{"id":1750,"date":"2026-10-19T10:56:17","date_gmt":"2026-10-19T10:56:17","guid":{"rendered":"https:\/\/voiceguard-project.eu\/2026\/10\/19\/le-lancement-dalerte-et-le-rgpd-les-enseignements-tires-de-notre-travail-en-grece\/"},"modified":"2026-10-19T11:09:19","modified_gmt":"2026-10-19T11:09:19","slug":"le-lancement-dalerte-et-le-rgpd-les-enseignements-tires-de-notre-travail-en-grece","status":"publish","type":"post","link":"https:\/\/voiceguard-project.eu\/fr\/2026\/10\/19\/le-lancement-dalerte-et-le-rgpd-les-enseignements-tires-de-notre-travail-en-grece\/","title":{"rendered":"Le lancement d’alerte et le RGPD : les enseignements tir\u00e9s de notre travail en Gr\u00e8ce"},"content":{"rendered":"\n

Le lancement d’alerte et le RGPD : les enseignements tir\u00e9s de notre travail en<\/strong> <\/p>\n\n\n\n

Gr\u00e8ce<\/strong> <\/p>\n\n\n\n

Par MD Brainnovation, Manos Dimogerontakis<\/em> <\/p>\n\n\n\n

Chez MD Brainnovation, nous intervenons principalement en tant que consultants en conformit\u00e9 au RGPD. Depuis l\u2019adoption par la Gr\u00e8ce de la loi n\u00b0 4990\/2022, une grande partie de notre travail consiste \u00e0 aider les entreprises \u00e0 mettre en place et \u00e0 r\u00e9viser leurs canaux de signalement. Nous avons rapidement constat\u00e9 que la plupart des questions \u00e9pineuses ne concernaient pas du tout la l\u00e9gislation sur le signalement, mais bien les donn\u00e9es \u00e0 caract\u00e8re personnel. Cet article pr\u00e9sente les enseignements que nous avons tir\u00e9s de cette exp\u00e9rience, de notre point de vue. <\/p>\n\n\n\n

Le point de d\u00e9part, \u00e0 savoir la directive (UE) 2019\/1937 et la loi grecque qui l\u2019a transpos\u00e9e, s\u2019appuient toutes deux sur le RGPD. L\u2019identit\u00e9 du lanceur d\u2019alerte doit rester confidentielle et n\u2019\u00eatre connue que des personnes habilit\u00e9es \u00e0 traiter le signalement. Les donn\u00e9es manifestement non pertinentes ne doivent pas \u00eatre conserv\u00e9es. Les signalements ne doivent \u00eatre conserv\u00e9s que pendant la dur\u00e9e n\u00e9cessaire. La loi n\u00b0 4990\/2022 ajoute que les entreprises comptant 50 salari\u00e9s ou plus doivent nommer un responsable de la r\u00e9ception et du suivi des signalements (\u03a5.\u03a0.\u03a0.\u0391.), et elle autorise certaines restrictions aux droits des personnes concern\u00e9es lorsque celles-ci risqueraient de mettre en danger le lanceur d\u2019alerte ou l\u2019enqu\u00eate. Sur le papier, cela semble clair. Dans la pratique, quatre probl\u00e8mes reviennent sans cesse. <\/p>\n\n\n\n

Le\u00e7on n\u00b0 1 : les soci\u00e9t\u00e9s du groupe et les transferts de donn\u00e9es <\/strong> <\/p>\n\n\n\n

Bon nombre de nos clients sont des filiales grecques de groupes internationaux. Le groupe dispose g\u00e9n\u00e9ralement d\u00e9j\u00e0 d\u2019une ligne d\u2019assistance mondiale, souvent g\u00e9r\u00e9e par un prestataire externe, dont les signalements sont examin\u00e9s au si\u00e8ge social. La r\u00e9action naturelle consiste \u00e0 y int\u00e9grer la soci\u00e9t\u00e9 grecque et \u00e0 passer \u00e0 autre chose. Cela peut fonctionner, mais cela n\u00e9cessite davantage de r\u00e9flexion que la plupart ne le pensent. La filiale grecque reste responsable de son propre canal de signalement ; la solution du groupe doit donc r\u00e9pondre aux exigences grecques, notamment en d\u00e9signant un responsable local. Lorsque les signalements sont transmis \u00e0 la soci\u00e9t\u00e9 m\u00e8re, le r\u00f4le de chaque entit\u00e9 doit \u00eatre d\u00e9fini : qui est le responsable du traitement, qui est le sous-traitant, et s\u2019il y a un contr\u00f4le conjoint. Et lorsque le si\u00e8ge social ou le prestataire de la plateforme est situ\u00e9 en dehors de l\u2019EEE, un m\u00e9canisme de transfert tel que les clauses contractuelles types et une analyse d\u2019impact du transfert sont requis. Ce que nous disons \u00e0 nos clients est simple : cartographiez le parcours r\u00e9el d\u2019un signalement, depuis le moment o\u00f9 il est d\u00e9pos\u00e9 jusqu\u2019\u00e0 sa cl\u00f4ture. Tr\u00e8s souvent, personne ne l\u2019a fait, et la cartographie elle-m\u00eame met en \u00e9vidence les lacunes. <\/p>\n\n\n\n

Le\u00e7on n\u00b0 2 : les demandes d\u2019acc\u00e8s \u00e9manant des personnes impliqu\u00e9es dans un signalement <\/strong> <\/p>\n\n\n\n

T\u00f4t ou tard, une personne cit\u00e9e dans un signalement d\u00e9pose une demande d\u2019acc\u00e8s au titre du RGPD. Il s\u2019agit parfois d\u2019un v\u00e9ritable d\u00e9sir de savoir quelles donn\u00e9es la concernant sont conserv\u00e9es. Parfois, c\u2019est une tentative pour d\u00e9couvrir qui l\u2019a signal\u00e9e. La loi grecque autorise l\u2019entreprise \u00e0 restreindre ces droits afin de prot\u00e9ger le signalant et l\u2019enqu\u00eate. Mais nous avons vu des entreprises consid\u00e9rer cela comme une autorisation de tout refuser, ce qui est une erreur. La restriction doit \u00eatre \u00e9valu\u00e9e au cas par cas et document\u00e9e. La personne concern\u00e9e conserve le droit d\u2019acc\u00e9der aux donn\u00e9es la concernant, \u00e0 condition que rien ne r\u00e9v\u00e8le l\u2019identit\u00e9 de l\u2019auteur du signalement ni ne nuise \u00e0 l\u2019enqu\u00eate. Dans la pratique, cela implique un masquage minutieux des informations sensibles, une justification claire dans le dossier et une r\u00e9ponse dans les d\u00e9lais pr\u00e9vus par le RGPD. Nous vous conseillons de pr\u00e9parer une br\u00e8ve proc\u00e9dure interne pour traiter ces demandes avant m\u00eame que la premi\u00e8re n\u2019arrive. C\u2019est en les traitant sous pression que la plupart des erreurs se produisent. <\/p>\n\n\n\n

Le\u00e7on n\u00b0 3 : Anonymat et pseudonymisation<\/strong> <\/p>\n\n\n\n

Le signalement anonyme semble \u00eatre l\u2019option la plus s\u00fbre, et c\u2019est souvent le cas pour le lanceur d\u2019alerte. Pour l\u2019organisation, cela complique le suivi, car il n\u2019y a personne \u00e0 qui demander plus de d\u00e9tails ou \u00e0 tenir inform\u00e9. Les bonnes plateformes r\u00e9solvent ce probl\u00e8me gr\u00e2ce \u00e0 une bo\u00eete aux lettres anonyme, ce qui permet \u00e0 l\u2019\u00e9quipe charg\u00e9e du dossier de communiquer avec le lanceur d\u2019alerte sans conna\u00eetre son identit\u00e9. Lorsque l\u2019identit\u00e9 du lanceur d\u2019alerte est connue, nous recommandons la pseudonymisation au sein du dossier. L\u2019identit\u00e9 est conserv\u00e9e s\u00e9par\u00e9ment, accessible uniquement au responsable, et le dossier est identifi\u00e9 par un num\u00e9ro de r\u00e9f\u00e9rence. Cela limite les dommages en cas de partage ou de fuite du dossier. Il est toutefois important de garder \u00e0 l\u2019esprit que les donn\u00e9es pseudonymis\u00e9es restent des donn\u00e9es \u00e0 caract\u00e8re personnel pour l\u2019entreprise qui d\u00e9tient la cl\u00e9 ; toutes les obligations du RGPD continuent donc de s\u2019appliquer. Le plus grand risque, selon nous, n\u2019est pas le nom. C\u2019est tout ce qui l\u2019entoure : le service, les dates, un d\u00e9tail que seule une personne pourrait conna\u00eetre. Avant qu\u2019un r\u00e9sum\u00e9 ne quitte l\u2019\u00e9quipe charg\u00e9e du dossier, quelqu\u2019un doit le relire en se posant une question : cela pourrait-il permettre d\u2019identifier l\u2019auteur du signalement ? <\/p>\n\n\n\n

Le\u00e7on n\u00b0 4 : l\u2019AIPD n\u2019est pas facultative en Gr\u00e8ce<\/strong> <\/p>\n\n\n\n

On nous demande souvent si une analyse d\u2019impact relative \u00e0 la protection des donn\u00e9es est r\u00e9ellement n\u00e9cessaire pour un canal de signalement. En Gr\u00e8ce, la r\u00e9ponse est oui. La liste \u00e9tablie par l\u2019Autorit\u00e9 hell\u00e9nique de protection des donn\u00e9es des op\u00e9rations de traitement n\u00e9cessitant une AIPD (d\u00e9cision n\u00b0 65\/2018, publi\u00e9e au Journal officiel n\u00b0 1622 du 10 mai 2019) mentionne express\u00e9ment l\u2019enregistrement de personnes dans des syst\u00e8mes d\u2019alerte comme un exemple de traitement susceptible d\u2019emp\u00eacher les personnes d\u2019exercer leurs droits. Selon cette liste, le simple fait de r\u00e9pondre \u00e0 ce crit\u00e8re suffit \u00e0 rendre l\u2019AIPD obligatoire. D\u2019apr\u00e8s notre exp\u00e9rience, l\u2019AIPD est \u00e9galement le document le plus utile de tout le projet. Elle oblige l\u2019entreprise \u00e0 r\u00e9pondre aux questions ci-dessus : o\u00f9 vont les donn\u00e9es, qui y a acc\u00e8s, combien de temps y sont-elles conserv\u00e9es et comment les demandes relatives aux droits seront-elles trait\u00e9es ? Elle doit \u00eatre r\u00e9alis\u00e9e avant la mise en service du canal et r\u00e9vis\u00e9e chaque fois que la plateforme, le fournisseur ou la structure du groupe changent. <\/p>\n\n\n\n

Conclusion<\/strong> <\/p>\n\n\n\n

Un canal de signalement ne fonctionne que si les gens lui font confiance. Si les employ\u00e9s craignent que leur nom soit divulgu\u00e9, ils garderont le silence, quoi qu\u2019en dise la loi. De notre point de vue de consultants en protection des donn\u00e9es, c\u2019est en respectant pleinement le RGPD que l\u2019on instaure cette confiance, et c\u2019est une d\u00e9marche que chaque organisation peut entamer d\u00e8s maintenant. <\/p>\n\n\n\n

Sources<\/strong> <\/p>\n\n\n\n