertes de harcèlement par le même service que celui mis en cause, et voir filtrer des alertes de fraude ou de corruption par un canal RH qui n'a pas la technicité juridique. La règle opérationnelle : la DRH pilote les alertes touchant aux personnes, la compliance pilote les autres, et la passerelle entre les deux est tracée.

Un troisième piège, plus discret : traiter les signalements de lanceurs d'alerte comme des réclamationsRH classiques. Le statut protecteur du lanceur d'alerte, défini par la loi du 21 mars 2022, impose une confidentialité renforcée et l'interdiction de toute représalie — ce qu'une procédure RH générique ne garantit pas.

Comment outiller chaque rôle sans créer de conflit d'intérêts

Trois principes d'outillage.

Séparer les accès. Le DPO voit les métadonnées et la politique ; l'opérateur voit les dossiers ; le décideur voit les conclusions. Personne ne cumule les trois rôles dans le même dossier.

Tracer les actes. Un journal immuable horodaté — qui a accusé réception, qui a qualifié, qui a décidé — suffit à prouver la conformité en cas de contrôle CNIL ou de contentieux. Cette piste d'audit est aussi l'exigence clé de la loi Sapin II.

Garantir l'anonymat par défaut. Un canal qui demande l'identité du déclarant par défaut n'est pas conforme. Les anonymous reporting doivent être techniquement possibles et explicitement proposés. Côté tarification, les solutions conformes existent à différents niveaux ; à titre indicatif, un forfait de conformité prêt à l'emploi permet d'éviter de construire un outil interne coûteux à auditer.

Dernier point souvent oublié : la formation. Chaque acteur — DPO, compliance, DRH — doit suivre une session annuelle de mise à jour, distincte, pour que le « qui fait quoi » ne se dilue pas avec les changements de personnel.

Questions fréquentes

Le DPO peut-il être le destinataire unique des alertes ? Non. Le DPO conseille, mais ne peut pas être l'opérateur unique du canal s'il peut être mis en cause. La CNIL recommande le déport, la désignation d'un suppléant, ou le remplacement. Confondre les deux fonctions expose à un vice de procédure.

À partir de combien de salariés le canal d'alerte devient-il obligatoire ? En France, la loi Sapin II, modifiée par la loi du 21 mars 2022 et le décret du 3 octobre 2022, impose une procédure interne dès 50 salariés ou agents dans les entreprises privées et les entités publiques. La directive UE 2019/1937 fixe le même seuil pour les entités juridiques de plus de 50 personnes.

La DRH doit-elle gérer toutes les alertes ? Non. La DRH pilote les alertes relatives aux personnes (harcèlement, discrimination, conditions de travail). Les alertes financières, de conformité ou de sécurité relèvent d'un binôme compliance et direction. Le pilote est nommé par écrit.

Un DPO externalisé peut-il quand même traiter les alertes ? Un DPO externalisé peut concevoir la procédure, valider les modèles de clause, conseiller sur la qualification. Il ne peut pas instruire les alertes qui le concernent, et doit se déporter pour celles où son client est mis en cause. Un mandat de déport doit être documenté.

Combien coûte un canal d'alerte conforme ? Le coût dépend du nombre d'utilisateurs, des fonctionnalités attendues et du niveau d'accompagnement. Les offres clé en main démarrent généralement autour de quelques dizaines d'euros par mois pour une PME ; les déploiements sur mesure se chiffrent au cas par cas.