Votre responsable vous convoque à un entretien en vous reprochant des faits issus d’un signalement dont vous ignorez tout. Ou, à l’inverse, vous avez signalé des faits graves par le canal interne de votre entreprise et, depuis, vos missions se réduisent, votre évaluation se dégrade et votre poste semble menacé. Dans les deux cas, une même mécanique est à l’oeuvre : un dispositif d’alerte professionnelle a collecté des données sur vous, une enquête interne a été menée, et des décisions sont prises sur ce fondement. Ce dispositif n’est pas une zone de non-droit. Il constitue un traitement de données personnelles soumis au règlement général sur la protection des données, encadré par un référentiel précis de la Commission nationale de l’informatique et des libertés, et articulé avec le statut protecteur du lanceur d’alerte issu de la loi du 21 mars 2022. Les rôles doivent être posés clairement : l’employeur est responsable du traitement, le prestataire qui héberge la plateforme de signalement est son sous-traitant, le lanceur et la personne visée sont des personnes concernées, et le délégué à la protection des données veille à l’ensemble. Le contrat de travail fonde les obligations de l’un, le contrat de prestation conclu avec l’éditeur de la plateforme engage la responsabilité de l’autre. Cet article explique, d’abord, les règles qui encadrent la collecte et l’usage de vos données dans une alerte, ensuite les recours concrets qui s’offrent au salarié visé comme au lanceur menacé, et enfin ce que l’employeur doit sécuriser pour éviter la sanction et l’annulation de la procédure.
I. L’alerte interne et l’enquête qui suit sont des traitements de données encadrés
Un signalement interne qui nomme des personnes, décrit des comportements et déclenche des vérifications entre dans la définition la plus large du traitement de données personnelles. Dès le recueil, l’employeur doit donc respecter les principes du règlement, informer les personnes, limiter la collecte au nécessaire et fixer des durées de conservation. La personne visée dispose de droits, mais ceux-ci s’articulent avec la confidentialité garantie à l’auteur du signalement.
A. Base légale, information, minimisation et conservation : ce que l’employeur doit respecter dès le recueil
Tout traitement de données personnelles doit reposer sur l’une des bases prévues par le article 6 du règlement (UE) 2016/679 : le traitement n’est licite que si au moins l’une des conditions prévues par le texte est remplie. Pour un dispositif d’alerte, le référentiel de la Commission nationale de l’informatique et des libertés distingue deux situations. Quand la mise en place du canal répond à une obligation légale précise, par exemple les procédures internes que les entreprises d’au moins cinquante salariés doivent établir après consultation du comité social et économique, la base est le respect de cette obligation légale. Quand l’organisme crée le dispositif de sa propre initiative, sans texte qui l’y contraigne, la base est la réalisation de son intérêt légitime, à condition que cet intérêt ne soit pas écrasé par les droits des personnes concernées. Le référentiel alertes professionnelles de la CNIL et sa foire aux questions du 24 juillet 2023 détaillent ces deux fondements et imposent dans les deux cas le même socle de garanties.
Ce socle commence par les principes de l’article 5 du règlement européen sur la protection des données. Les données doivent être traitées de façon licite, loyale et transparente, puis rester adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies : c’est l’exigence de minimisation. Concrètement, l’enquêteur ne copie pas toute la messagerie du salarié visé, ne collecte pas ses échanges privés et ne conserve que les pièces en lien direct avec les faits signalés. Le référentiel recommande d’ailleurs de rappeler aux auteurs de signalements que les informations transmises doivent rester factuelles, présenter un lien direct avec l’objet de l’alerte et ne jamais relever du secret de la défense nationale, du secret médical, du secret des délibérations judiciaires, du secret de l’enquête ou de l’instruction judiciaires ni du secret professionnel de l’avocat.
L’information préalable est une condition de loyauté. En droit du travail, la règle est nette : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » L’existence du canal d’alerte, ses finalités et ses modalités doivent donc être portées à la connaissance des salariés avant toute utilisation, par note, affichage ou message. De plus, le règlement impose une information fournie de façon concise, transparente et compréhensible, en des termes clairs et simples. Pour la personne visée par une alerte, le référentiel précise que, conformément à l’article 14 du règlement, elle doit être informée dans un délai raisonnable d’un mois au plus après l’émission de l’alerte, sauf exception dûment justifiée. Quand cette information compromettrait gravement l’enquête, par exemple en créant un risque de destruction de preuves, elle peut être différée, mais elle doit être délivrée aussitôt le risque écarté.
La conservation obéit à la même logique de stricte nécessité. Une fois la décision sur les suites de l’alerte prise, seules les données nécessaires à la protection des parties contre les représailles, à la constatation et à la défense des droits en justice et aux audits de conformité peuvent être conservées, selon des modalités qui écartent tout détournement de finalité. Les données sensibles, comme celles qui révèlent l’appartenance syndicale, la santé ou les opinions, et les données relatives aux infractions ne peuvent être collectées que dans les conditions des articles 9 et 10 du règlement et des dispositions nationales qui les encadrent. Enfin, le traitement doit être inscrit au registre prévu par l’article 30 du règlement, le délégué à la protection des données associé, et une analyse d’impact menée avant le traitement dès lors qu’il est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Quand la plateforme de signalement est confiée à un prestataire, un contrat de sous-traitance conforme à l’article 28 du règlement européen sur la protection des données doit l’encadrer, et l’employeur ne doit retenir qu’un prestataire qui présente des garanties suffisantes.
B. La confidentialité du lanceur d’alerte face aux droits de la personne visée
Le droit européen et le droit français protègent l’identité de l’auteur du signalement. La directive européenne sur la protection des lanceurs d’alerte, transposée par la loi du 21 mars 2022 visant à améliorer leur protection et son décret du 3 octobre 2022, impose la confidentialité de l’identité du lanceur. La fiche officielle de Service-Public décrit ces textes et la procédure applicable en entreprise. Le référentiel de la Commission nationale de l’informatique et des libertés en tire les conséquences techniques : sauf obligation légale contraire ou consentement de l’auteur, l’organisme ne doit pas chercher à l’identifier, et doit proscrire la collecte et le recoupement d’informations techniques telles que les adresses IP ou les paramètres de configuration. Surtout, l’information délivrée à la personne visée ne révèle ni l’identité de l’émetteur de l’alerte ni celle des tiers. La personne visée sait donc ce qui lui est reproché et sur quelles pièces, sans jamais obtenir le nom de celui qui a signalé.
Cette confidentialité ne prive pas la personne visée de ses droits. Celle-ci puise en outre dans le droit au respect de sa vie privée un fondement complémentaire pour exiger la loyauté de la collecte et la limitation de la diffusion des informations la concernant. Le référentiel rappelle que toute personne dont les données sont traitées dans le cadre d’une alerte, lanceur, victimes présumées, personnes visées, témoins entendus ou facilitateurs, peut y accéder dans les conditions de l’article 15 du règlement européen sur la protection des données. La Cour de cassation a donné à ce droit d’accès une portée très concrète dans le contexte salarial : dans son arrêt de chambre sociale du 18 juin 2025, n° 23-19.022, publié au bulletin, la Cour de cassation juge que le salarié peut obtenir de l’employeur la copie de ses courriels professionnels, avec leurs métadonnées et leur contenu, sauf atteinte aux droits et libertés d’autrui. Un employeur qui se borne à transmettre des bulletins de paie et des documents de fin de contrat sans communiquer les courriels demandés commet une abstention fautive qui cause un préjudice au salarié. Ce point intéresse directement la personne visée par une alerte : elle peut exiger la copie des données détenues sur elle dans le dossier d’enquête, courriels professionnels et comptes rendus la concernant, dans les limites des droits des tiers.
En revanche, le droit d’opposition et le droit à l’effacement ne jouent pas automatiquement. Le référentiel énonce que le droit d’opposition ne joue pas pour les traitements qu’une obligation légale impose au responsable du traitement, ce qui couvre les dispositifs imposés aux entreprises assujetties. Quand le dispositif repose sur une base volontaire, l’opposition redevient possible, mais la personne doit caractériser des raisons tenant à sa situation particulière, et l’organisme peut la refuser pour des motifs légitimes et impérieux ou pour la constatation, l’exercice ou la défense de droits en justice, ce qui est presque toujours le cas dans une alerte. Le droit de rectification, lui, ne permet pas de réécrire rétroactivement le signalement ni de rendre impossible la reconstitution de la chronologie de l’enquête. Enfin, la protection vaut aussi pour le signalement de bonne foi qui s’avère hors champ du dispositif : l’organisme doit garantir à son auteur le même niveau de protection contre les représailles et la même confidentialité. La bonne foi est donc la clé qui ouvre la protection, et son absence la referme. Ces distinctions expliquent pourquoi chaque demande doit être examinée individuellement, quel que soit son auteur, et pourquoi les réponses standardisées exposent l’employeur.
II. Contester l’enquête et obtenir réparation : les recours du salarié et les devoirs de l’employeur
Que vous soyez la personne visée par une alerte ou le lanceur qui subit des représailles, plusieurs voies se combinent : exercer vos droits sur vos données, saisir la Commission nationale de l’informatique et des libertés, contester la loyauté de la preuve devant le conseil de prud’hommes et demander la nullité des représailles avec réparation. Symétriquement, l’employeur qui veut voir son enquête produire des effets doit la rendre inattaquable.
A. Salarié visé ou lanceur menacé : accéder, saisir la CNIL, écarter la preuve déloyale et faire annuler les représailles
Le premier réflexe consiste à demander l’accès à vos données. Écrivez au responsable du traitement désigné dans la mention d’information, en visant l’article 15 du règlement, et demandez la copie de l’ensemble des données détenues sur vous dans le cadre de l’alerte et de l’enquête, y compris les courriels professionnels et leurs métadonnées. L’arrêt du 18 juin 2025 cité plus haut montre que le juge sanctionne l’employeur qui élude cette demande : l’abstention de communiquer les courriels et leurs métadonnées, sans motif légitime, est fautive et ouvre droit à des dommages et intérêts. Conservez la preuve de votre demande et de la réponse, car ce dossier servira devant la Commission comme devant les prud’hommes. Si la réponse est incomplète ou tardive, vous pouvez adresser une plainte à la CNIL, voire, en tant que lanceur, adresser une alerte à la CNIL lorsque les faits signalés relèvent de ses missions. Le signalement externe peut aussi être porté devant le Défenseur des droits, l’autorité judiciaire ou l’autorité compétente du secteur, directement ou après le signalement interne, comme le rappelle la fiche de Service-Public sur les lanceurs d’alerte en entreprise. En interne, l’auteur doit être informé de la réception de son signalement « dans un délai de 7 jours ouvrés » et, par écrit, des mesures envisagées ou prises dans la limite de trois mois à compter de l’accusé de réception du signalement.
Précision utile : le salarié n’est pas tenu d’épuiser la voie interne avant de s’adresser à l’autorité. Le signalement externe peut être effectué soit directement, soit après le signalement interne, auprès du Défenseur des droits, de l’autorité judiciaire, de l’institution européenne compétente ou de l’autorité sectorielle comme la Commission nationale de l’informatique et des libertés. L’employeur qui sanctionnerait un salarié pour avoir saisi directement l’autorité commettrait une représaille prohibée, dès lors que le signalement respecte les conditions légales. Mentionnez dans votre signalement externe si un signalement interne a déjà été transmis, et conservez-en la preuve : cette traçabilité des démarches renforce votre position si l’entreprise prétend découvrir les faits.
Le deuxième levier tient à la loyauté de la preuve. Devant le juge prud’homal, une sanction ou un licenciement fondé sur des pièces collectées par un dispositif inconnu du salarié ou par une surveillance disproportionnée peut être écarté. La règle du code du travail sur l’information préalable du salarié et celle de l’article L. 1121-1, selon laquelle « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », irriguent toute la matière. La Commission nationale de l’informatique et des libertés l’a rappelé avec fermeté le 19 décembre 2024 : dans sa délibération SAN-2024-021 du 19 décembre 2024, présentée dans son communiqué sur la surveillance excessive des salariés, elle a prononcé une amende de 40 000 euros contre une société du secteur immobilier dont le logiciel comptabilisait des périodes d’inactivité supposée dès trois à quinze minutes sans frappe ni mouvement de souris, effectuait des captures d’écran régulières et s’ajoutait à un visionnage permanent des salariés, avec des retenues sur salaire à la clé. Des pièces issues d’un dispositif aussi disproportionné, sans base légale au sens de l’article 6 du règlement, fragilisent toute procédure disciplinaire qui s’y adosse. Pour un salarié visé par une alerte, la démonstration suit le même chemin : dispositif non notifié, collecte hors champ, enquête à charge, et la preuve doit être écartée. La Cour de cassation exige en sens inverse que le juge examine toutes les pièces : dans son arrêt de chambre sociale du 29 juin 2022, n° 21-11.437, publié au bulletin, elle censure la cour d’appel qui avait écarté un rapport d’enquête interne par des motifs impropres sans examiner les comptes rendus d’entretiens et les attestations produits par l’employeur. La loyauté profite donc aux deux parties, et le dossier le mieux documenté l’emporte.
Le troisième levier, le plus puissant pour le lanceur, est la nullité des représailles. Le code du travail protège la personne qui a témoigné de bonne foi : « Aucune personne ayant témoigné, de bonne foi, de faits constitutifs d’un délit ou d’un crime dont elle a eu connaissance dans l’exercice de ses fonctions ou ayant relaté de tels faits ne peut faire l’objet des mesures mentionnées à l’article L. 1121-2 ». Tout acte pris en méconnaissance de cette protection est nul et ouvre droit à réintégration et à indemnisation. Le principe est déjà posé par l’article L. 1132-1 du code du travail, qui prohibe toute mesure défavorable liée à la situation du salarié : la protection du lanceur s’y ajoute comme un régime spécial, plus sévère pour l’employeur. L’arrêt de la chambre sociale du 1er février 2023, n° 21-24.271, publié au bulletin, rendu dans l’affaire qui opposait une salariée lanceuse d’alerte à la société Thales, illustre l’exigence du juge : la cour d’appel, qui avait constaté des représailles antérieures au licenciement sans en tirer les conséquences, voit son arrêt cassé partiellement avec renvoi devant une cour autrement composée. Le juge doit rechercher si les éléments soumis permettent de présumer le lien entre l’alerte émise dans le respect des textes et la mesure contestée, sans exiger du salarié la preuve complète de ce lien. Concrètement, si votre évaluation chute, vos primes disparaissent ou votre licenciement suit de quelques semaines votre signalement, rassemblez la chronologie, les écrits et les témoignages : c’est à l’employeur de démontrer que sa décision repose sur des éléments objectifs étrangers à l’alerte. La réparation suit alors deux canaux : la nullité et ses conséquences devant le conseil de prud’hommes, et l’indemnisation du préjudice né de la violation des données, car toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement européen sur la protection des données peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant Les lecteurs qui subissent un contrôle plus large de leur activité, au-delà de l’alerte, trouveront un éclairage voisin dans notre analyse du contrôle des emails et de l’enregistrement des appels par l’employeur, et des moyens de le contester devant la CNIL et les prud’hommes.
B. Employeur : sécuriser le dispositif et l’enquête pour qu’ils résistent au contrôle
Un dispositif d’alerte et une enquête interne ne protègent l’entreprise que s’ils survivent à l’examen de la Commission et du juge. La première exigence est la proportionnalité : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Chaque mesure de collecte doit être justifiée par la nature des faits recherchés et limitée à ce but. Cette discipline rejoint l’obligation de sécurité de l’employeur : enquêter sérieusement sur une alerte vise aussi à protéger la santé et la sécurité des salariés. La sanction de 40 000 euros du 19 décembre 2024 montre le prix de l’excès : comptabiliser l’inactivité à la minute, capturer les écrans en continu et filmer en permanence pour contrôler le temps de travail, c’est l’assurance d’une absence de base légale et d’une publicité de la sanction. La deuxième exigence est l’information et la consultation préalables : dispositif porté à la connaissance des salariés avant usage, comité social et économique informé et consulté avant l’utilisation des méthodes de surveillance, mentions d’information conformes aux articles 13 et 14 du règlement, registre tenu et analyse d’impact menée quand le risque est élevé. La troisième exigence est contractuelle : la plateforme confiée à un éditeur doit être encadrée par un contrat de sous-traitance qui définit l’objet, la durée, la nature et les finalités du traitement, les garanties de sécurité et de confidentialité, l’assistance au responsable et le sort des données en fin de contrat, conformément à l’article 28 du règlement.
Préparez parallèlement le dossier qui fera la différence devant le juge. Tenez un journal daté des événements : date du signalement, date de l’accusé de réception, dates des entretiens, date des mesures prises à votre encontre. Conservez les copies des données obtenues par l’exercice de votre droit d’accès, les échanges écrits avec l’employeur et les évaluations antérieures qui contredisent la version disciplinaire. Faites établir des attestations par les témoins directs des faits ou des représailles, en décrivant précisément ce qu’ils ont vu ou entendu, sans commentaire. Un dossier chronologique, écrit et corroboré pèse bien davantage qu’une contestation orale et tardive, et il permet à votre conseil de demander l’écartement des pièces déloyales tout en s’appuyant sur des preuves régulières.
L’enquête elle-même doit être contradictoire dans sa méthode, même si la confidentialité couvre l’identité du lanceur. Auditionnez les témoins des deux versions, notamment quand l’alerte dénonce des faits de harcèlement moral, conservez les comptes rendus d’entretiens complets sans les tronquer, communiquez à la personne visée, dès que l’état de l’enquête le permet, les griefs précis et les pièces qui fondent la procédure, et examinez chaque demande d’exercice de droit individuellement. L’arrêt de la chambre sociale du 29 juin 2022, n° 21-11.437, sanctionne le juge qui écarte un rapport d’enquête sans examiner les autres preuves ; il sanctionnerait tout autant l’employeur dont le dossier ne contiendrait que le signalement initial. Respectez les délais de la procédure interne : accusé de réception dans les sept jours ouvrés, information écrite sur les mesures envisagées ou prises dans la limite de trois mois, traçabilité des décisions de classement ou de poursuite. Enfin, formez les destinataires des alertes à la confidentialité, limitez les accès aux seules personnes chargées de l’instruction et purgez les données non pertinentes au fil de l’eau. Une alerte bien traitée protège le lanceur, préserve les droits de la personne visée et met l’entreprise à l’abri d’une mise en demeure, d’une sanction publique et d’une nullité prud’homale. Une alerte maltraitée cumule les trois.
Conclusion
En résumé, le salarié visé par une alerte n’est pas démuni : il doit être informé dans le mois, peut accéder à son dossier, peut saisir la Commission et peut faire écarter les preuves déloyales. Le lanceur de bonne foi bénéficie de la confidentialité de son identité et de la nullité des représailles, avec réparation de son préjudice matériel et moral. L’employeur, responsable du traitement, ne conserve son dispositif et son enquête que s’ils sont proportionnés, notifiés, documentés et purgés à temps. Dans ce triangle, c’est presque toujours la qualité du dossier qui décide de l’issue : constituez-le tôt, par écrit, pièce par pièce.
Besoin d’un avis rapide sur votre dossier
Vous êtes visé par une alerte interne ou vous avez signalé des faits et redoutez des représailles : faites examiner votre dossier en numérique et données personnelles. Consultation téléphonique en 48 heures avec un avocat du cabinet, Maître Reda KOHEN, avocat au Barreau de Paris. Appelez le 06 46 60 58 22 ou écrivez via notre page contact.