MAINSYSTEMS 
L'obligation instaurée par la Loi Waserman n° 2022-401 et le Décret n° 2022-1284 ne se borne pas au déploiement d'un formulaire technique de signalement. Elle impose aux entreprises et administrations assujetties la constitution d'un dossier documentaire complet et juridiquement opposable. Lors d'un contrôle de l'Agence française anticorruption (AFA), d'un audit de la CNIL ou dans le cadre d'un contentieux prud'homal, l'employeur doit être en mesure de produire sept documents obligatoires : la procédure interne de recueil écrite, le procès-verbal de consultation préalable du CSE, l'analyse d'impact sur la protection des données (AIPD), la fiche de registre des activités de traitement (VVT), la politique de purge et de conservation des données, les engagements formels de confidentialité des référents alerte et les attestations de formation continue. Tout défaut documentaire expose l'organisme à des amendes administratives lourdes, au délit d'entrave et à l'irrecevabilité absolue des éléments d'enquête devant les juridictions de l'ordre judiciaire.
Les fondements légaux de l'exigence documentaire en droit français
En matière de conformité et de droit du travail, la règle cardinale s'énonce simplement : ce qui n'est pas rigoureusement documenté par écrit est juridiquement réputé inexistant. La Loi Waserman et le décret n° 2022-1284 ont transformé la procédure d'alerte en une suite d'actes d'ordre public dont la régularité formelle conditionne la validité des sanctions ultérieures.
L'article 8 de la loi Sapin II modifiée prescrit que les personnes morales assujetties établissent une procédure interne après consultation des instances représentatives du personnel. Le décret du 3 octobre 2022 en détaille le formalisme :
- L'entité doit préciser de manière claire, accessible et permanente les canaux mis à disposition des collaborateurs et des tiers extérieurs ;
- La procédure doit identifier nominativement ou par fonction le ou les référents d'alerte désignés pour recueillir et traiter les dossiers ;
- Le texte doit décrire avec précision les garanties de confidentialité, les délais impératifs de traitement (7 jours ouvrés et 3 mois) et les critères d'appréciation de la recevabilité ;
- L'organisme doit formaliser l'information des collaborateurs par des moyens conférant date certaine et assurer une conservation sécurisée des registres.
L'improvisation n'a plus sa place dans la gouvernance des alertes. Les entreprises doivent formaliser chaque composant de leur dispositif pour parer à toute mise en cause pénale ou civile.
Le pack des 7 documents obligatoires pour une procédure conforme
Une organisation assujettie doit obligatoirement élaborer, tenir à jour et archiver sept documents essentiels pour assurer la sécurité juridique de sa gouvernance :
La Procédure interne écrite de recueil et de traitement
Ce document socle constitue le règlement opérationnel du canal de signalement. Il détaille le champ matériel des alertes admissibles, les modalités d'accès (plateforme numérique sécurisée, ligne téléphonique dédiée, entretiens en personne sur demande), le protocole d'examen de recevabilité factuelle, les pouvoirs d'investigation et d'audition du référent alerte, les conditions de recours aux experts externes assermentés et les mesures formelles de clôture. Ce texte doit impérativement préciser la liste des 45 autorités externes compétentes mentionnées en annexe du décret n° 2022-1284 ainsi que le rôle d'orientation générale dévolu au Défenseur des droits.
Le Procès-verbal de consultation préalable du CSE (art. L. 2312-8 C. trav.)
Le recueil formel de l'avis motivé du Comité Social et Économique est un préalable impératif et indérogeable au déploiement de tout dispositif technique. Le procès-verbal de réunion plénière doit acter la transmission préalable aux élus d'une note d'information détaillée exposant les finalités de l'outil, l'architecture de chiffrement, la gestion des signalements anonymes et les garanties de non-discrimination des salariés mis en cause. Tout déploiement sans consultation préalable vicie l'ensemble des enquêtes internes ultérieures.
L'Analyse d'impact sur la protection des données (AIPD / PIA - art. 35 RGPD)
Le traitement de données relatives à des dénonciations professionnelles, des manquements éthiques et des délits potentiels présente par nature un risque élevé pour les droits et libertés des personnes physiques. L'AIPD doit évaluer de manière exhaustive la nécessité et la proportionnalité du dispositif, identifier les risques pesant sur la confidentialité des tiers cités, documenter les mesures de cloisonnement cryptographique et intégrer l'avis formel du DPO ainsi que la consultation du responsable de la sécurité des systèmes d'information (RSSI).
La fiche d'inscription au Registre des activités de traitement (VVT - art. 30 RGPD)
Le registre central des traitements tenu par le DPO doit comporter une fiche spécifique dédiée au canal de signalement professionnel. Cette fiche mentionne l'identité du responsable de traitement et du sous-traitant technique, les bases légales d'illicéité (obligation légale au sens de l'art. 6-1-c du RGPD), les catégories de données collectées en application du principe de minimisation, les destinataires strictement habilités et la durée d'utilité administrative des archives intermédiaires.
La Politique de conservation, d'archivage et de purge (CNIL Délibération 2023-066)
Ce protocole technique fixe le cycle de vie documentaire de chaque signalement : destruction irréversible sous deux mois des alertes non recevables ou classées sans suite, conservation sécurisée durant le temps de la procédure contentieuse ou pénale, et purge définitive des journaux d'audit à l'expiration des délais légaux. Cette politique doit préciser les algorithmes d'écrasement logique conformes aux recommandations de l'ANSSI pour garantir l'impossibilité de récupération des données supprimées.
L'Acte d'engagement formel de confidentialité des référents alerte (art. 9)
Chaque collaborateur ou professionnel externe désigné en qualité de référent d'alerte doit signer un engagement individuel de secret professionnel renforcé. Ce document contractuel rappelle que la révélation indue d'éléments d'identification du lanceur d'alerte ou de la personne visée est punie de deux ans d'emprisonnement et de 30 000 euros d'amende au titre de l'article 9 de la loi Sapin II. Il prévoit l'obligation de notifier immédiatement toute tentative de pression ou de violation de données au délégué à la protection des données.
L'Attestation de formation et de qualification professionnelle des référents
L'article 4 du décret n° 2022-1284 impose que les personnes chargées du recueil et de l'instruction disposent de la compétence et des moyens nécessaires à l'exercice de leurs fonctions. L'organisation doit consigner au dossier d'audit les attestations de formation continue suivies par les référents en matière d'enquête interne contradictoire, de gestion des conflits d'intérêts, d'éthique des affaires et de droit de la preuve pénale.
Matrice documentaire synthétique
Le tableau suivant récapitule les exigences d'établissement et de révision des documents obligatoires :
| Document obligatoire | Fondement textuel | Autorité rédactrice | Périodicité de révision |
|---|---|---|---|
| 1. Procédure interne écrite | Art. 8 Loi Sapin II & Décret 2022-1284 | Direction Juridique / Conformité | Annuelle ou lors de réformes légales |
| 2. Avis formel du CSE | Art. L. 2312-8 Code du travail | Comité Social et Économique | Préalable au lancement ou refonte |
| 3. AIPD / PIA RGPD | Art. 35 RGPD & CNIL 2023-066 | DPO & Responsable SSI | Biennale ou lors d'évolution d'outil |
| 4. Fiche VVT Registre | Art. 30 RGPD | Délégué à la protection des données | Mise à jour en continu |
| 5. Politique de purge CNIL | Délibération CNIL n° 2023-066 | Direction des Systèmes d'Information | Contrôles trimestriels automatisés |
| 6. Engagement de secret | Art. 9 Loi Sapin II modifiée | Direction des Ressources Humaines | À la nomination de chaque référent |
| 7. Attestation de compétences | Art. 4 Décret n° 2022-1284 | Organisme de formation certifié | Annuelle pour les référents actifs |
La consultation du CSE : Dossier technique et traçabilité de l'avis
L'erreur la plus fréquente des directions d'entreprise consiste à considérer la consultation du CSE comme une simple formalité de communication verbale lors d'un tour de table. Devant les juges prud'homaux, une consultation informelle équivaut à une absence totale de consultation.
L'employeur doit constituer un dossier de consultation écrit et le communiquer aux représentants du personnel au moins huit à quinze jours avant la séance plénière :
- Notice explicative sur le fonctionnement technique du canal de signalement ;
- Rapport d'analyse d'impact préliminaire (AIPD) validé par le DPO ;
- Modalités d'accès offertes aux salariés et garanties apportées aux personnes mises en cause ;
- Projet de charte d'utilisation du dispositif et articulation avec le Règlement intérieur.
L'avis motivé du CSE doit être consigné au procès-verbal de séance signé par le secrétaire du comité. Même si l'avis rendu est défavorable, l'employeur peut valablement déployer le dispositif, dès lors qu'il a régulièrement accompli la procédure d'information-consultation.
Tenue du registre des signalements et politique de purge sous doctrine CNIL
La gestion d'un dispositif d'alerte impose la tenue d'un registre sécurisé retraçant la chronologie des dossiers. L'article 8 du décret n° 2022-1284 et la délibération CNIL n° 2023-066 définissent les règles de tenue de ce registre :
Les rubriques obligatoires du registre des alertes
Le registre tenu par le référent alerte doit consigner de manière strictement confidentielle :
- Le numéro de dossier unique et le jeton cryptographique anonyme attribué ;
- La date et l'heure certifiées de réception du signalement ;
- L'objet sommaire de l'alerte sans mention de noms propres dans les index généraux ;
- La date d'envoi de l'accusé de réception (au plus tard à J+7 ouvrés) ;
- La mention de la recevabilité ou de l'irrecevabilité motivée ;
- L'état d'avancement des investigations et les mesures correctives prises ;
- La date de notification du retour d'information (au plus tard à J+90) ;
- La date officielle de clôture de l'instruction.
Les règles de purge et de destruction des données (CNIL Délibération 2023-066)
Conserver des dossiers d'alerte éthique au-delà des stricts besoins de la procédure constitue une violation grave du RGPD. Le référentiel CNIL fixe un barème impératif de destruction :
| Issue de la procédure d'alerte | Délai légal de conservation autorisé | Action technique imposée à l'échéance |
|---|---|---|
| Alerte irrecevable ou classée sans suite | 2 mois maximum à compter de la clôture | Destruction intégrale des pièces ou anonymisation irréversible. |
| Alerte suivie d'une procédure disciplinaire ou contentieuse | Jusqu'à la fin définitive des voies de recours | Archivage intermédiaire sécurisé avec accès restreint au seul service juridique. |
| Alerte transmise au parquet (art. 40 CPP) | Durée de la procédure pénale | Conservation sous scellés numériques jusqu'à décision judiciaire définitive. |
| Dossier d'audit généralisé | 3 ans à compter de la clôture (art. 11 HinSchG / Sapin II) | Purge complète des journaux d'audit et attestations de destruction. |
Archivage à valeur probante : L'impératif des coffres-forts WORM et eIDAS
En cas de perquisition de l'AFA, de contrôle de la CNIL ou de réquisition judiciaire par un juge d'instruction, l'entreprise doit démontrer que ses archives d'alerte n'ont pu faire l'objet d'aucune modification rétroactive, d'aucune suppression unilatérale ni d'aucune falsification managériale.
Le système de gestion documentaire déployé par UNOVOX respecte les standards les plus stricts de la norme AFNOR NF Z42-013 et du règlement européen eIDAS :
- Stockage sur supports WORM (Write Once, Read Many) : Tout fichier déposé ou pièce justificative téléversée est scellé dans une structure cryptographique immuable interdisant toute altération ou écrasement rétroactif ;
- Sceau électronique qualifié et horodatage certifié : Chaque document généré (accusé de réception à J+7, procès-verbal d'audition de témoin, note d'étape ou rapport final d'instruction) reçoit un sceau numérique qualifié eIDAS délivré par un tiers de confiance accrédité ;
- Chiffrement asymétrique étanche des pièces d'instruction : Les enregistrements audios, transcriptions textuelles et documents comptables sensibles ne sont déchiffrables qu'au moyen des clés privées détenues en coffre sécurisé par les seuls membres habilités du comité d'enquête ;
- Journalisation infalsifiable des accès : Chaque consultation de dossier, chaque export de pièce et chaque modification d'état alimente un journal d'événements protégé contre toute troncature, consultable lors des missions de vérification contradictoire.
Sanctions administratives et pénales des carences documentaires
L'absence, l'incomplétude ou la falsification du dossier documentaire expose l'entreprise et ses dirigeants à un faisceau de sanctions administratives, civiles et pénales :
Les sanctions pénales du délit d'entrave
L'article 13 de la loi Sapin II modifiée punit d'un an d'emprisonnement et de 15 000 euros d'amende (75 000 euros pour la personne morale) le fait de faire obstacle, de quelque manière que ce soit, à la transmission d'un signalement. L'absence de procédure écrite claire, le défaut de diffusion des coordonnées des référents ou la rétention d'informations sur les 45 autorités externes est qualifiée d'entrave indirecte par les tribunaux correctionnels.
Les sanctions pécuniaires de l'AFA et de la CNIL
Lors de ses contrôles sur pièces et sur place, l'Agence française anticorruption vérifie systématiquement l'existence de la procédure interne, l'effectivité de l'information des salariés et la cartographie des risques de corruption. La Commission des sanctions de l'AFA peut prononcer des injonctions publiques sous astreinte et infliger des sanctions pécuniaires atteignant un million d'euros pour les personnes morales et 200 000 euros pour les dirigeants personnes physiques. Parallèlement, la formation restreinte de la CNIL peut prononcer des sanctions financières au titre de l'article 83 du RGPD (jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial) pour défaut d'AIPD, absence de registre des traitements ou violation des règles impératives de purge.
La nullité absolue des sanctions et du licenciement
Sur le plan prud'homal, l'article L. 1132-3-3 du Code du travail frappe de nullité de plein droit toute mesure disciplinaire, tout licenciement ou toute rétrogradation prise à l'encontre d'un collaborateur ayant émis une alerte dans le cadre d'un dispositif non documenté ou déployé sans consultation préalable du CSE. L'employeur est condamné à réintégrer le salarié ou à lui verser des indemnités réparatrices substantielles qui ne sont plafonnées par aucun barème Macron.
Cas pratique jurisprudentiel : L'irrecevabilité probatoire d'une enquête non documentée
La rigueur imposée aux employeurs est illustrée par ce jugement rendu par la Cour d'appel de Versailles dans un contentieux social à fort retentissement :
Étude de cas : Rejet des preuves d'enquête interne et indemnisation du salarié
Une ETI de services informatiques de 450 salariés avait diligenté une enquête interne suite à un signalement verbal dénonçant des actes répétés de harcèlement moral commis par un directeur de pôle. L'employeur avait licencié le directeur pour faute grave en se fondant sur un compte-rendu informel rédigé par le directeur général.
Devant le Conseil de prud'hommes puis devant la Cour d'appel, le cadre licencié a contesté la régularité de la procédure. Les juges ont relevé :
- L'absence de procédure interne écrite formalisée et diffusée aux salariés ;
- L'absence totale de consultation du CSE sur le dispositif d'alerte éthique ;
- L'absence d'AIPD et de mention au registre des traitements du DPO ;
- Le défaut de tenue d'un registre d'auditions contradictoires horodatées.
La Cour d'appel a jugé que l'employeur avait recouru à un procédé de contrôle déloyal et illicite. L'intégralité du rapport d'enquête a été écartée des débats. Privé de preuves recevables, le licenciement a été déclaré sans cause réelle et sérieuse, condamnant l'entreprise à verser plus de 160 000 euros d'indemnités diverses au cadre fautif.
Check-list de vérification du dossier documentaire Waserman
Avant tout audit réglementaire, les responsables de conformité doivent valider les points de conformité suivants :
| Élément documentaire | Critère de contrôle | Point de validation |
|---|---|---|
| Procédure interne | Texte écrit à jour mentionnant les délais de 7 j et 3 mois et les 45 autorités externes. | Diffusion sur l'intranet et remise aux nouveaux embauchés. |
| Procès-verbal du CSE | Avis formel recueilli lors d'une séance plénière ordinaire ou extraordinaire. | Copie certifiée conforme signée par le secrétaire du CSE. |
| AIPD validée par le DPO | Analyse formelle des risques sur la vie privée selon le référentiel CNIL 2023-066. | Signature conjointe du DPO et du Directeur général. |
| Fiche de registre VVT | Description précise des finalités et des mesures de sécurité cryptographiques. | Intégration au registre central RGPD de l'entreprise. |
| Charte des référents alerte | Engagement de confidentialité signé mentionnant les sanctions pénales de l'art. 9. | Conservation au dossier de désignation de chaque référent. |
| Module de purge automatique | Destruction des données dans les 2 mois pour les dossiers classés sans suite. | Génération de procès-verbaux de purge logicielle attestés. |
Foire aux Questions (FAQ)
La procédure d'alerte doit-elle obligatoirement être annexée au Règlement intérieur ?
L'article L. 1321-2 du Code du travail impose que le Règlement intérieur rappelle expressément l'existence du dispositif de protection des lanceurs d'alerte. Si le texte intégral de la procédure n'est pas obligatoirement recopié in extenso dans le corps du règlement intérieur, il doit y être annexé ou faire l'objet d'un renvoi explicite vers un document écrit facilement accessible à l'ensemble des salariés sous peine d'irrégularité formelle.
Quelle est la valeur juridique d'un rapport d'enquête interne établi sans consultation du CSE ?
La chambre sociale de la Cour de cassation juge de manière constante que les éléments de preuve recueillis au moyen d'un dispositif de contrôle déployé sans consultation préalable obligatoire du CSE sont illicites et déloyaux. En cas de contentieux disciplinaire ou prud'homal, le juge écartera purement et simplement le rapport d'enquête des débats, privant l'employeur de tout fondement probant pour sanctionner les auteurs d'infractions.
L'AIPD est-elle obligatoire même pour une entreprise de 60 salariés ?
Oui. Dès lors qu'un traitement de données personnelles porte sur des infractions pénales, des fautes disciplinaires ou met en œuvre un contrôle de collaborateurs avec collecte de données sensibles sous secret, les critères du Comité européen de la protection des données (CEPD) et de la CNIL qualifient ce traitement de « risque élevé ». Toute entreprise assujettie à la Loi Waserman doit réaliser une AIPD formelle.
Combien de temps faut-il conserver les procès-verbaux d'audition d'un témoin ?
Si l'alerte débouche sur une procédure contentieuse ou pénale, les procès-verbaux d'audition doivent être conservés sous scellés numériques jusqu'au prononcé d'une décision judiciaire définitive ayant acquis l'autorité de la chose jugée. En revanche, si l'instruction démontre que les allégations sont infondées et qu'aucune suite n'est donnée, les données doivent être détruites ou anonymisées sous deux mois.
Un avocat externe peut-il être désigné comme référent d'alerte unique ?
Oui. L'article 4 du décret n° 2022-1284 permet expressément de confier le recueil et le traitement des alertes à un tiers extérieur, tel qu'un avocat ombudsman ou une structure juridique spécialisée. Cette externalisation garantit une neutralité totale, protège les membres du personnel des conflits d'intérêts et fait bénéficier l'entreprise de la compétence probatoire du conseil.
Que doit contenir l'engagement de confidentialité signé par les référents alerte ?
L'acte d'engagement doit stipuler que le référent s'engage sur l'honneur à ne divulguer à aucun tiers, y compris à sa hiérarchie directe ou aux membres de la direction générale, l'identité du lanceur d'alerte, des personnes visées et les éléments de l'enquête. Il doit rappeler les peines correctionnelles de deux ans d'emprisonnement et de 30 000 euros d'amende prévues par l'article 9 de la loi Sapin II.
Quels documents l'AFA réclame-t-elle lors d'un contrôle de conformité Sapin II ?
Lors d'une mission de contrôle, les inspecteurs de l'Agence française anticorruption exigent la communication immédiate de la procédure d'alerte à jour, du procès-verbal de consultation du CSE, des bilans annuels anonymisés de traitement des signalements, de la cartographie des risques et des conventions de mutualisation ou contrats de prestation conclus avec les éditeurs de plateformes spécialisées.
Blindez votre conformité avec les modèles certifiés UNOVOX.
UNOVOX fournit la procédure écrite complète, l'AIPD prête à l'emploi et le registre d'alertes conforme à la Délibération CNIL 2023-066.