Le lancement d’alerte et le RGPD : les enseignements tirés de notre travail en Grèce

Published by voiceguarddev on octobre 19, 2026

Tags

Le lancement d’alerte et le RGPD : les enseignements tirés de notre travail en

Grèce

Par MD Brainnovation, Manos Dimogerontakis

Chez MD Brainnovation, nous intervenons principalement en tant que consultants en conformité au RGPD. Depuis l’adoption par la Grèce de la loi n° 4990/2022, une grande partie de notre travail consiste à aider les entreprises à mettre en place et à réviser leurs canaux de signalement. Nous avons rapidement constaté que la plupart des questions épineuses ne concernaient pas du tout la législation sur le signalement, mais bien les données à caractère personnel. Cet article présente les enseignements que nous avons tirés de cette expérience, de notre point de vue.

Le point de départ, à savoir la directive (UE) 2019/1937 et la loi grecque qui l’a transposée, s’appuient toutes deux sur le RGPD. L’identité du lanceur d’alerte doit rester confidentielle et n’être connue que des personnes habilitées à traiter le signalement. Les données manifestement non pertinentes ne doivent pas être conservées. Les signalements ne doivent être conservés que pendant la durée nécessaire. La loi n° 4990/2022 ajoute que les entreprises comptant 50 salariés ou plus doivent nommer un responsable de la réception et du suivi des signalements (Υ.Π.Π.Α.), et elle autorise certaines restrictions aux droits des personnes concernées lorsque celles-ci risqueraient de mettre en danger le lanceur d’alerte ou l’enquête. Sur le papier, cela semble clair. Dans la pratique, quatre problèmes reviennent sans cesse.

Leçon n° 1 : les sociétés du groupe et les transferts de données

Bon nombre de nos clients sont des filiales grecques de groupes internationaux. Le groupe dispose généralement déjà d’une ligne d’assistance mondiale, souvent gérée par un prestataire externe, dont les signalements sont examinés au siège social. La réaction naturelle consiste à y intégrer la société grecque et à passer à autre chose. Cela peut fonctionner, mais cela nécessite davantage de réflexion que la plupart ne le pensent. La filiale grecque reste responsable de son propre canal de signalement ; la solution du groupe doit donc répondre aux exigences grecques, notamment en désignant un responsable local. Lorsque les signalements sont transmis à la société mère, le rôle de chaque entité doit être défini : qui est le responsable du traitement, qui est le sous-traitant, et s’il y a un contrôle conjoint. Et lorsque le siège social ou le prestataire de la plateforme est situé en dehors de l’EEE, un mécanisme de transfert tel que les clauses contractuelles types et une analyse d’impact du transfert sont requis. Ce que nous disons à nos clients est simple : cartographiez le parcours réel d’un signalement, depuis le moment où il est déposé jusqu’à sa clôture. Très souvent, personne ne l’a fait, et la cartographie elle-même met en évidence les lacunes.

Leçon n° 2 : les demandes d’accès émanant des personnes impliquées dans un signalement

Tôt ou tard, une personne citée dans un signalement dépose une demande d’accès au titre du RGPD. Il s’agit parfois d’un véritable désir de savoir quelles données la concernant sont conservées. Parfois, c’est une tentative pour découvrir qui l’a signalée. La loi grecque autorise l’entreprise à restreindre ces droits afin de protéger le signalant et l’enquête. Mais nous avons vu des entreprises considérer cela comme une autorisation de tout refuser, ce qui est une erreur. La restriction doit être évaluée au cas par cas et documentée. La personne concernée conserve le droit d’accéder aux données la concernant, à condition que rien ne révèle l’identité de l’auteur du signalement ni ne nuise à l’enquête. Dans la pratique, cela implique un masquage minutieux des informations sensibles, une justification claire dans le dossier et une réponse dans les délais prévus par le RGPD. Nous vous conseillons de préparer une brève procédure interne pour traiter ces demandes avant même que la première n’arrive. C’est en les traitant sous pression que la plupart des erreurs se produisent.

Leçon n° 3 : Anonymat et pseudonymisation

Le signalement anonyme semble être l’option la plus sûre, et c’est souvent le cas pour le lanceur d’alerte. Pour l’organisation, cela complique le suivi, car il n’y a personne à qui demander plus de détails ou à tenir informé. Les bonnes plateformes résolvent ce problème grâce à une boîte aux lettres anonyme, ce qui permet à l’équipe chargée du dossier de communiquer avec le lanceur d’alerte sans connaître son identité. Lorsque l’identité du lanceur d’alerte est connue, nous recommandons la pseudonymisation au sein du dossier. L’identité est conservée séparément, accessible uniquement au responsable, et le dossier est identifié par un numéro de référence. Cela limite les dommages en cas de partage ou de fuite du dossier. Il est toutefois important de garder à l’esprit que les données pseudonymisées restent des données à caractère personnel pour l’entreprise qui détient la clé ; toutes les obligations du RGPD continuent donc de s’appliquer. Le plus grand risque, selon nous, n’est pas le nom. C’est tout ce qui l’entoure : le service, les dates, un détail que seule une personne pourrait connaître. Avant qu’un résumé ne quitte l’équipe chargée du dossier, quelqu’un doit le relire en se posant une question : cela pourrait-il permettre d’identifier l’auteur du signalement ?

Leçon n° 4 : l’AIPD n’est pas facultative en Grèce

On nous demande souvent si une analyse d’impact relative à la protection des données est réellement nécessaire pour un canal de signalement. En Grèce, la réponse est oui. La liste établie par l’Autorité hellénique de protection des données des opérations de traitement nécessitant une AIPD (décision n° 65/2018, publiée au Journal officiel n° 1622 du 10 mai 2019) mentionne expressément l’enregistrement de personnes dans des systèmes d’alerte comme un exemple de traitement susceptible d’empêcher les personnes d’exercer leurs droits. Selon cette liste, le simple fait de répondre à ce critère suffit à rendre l’AIPD obligatoire. D’après notre expérience, l’AIPD est également le document le plus utile de tout le projet. Elle oblige l’entreprise à répondre aux questions ci-dessus : où vont les données, qui y a accès, combien de temps y sont-elles conservées et comment les demandes relatives aux droits seront-elles traitées ? Elle doit être réalisée avant la mise en service du canal et révisée chaque fois que la plateforme, le fournisseur ou la structure du groupe changent.

Conclusion

Un canal de signalement ne fonctionne que si les gens lui font confiance. Si les employés craignent que leur nom soit divulgué, ils garderont le silence, quoi qu’en dise la loi. De notre point de vue de consultants en protection des données, c’est en respectant pleinement le RGPD que l’on instaure cette confiance, et c’est une démarche que chaque organisation peut entamer dès maintenant.

Sources