Documentation du canal whistleblowing sous le décret législatif n° 24/2023 : Procédure interne, DPIA, procès-verbal syndical et registre à 5 ans en Italie

Le cadre légal de la documentation probatoire dans l'ordre juridique italien

Le décret législatif n° 24 du 10 mars 2023 instaure une architecture de conformité reposant sur le principe de responsabilité active (accountability). Dans le droit commercial, pénal et du travail en Italie, la simple existence d'un canal technique ne dispense aucunement l'employeur de démontrer la régularité formelle de chaque phase de son élaboration.

La documentation obligatoire découle de trois piliers législatifs complémentaires :

• La législation anticorruption (décret législatif 24/2023 et Délibération ANAC 311/2023) : Définition des compétences d'instruction, fixation des calendriers temporels impératifs (7 jours et 3 mois) et organisation des voies de recours ;
• Le règlement européen sur la protection des données (RGPD et décret législatif 196/2003 révisé) : Protection des données dès la conception, séparation logique des métadonnées et limitation stricte de la conservation dans le temps ;
• Le droit syndical italien (loi n° 300 du 20 mai 1970 - Statut des travailleurs) : Contrôle des instruments techniques susceptibles d'exercer une surveillance sur le personnel et respect des prérogatives de concertation collective.

La Politique d'entreprise : Le Règlement intérieur de whistleblowing

L'acte réglementaire central du dispositif est la Procédure interne de signalement. Ce texte réglementaire doit être formellement adopté par délibération du Conseil d'administration, de l'Administrateur unique ou de l'organe de direction suprême de l'organisme public.

Les clauses minimales obligatoires

En vertu de l'article 5 du décret 24/2023, la procédure interne doit détailler de façon explicite et transparente les éléments suivants :

• Le périmètre des personnes habilitées à émettre une alerte : Énumération complète des bénéficiaires (salariés de droit commun, intérimaires, prestataires sous contrat de louage d'ouvrage, stagiaires, dirigeants, administrateurs, actionnaires, ainsi que les candidats à l'embauche et anciens employés) ;
• La typologie exacte des violations dénonçables : Énumération claire des manquements au droit de l'Union européenne, des délits pénaux nationaux, des atteintes comptables ou des infractions au Modèle 231, en précisant expressément que les griefs d'ordre strictement individuel relatifs au contrat de travail ou à la rémunération sont exclus du dispositif ;
• L'identification nominative et statutaire du gestionnaire d'alerte : Désignation de la personne physique ou du service interne spécialisé, ou mention de la convention confiant la réception à un ombudsman ou avocat externe indépendant ;
• La procédure d'évitement en cas de conflit d'intérêts : Désignation formelle de l'organe subsidiaire compétent lorsque le gestionnaire habituel fait lui-même l'objet de l'alerte ou se trouve sous l'autorité directe de la personne visée ;
• Le calendrier des diligences procédurales : Obligation de délivrer l'accusé de réception dans un délai n'excédant pas 7 jours calendaires et de transmettre le retour d'information substantiel au plus tard dans les 3 mois suivant cet accusé ;
• La notice sur les canaux externes : Mention détaillée des quatre motifs légaux de l'article 6 permettant de s'adresser directement à l'ANAC, ainsi que des critères restrictifs de la divulgation publique de l'article 15.

L'obligation de publication sur le site internet public

L'article 5, alinéa 1, lettre e), du décret impose une prescription rigoureuse que nombre d'entreprises négligent : la politique de whistleblowing ne doit pas être dissimulée sur le réseau intranet réservé au seul personnel interne. Elle doit obligatoirement figurer sur le site internet accessible au public, dans une rubrique dédiée et aisément identifiable dès la page d'accueil. Cette exigence vise à permettre aux consultants, sous-traitants, fournisseurs et candidats externes de connaître les modalités d'accès au canal sécurisé avant d'engager toute démarche.

Le procès-verbal de consultation syndicale préalable (Art. 4, al. 1)

L'article 4, alinéa 1, du décret législatif 24/2023 dispose expressément que l'activation du canal interne de signalement est subordonnée à la consultation préalable des représentations syndicales d'entreprise (RSA) ou de la représentation syndicale unitaire (RSU), ou, en leur absence, des organisations syndicales représentatives à l'échelle nationale.

Formalisme de la concertation sociale

Cette consultation ne constitue pas une simple formalité de courtoisie. Elle doit donner lieu à une traçabilité rigoureuse :

• Convocation formelle écrite : Envoi aux délégués du personnel d'un dossier complet comprenant le projet de règlement intérieur, les caractéristiques techniques du canal logiciel retenu et la description des garanties de chiffrement de l'identité ;
• Séance de concertation contradictoire : Organisation d'une réunion au cours de laquelle la direction présente le fonctionnement de la plateforme, les modalités de recueil oral des signalements et la doctrine d'absence de représailles ;
• Procès-verbal de concertation signé : Rédaction d'un compte rendu de séance paraphé par la direction et les représentants syndicaux. Le texte doit consigner les explications fournies ainsi que les observations ou réserves éventuellement formulées par les syndicats. La législation n'exige pas un accord unanime pour mettre en place le canal, mais impose la preuve irréfutable que la concertation préalable a bien eu lieu.

Risques juridiques attachés à l'absence de procès-verbal

Déployer un canal sans avoir accompli cette consultation préalable constitue une irrégularité formelle majeure. L'ANAC peut sanctionner cette négligence par une amende de 10.000 à 50.000 euros pour défaut de conformité du canal interne. En outre, les syndicats sont fondés à introduire une action en justice en référé sur la base de l'article 28 du Statut des travailleurs pour conduite antisyndicale, aboutissant à la suspension judiciaire du canal.

L'Analyse d'Impact sur la Protection des Données (DPIA ex art. 35 RGPD)

Le traitement des alertes professionnelles implique la manipulation de données hautement sensibles, susceptibles de mettre en cause la probité, l'honneur et la carrière professionnelle de multiples personnes physiques. Le Garante per la protezione dei dati personali, dans sa Délibération n° 471 du 16 novembre 2023, a réaffirmé que la réalisation préalable d'une DPIA (Data Protection Impact Assessment) est une condition sine qua non de légalité.

Structure analytique du rapport de DPIA

Le document, élaboré par le Responsable de traitement avec l'assistance impérative du Délégué à la Protection des Données (DPO), doit comporter :

• La cartographie complète des flux informationnels : Description du circuit de l'alerte depuis son émission jusqu'à sa purge, incluant les transferts de données vers les sous-traitants d'hébergement cloud et les avocats conseils ;
• L'évaluation de la nécessité et de la proportionnalité : Démonstration des mécanismes de minimisation des données, prévoyant le rejet immédiat des données sans rapport avec l'alerte (notamment les informations médicales, politiques ou intimes) ;
• L'analyse des menaces pesant sur les droits fondamentaux : Évaluation des risques de déchiffrement non autorisé, de fuite de données vers la hiérarchie ou d'identification indirecte du signalant par recoupement d'indices temporels ;
• Les mesures techniques d'atténuation des risques : Utilisation de protocoles cryptographiques asymétriques à double clé (clés privées conservées sur des modules matériels sécurisés HSM), interdiction des accès aux administrateurs de serveurs, journalisation inaltérable des accès et authentification à facteurs multiples (MFA).

Mise à jour obligatoire du Registre des traitements (Art. 30 RGPD)

L'entreprise doit parallèlement insérer dans son Registre des activités de traitement une fiche spécifique dédiée au canal de whistleblowing. Cette fiche mentionne la base légale du traitement (obligation légale découlant du décret 24/2023), les catégories de données collectées, les destinataires autorisés, les délais de conservation et la localisation des serveurs hébergeant la solution.

Chaîne des actes de nomination et contrats de sous-traitance

Pour assurer la sécurité juridique des gestionnaires et encadrer les prestations techniques externes, l'entreprise doit formaliser un faisceau d'actes contractuels précis :

L'acte de désignation des gestionnaires autorisés (Art. 2-quaterdecies du Code Privacy)

Toute personne physique appelée à instruire des alertes (qu'il s'agisse d'un juriste interne, du Responsable de la prévention de la corruption ou des membres de l'Organisme de surveillance 231) doit recevoir un mandat écrit individuel. Ce document formalise :

• L'obligation juridique de secret absolu concernant l'identité du signalant et des personnes mises en cause ;
• Les instructions opérationnelles interdisant la duplication non sécurisée des dossiers sur des disques locaux ou des boîtes de messagerie ordinaires ;
• L'engagement de se déporter immédiatement en cas de conflit d'intérêts avéré avec les faits dénoncés ;
• Les sanctions disciplinaires et pénales encourues en cas de violation délibérée de la confidentialité (art. 21 du décret 24/2023 et art. 326 du Code pénal).

Le contrat de sous-traitance des données (DPA ex art. 28 RGPD)

Lorsque le canal technique repose sur une solution logicielle en mode SaaS fournie par un éditeur externe, un contrat de traitement des données conforme à l'article 28 du RGPD doit être souscrit. Cette convention doit stipuler impérativement :

• Que le fournisseur agit uniquement en qualité de sous-traitant sur instructions documentées de l'entreprise ;
• Que les données sont hébergées au sein de l'Espace Économique Européen sans transfert hors UE non conforme ;
• Que le personnel technique du fournisseur ne dispose d'aucun droit ni moyen d'accéder au contenu déchiffré des alertes ou aux bases d'identités ;
• L'obligation d'assister le client lors de la réalisation des audits annuels de sécurité et lors des contrôles menés par l'ANAC ou le Garante Privacy.

Le Registre des signalements et l'obligation de conservation quinquennale (Art. 14)

L'article 14 du décret législatif n° 24/2023 régit les modalités d'archivage des dossiers d'alerte, instaurant une obligation de traçabilité stricte :

Le délai impératif de conservation à cinq ans

L'article 14, alinéa 1, pose un principe clair : "Les signalements et la documentation y afférente sont conservés pendant le temps nécessaire au traitement du signalement et, en tout état de cause, pas plus de cinq ans à compter de la date de communication du résultat final de la procédure de signalement."

Ce point de départ est fondamental : le compte à rebours des cinq années ne débute pas le jour de la réception de l'alerte, mais le jour où le retour d'information définitif a été notifié au signalant. Durant toute cette période quinquennale, le dossier doit pouvoir être produit sur réquisition judiciaire de l'ANAC, des tribunaux ordinaires ou de la Cour des comptes.

La formalisation des alertes orales et réunions physiques

L'article 14, alinéas 2 et 3, réglemente avec minutie la documentation des alertes transmises oralement :

• Enregistrement téléphonique ou vocal : Le recours à un enregistrement audio ne peut avoir lieu qu'avec le consentement préalable et explicite du signalant. Le fichier sonore est alors conservé sur un support sécurisé ;
• Procès-verbal de transcription intégrale : En cas de refus d'enregistrement ou d'entretien physique direct, le gestionnaire a l'obligation de dresser un procès-verbal écrit circonstancié consignant la teneur intégrale des déclarations ;
• Approbation et signature par le signalant : Le signalant dispose du droit fondamental de relire, de rectifier et de contresigner le procès-verbal pour lui conférer force probante. Si le signalant refuse de signer, mention expresse en est portée au procès-verbal avec indication des motifs allégués.

Particularités documentaires en Région autonome Vallée d'Aoste

L'ancrage territorial valdôtain impose des obligations documentaires particulières découlant du statut spécial d'autonomie (loi constitutionnelle n° 4 du 26 février 1948) et du régime de parité linguistique :

Bilinguisme des procédures internes publiques et parapubliques

Au sein de l'Administration régionale de la Vallée d'Aoste, des communes valdôtaines, de l'Azienda USL della Valle d'Aosta et des concessionnaires publics régionaux (tels que la CVA - Compagnie Valdôtaine des Eaux), l'ensemble de la documentation de whistleblowing doit être rédigée intégralement en versions française et italienne :

• Le Règlement intérieur de whistleblowing doit être publié sur le site officiel en langue française et en langue italienne, avec une valeur juridique identique conférée aux deux rédactions ;
• Les formulaires de signalement, guides d'utilisation et notices de confidentialité RGPD doivent être simultanément mis à disposition dans les deux langues officielles régionales ;
• Le procès-verbal de consultation préalable des représentations syndicales (RSA/RSU) doit être établi en français ou comporter une version officielle bilingue conforme aux usages de la concertation sociale valdôtaine.

Gestion du registre des signalements bilingue

Le Registre des signalements prescrit par l'article 14 doit être configuré pour consigner les dossiers sans discrimination de langue. Les avis de réception, procès-verbaux d'audition et notes de clôture doivent être rédigés en français lorsque l'alerte a été initiée en langue française par le travailleur, garantissant le respect absolu de l'article 38 du Statut spécial.

Tableau synthétique des livrables de conformité documentaire et sanctions

Le tableau suivant récapitule la chaîne des livrables obligatoires, leurs autorités de validation et les sanctions applicables en cas de défaut d'élaboration :

Recommandations méthodologiques pour l'archivage et l'auditabilité

Pour assurer la pérennité de son architecture documentaire et résister victorieusement à tout contrôle administratif inopiné, l'organisation doit respecter les quatre règles d'or suivantes :

• Horodatage cryptographique certifié : Tous les documents structurants (politique interne, procès-verbal syndical, DPIA et fiches de clôture) doivent faire l'objet d'un horodatage numérique qualifié (eIDAS) garantissant une date certaine incontestable face aux inspecteurs de l'ANAC ;
• Politique de purge automatique au 5e anniversaire : Configurer la base de données pour que les dossiers clos soient automatiquement supprimés à l'expiration exacte du délai de cinq ans prescrit par l'article 14, sauf contentieux judiciaire en cours nécessitant le maintien sous séquestre ;
• Revue périodique biennale de la documentation : Soumettre la procédure interne et la DPIA à un réexamen systématique tous les deux ans ou lors de toute modification substantielle de l'organisation de l'entreprise ou de l'effectif salarié ;
• Sensibilisation documentée des équipes RH et cadres : Conserver les feuilles d'émargement et attestations de formation des cadres dirigeants sur l'interdiction stricte des mesures de rétorsion, constituant un élément de décharge décisif devant le juge du travail.

Foire aux questions : Maîtriser la conformité documentaire

Peut-on regrouper la consultation syndicale du whistleblowing avec celle relative à la vidéosurveillance ?

Il est vivement conseillé de traiter la consultation sur le canal d'alerte dans le cadre d'un point d'ordre du jour spécifique et de rédiger un procès-verbal dédié. Les finalités de prévention des infractions sous le décret 24/2023 diffèrent profondément de la surveillance des biens et des personnes au sens de l'article 4 du Statut des travailleurs.

Que faire si les délégués syndicaux refusent formellement de signer le procès-verbal de consultation ?

La législation italienne exige une consultation préalable effective mais n'impose pas la signature d'un accord collectif obligatoire. Si les représentants syndicaux expriment un désaccord ou refusent de parapher le texte, il suffit à la direction de conserver la convocation formelle, le texte soumis et un compte rendu consignant le refus de signature, démontrant ainsi le respect de l'obligation de concertation préalable.

Un auditeur financier ou commissaire aux comptes a-t-il le droit de consulter le Registre des signalements ?

Non. Les commissaires aux comptes et auditeurs externes n'ont aucun droit d'accès direct au registre nominatif ni aux pièces d'investigation protégées par le secret d'identité. Le gestionnaire peut uniquement leur communiquer un rapport statistique agrégé et anonymisé indiquant le nombre de signalements reçus, leur typologie générale et les provisions comptables éventuellement constituées pour couvrir des risques avérés.

Quelle est la sanction si la politique de whistleblowing n'est pas publiée sur le site web externe ?

Le défaut de publication sur le site internet accessible au public constitue une violation directe de l'article 5, alinéa 1, lettre e). L'ANAC peut infliger à l'entité une amende administrative de 10.000 à 50.000 euros. De plus, ce manquement permet aux salariés et tiers de saisir directement le canal externe de l'ANAC au titre de la défaillance du canal interne (art. 6).

Comment archiver un signalement oral lorsqu'un entretien physique a eu lieu sans enregistrement ?

Le gestionnaire d'alerte rédige immédiatement un procès-verbal d'entretien détaillé reproduisant fidèlement les déclarations. Le document est ensuite soumis au signalant qui peut le corriger, le compléter et le signer. Ce procès-verbal contresigné est numérisé et intégré au registre informatique sécurisé pour une durée de cinq ans.

Les entreprises privées de la Vallée d'Aoste sont-elles obligées de rédiger leur règlement en français ?

Bien que la loi constitutionnelle n° 4/1948 vise au premier chef le secteur public, la rédaction de la politique de whistleblowing en version bilingue français-italien est vivement recommandée dans le secteur privé valdôtain. Elle prévient toute contestation relative à l'accessibilité de l'information pour les travailleurs et candidats d'expression française et valorise la conformité territoriale de l'entreprise.