Votre responsable vous convoque parce qu’un signalement vous met en cause, des collègues sont déjà entendus, un auditeur extérieur examine vos courriels et personne ne vous dit ce que contient le dossier. Dans les entreprises comme dans les administrations, l’enquête interne et le dispositif d’alerte sont devenus le point de départ de nombreuses procédures disciplinaires. La question n’est pas seulement de savoir si les faits reprochés sont exacts. Elle porte aussi sur ce que l’employeur a le droit de collecter sur vous, sur ce qu’il doit vous dire, sur les délais qui enferment la procédure et sur les moyens de contester le rapport d’enquête puis la sanction. Cet article explique le cadre de l’enquête, vos droits sur vos données personnelles pendant l’instruction, la conduite à tenir face aux enquêteurs et les recours contre une sanction prise au terme d’une enquête irrégulière ou infondée.
I. L’enquête interne et vos données : ce que l’employeur peut faire et ce qu’il vous doit
A. Enquêter est souvent une obligation, mais l’enquête reste encadrée
Lorsqu’un salarié signale des faits de harcèlement moral, l’employeur ne peut pas classer le signalement sans examen. L’article L. 1152-4 du code du travail dispose que « L’employeur prend toutes dispositions nécessaires en vue de prévenir les agissements de harcèlement moral. » L’enquête interne est l’une de ces dispositions : elle sert à vérifier rapidement la réalité des faits, à protéger les personnes et à décider des mesures à prendre. Le même raisonnement vaut pour les signalements de discrimination, de violences sexistes et sexuelles ou d’atteintes graves : l’employeur qui n’enquête pas s’expose à voir sa responsabilité engagée pour manquement à son obligation de sécurité et de prévention.
Le signalement peut aussi passer par le dispositif d’alerte professionnelle de l’entreprise. Depuis la loi du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte, est reconnue comme lanceur d’alerte la personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général. Le salarié qui alerte peut désormais choisir sa voie : signalement interne ou signalement externe, adressé à l’autorité compétente, au Défenseur des droits, à la justice ou à un organe européen. Les autorités externes accusent réception sous sept jours au maximum et rendent un retour sous trois mois, six mois si la situation le justifie. Le décret n° 2022-1284 du 3 octobre 2022 organise ces procédures de recueil et de traitement des signalements.
Que l’enquête parte d’une alerte formalisée ou d’un simple signalement oral, elle obéit aux mêmes limites. L’article L. 1121-1 du code du travail dispose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Concrètement, l’employeur peut entendre des témoins, examiner des documents professionnels et faire appel à un enquêteur extérieur, mais il ne peut pas mettre la personne visée sous surveillance généralisée, fouiller sa vie privée ou collecter des informations sans lien avec les faits signalés. L’article L. 1222-4 du code du travail ajoute que « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Un dispositif de recueil d’alertes, une adresse de signalement ou une mission d’audit doivent donc avoir été portés à la connaissance du personnel avant d’être utilisés contre un salarié.
La Cour de cassation a précisé la nature exacte de cette phase dans un arrêt du 14 janvier 2026, pourvoi n° 24-13.234 (lire l’arrêt). Le code de conduite de l’entreprise organisait la procédure d’alerte, et le salarié soutenait que ses irrégularités rendaient son licenciement illicite. La chambre sociale répond que « ce code, qui encadre la procédure d’alerte envisagée comme un traitement de données à caractère personnel, n’institue pas une procédure disciplinaire ». Autrement dit, l’enquête interne prépare une éventuelle décision, elle ne constitue pas elle-même la sanction. Les manquements commis pendant l’instruction ne valent donc pas automatiquement violation d’une garantie de fond du disciplinaire. Ils se jugent sur un autre terrain : celui de la loyauté de la preuve et du respect de vos droits sur vos données.
Ce terrain des données est balisé par la Commission nationale de l’informatique et des libertés. Son référentiel sur les dispositifs d’alertes professionnelles, mis à jour après la loi du 21 mars 2022 (présentation de la mise à jour), couvre tous les dispositifs d’alerte pour leurs aspects de protection des données. La CNIL y rappelle que l’alerte peut contenir des données dites sensibles, par exemple un signalement de discrimination ou un témoignage sur un harcèlement sexuel, et que ces informations relèvent de l’article 9 du RGPD. Sa foire aux questions précise que les données sensibles doivent conserver un lien direct et étroit avec les situations ou les risques dénoncés. Un enquêteur ne peut donc pas verser au dossier vos opinions, votre santé ou votre vie syndicale sous prétexte qu’elles figurent dans un témoignage, sauf si elles sont directement nécessaires au traitement du signalement. Et si un signalement sort du périmètre du dispositif, le responsable de traitement doit informer l’auteur du signalement que sa remontée ne peut pas être traitée dans le cadre du DAP et qu’elle sera effacée ou anonymisée.
Enfin, la mise en place du dispositif ne se fait pas sans les représentants du personnel. La CNIL estime que l’information des instances représentatives sur les conditions de mise en œuvre du dispositif est, au minimum, une garantie de transparence qui facilite l’exercice des droits des personnes concernées. Vérifiez donc si votre comité social et économique a été informé et consulté : son avis, le règlement intérieur et la charte informatique fixent souvent les règles du jeu que l’employeur devra respecter pendant l’enquête.
B. Ce que l’employeur doit vous dire et ce que vous pouvez obtenir sur vos données
La personne visée par une alerte n’est pas tenue dans l’ignorance. Dans l’affaire jugée le 14 janvier 2026, le code de conduite prévoyait que la personne faisant l’objet d’une alerte est informée, dès réception du rapport la concernant, de l’identité du responsable du traitement, de l’identité des personnes chargées de l’enquête, des faits allégués, de son droit de réponse, des services destinataires et de ses droits sur ses données. La Cour de cassation reprend ce mécanisme à son compte : la personne visée doit connaître les faits allégués qui lui sont reprochés et son droit de réponse, ainsi que les modalités d’exercice de ses droits d’accès, de rectification et d’opposition sur ses données personnelles. Exigez donc, par écrit, cette information complète : qui traite l’alerte, qui enquête, quels faits précis vous sont reprochés, à qui le dossier sera transmis et comment exercer vos droits.
En revanche, ne vous attendez pas à recevoir l’intégralité du dossier pendant l’instruction. La chambre sociale juge que le code de conduite n’impose ni le détail précis de chaque fait relaté par l’auteur de l’alerte, ni la transmission de l’identité des victimes au salarié visé. Surtout, elle décide que le respect des droits de la défense n’impose, pendant la phase d’enquête, ni l’accès du salarié au dossier et aux pièces recueillies, ni sa confrontation avec les collègues qui le mettent en cause, ni son audition, dès lors que la décision que l’employeur sera amené à prendre ensuite et les éléments qui la fondent pourront être discutés devant les juridictions de jugement. L’enquête interne n’est pas un procès : le contradictoire plein et entier se joue au stade de la procédure disciplinaire puis, si nécessaire, devant le conseil de prud’hommes. Cette solution ne laisse pas l’employeur libre de tout : dans cette affaire, la cour d’appel avait constaté que le salarié avait été informé de l’enquête et de la nature des faits, et qu’il avait pu s’expliquer, notamment pendant l’enquête. C’est parce que le rapport n’avait été établi ni à l’insu du salarié, ni par manœuvre ou stratagème qu’il a été jugé recevable.
Parallèlement, le RGPD vous donne un droit d’accès direct à vos données. L’article 15 du règlement européen sur la protection des données reconnaît le droit d’obtenir la confirmation que des données la concernant sont traitées ou non et, lorsqu’elles le sont, d’y accéder, et son paragraphe 3 ajoute que le responsable doit fournir une copie des données personnelles traitées. Demandez par écrit la copie des données vous concernant : compte rendu de votre audition, notes des enquêteurs sur votre situation, courriels professionnels retenus, relevés d’activité utilisés. L’article 12 du même règlement impose une réponse dans les meilleurs délais et au plus tard sous un mois à compter de la réception de la demande, avec une prolongation possible : ce délai peut être prolongé de deux mois lorsque la complexité ou le nombre des demandes le justifie. Si l’employeur refuse ou garde le silence, il doit vous informer des motifs de son inaction et des voies de recours, réclamation devant la CNIL et recours juridictionnel.
Les juges n’hésitent pas à ordonner ces communications sous astreinte. Le 27 février 2025, la cour d’appel de Rennes, statuant en matière prud’homale (lire l’arrêt), a enjoint à un employeur de transmettre à une salariée l’historique de son recrutement et de sa carrière, ses évaluations de compétences, sa rémunération, son dossier disciplinaire, ses relevés de temps de travail, ses connexions informatiques, son agenda et ses courriels professionnels sur plusieurs années, sous forme électronique d’usage courant, avec anonymisation des tiers pour préserver leur vie privée, le secret des affaires et la propriété intellectuelle. La cour a assorti la transmission « d’une astreinte provisoire de 50 euros par jour de retard, à l’expiration du délai de 60 jours suivant la signification de la présente décision, et pour une durée de 90 jours », et condamné l’employeur à verser « la somme de 2.500 euros au titre de l’article 700 du code de procédure civile ». Cet arrêt montre l’étendue concrète du droit d’accès du salarié : évaluations, trajectoire, messages professionnels et journaux d’activité doivent être communiqués, seuls les droits des tiers justifiant des occultations ciblées.
Exercez aussi votre droit de rectification : si le rapport d’enquête comporte des dates fausses, des propos dénaturés ou des pièces tronquées, signalez-le par écrit et demandez la correction. Conservez la preuve de chaque demande et de chaque réponse, car ces échanges feront partie du dossier prud’homal. Enfin, surveillez la durée de conservation : les données d’alerte ne peuvent pas être conservées indéfiniment dans un fichier des « salariés à risque ». Le référentiel de la CNIL fixe des durées limitées selon l’issue donnée au signalement, classement sans suite ou suites disciplinaires ou judiciaires, et la CNIL a publié le 2 avril 2026 un référentiel dédié aux durées de conservation des données de ressources humaines. Une conservation excessive, après la clôture du dossier, peut elle-même constituer une violation du RGPD et ouvrir droit à réparation.
II. Se défendre pendant l’enquête puis contester la sanction et obtenir réparation
A. La conduite à tenir quand l’enquête vous vise
Ne refusez ni la convocation ni l’audition, mais préparez-les comme une étape du dossier. Rédigez une chronologie précise des faits, rassemblez vos propres pièces obtenues licitement, identifiez les témoins qui ont assisté aux scènes litigieuses et notez les noms des personnes déjà entendues. Pendant l’audition, répondez avec précision, demandez que vos déclarations soient fidèlement retranscrites et sollicitez une copie du compte rendu pour y apporter vos observations. Si un représentant du personnel ou un collègue peut vous accompagner selon les usages de l’entreprise, faites-vous assister. Tout ce qui se dit pendant l’enquête pourra être repris dans la procédure disciplinaire : chaque approximation profitera à l’employeur, chaque dénégation précise et documentée compliquera une sanction hâtive.
Gardez à l’esprit la règle de loyauté de la preuve. Le rapport d’enquête écarte les débats lorsqu’il a été établi au vu et au su du salarié, à partir d’auditions régulières et de documents professionnels. À l’inverse, des enregistrements clandestins de collègues, des messages privés détournés ou un dossier monté à votre insu fragilisent la procédure de l’employeur. Si vous découvrez que des pièces ont été recueillies à votre insu ou par stratagème, soulevez le moyen par écrit : le juge prud’homal contrôle la loyauté des preuves et peut écarter celles qui portent atteinte au caractère équitable de la procédure. De votre côté, ne collectez que des preuves licites : enregistrez vos propres échanges dans le respect de la loi, conservez vos courriels professionnels et évitez de subtiliser des documents confidentiels auxquels vous n’avez pas licitement accès, sauf dans le cadre strict de la protection du lanceur d’alerte.
Ce dernier point mérite une attention particulière si c’est vous qui avez alerté et que l’enquête se retourne contre vous. La chambre sociale, dans son arrêt du 1er février 2023, pourvoi n° 21-24.271 (lire l’arrêt), a posé le mode d’emploi du contentieux des représailles. Dès lors que le salarié présente des éléments de fait permettant de présumer qu’il a relaté de bonne foi des faits constitutifs d’un délit ou d’un crime, ou signalé une alerte dans le respect de la loi, « il incombe à l’employeur, au vu des éléments, de prouver que sa décision est justifiée par des éléments objectifs étrangers à la déclaration ou au témoignage de l’intéressé ». La charge de la preuve est donc inversée : c’est à l’entreprise de démontrer que la sanction ou le licenciement repose sur des motifs étrangers à l’alerte. Et « toute disposition ou tout acte pris à l’égard d’un salarié en méconnaissance de ces dispositions est nul ». La nullité ouvre droit à réintégration et au rappel des salaires. Surtout, vous n’avez pas à attendre des années : le juge des référés prud’homal peut intervenir en urgence, « même en présence d’une contestation sérieuse », pour « mettre fin au trouble manifestement illicite que constitue la rupture d’un contrat de travail consécutive au signalement d’une alerte ».
Symétriquement, un signalement mensonger expose son auteur. L’article 226-10 du code pénal punit la dénonciation d’un fait inexact, adressée notamment aux supérieurs hiérarchiques ou à l’employeur de la personne dénoncée, lorsqu’elle « est punie de cinq ans d’emprisonnement et de 45 000 euros d’amende ». La fausseté doit être établie et l’auteur doit avoir su le fait totalement ou partiellement inexact : une alerte de bonne foi qui se révèle infondée après enquête n’est pas une dénonciation calomnieuse. Mais un salarié qui fabrique de fausses preuves contre un collègue ou un supérieur s’expose à des poursuites pénales en plus du licenciement disciplinaire. Cette limite protège aussi les personnes visées : si l’enquête démontre que le signalement était sciemment mensonger, faites constater ce point dans la clôture et conservez-le pour la suite.
B. Contester la sanction, les délais couperets et la réparation
Si l’employeur décide de sanctionner, une seconde procédure s’ouvre, strictement réglementée. L’article L. 1332-2 du code du travail dispose que « Lorsque l’employeur envisage de prendre une sanction, il convoque le salarié en lui précisant l’objet de la convocation », sauf avertissement sans incidence sur la présence, la fonction, la carrière ou la rémunération. « Lors de son audition, le salarié peut se faire assister par une personne de son choix appartenant au personnel de l’entreprise. » L’employeur indique le motif envisagé et recueille vos explications. Puis « La sanction ne peut intervenir moins de deux jours ouvrables, ni plus d’un mois après le jour fixé pour l’entretien. » Enfin, « Elle est motivée et notifiée à l’intéressé. » Chaque étape est un moyen de contestation potentiel : convocation sans objet précisé, refus d’assistance, sanction notifiée trop tôt ou trop tard, motivation absente ou stéréotypée. Faites vérifier le calendrier au jour près, car les délais se comptent en jours ouvrables et le non-respect de la fourchette annule la procédure.
Le délai le plus redoutable est celui de l’article L. 1332-4 du code du travail : « Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales. » L’enquête interne ne suspend pas ce délai : si l’employeur connaissait les faits depuis plus de deux mois sans engager de poursuites ni saisir la justice pénale, la sanction est prescrite. Reconstituez donc la date de connaissance réelle de l’employeur, qui peut être antérieure au signalement formel si un manager ou un membre de la direction était déjà informé. L’argument de la prescription doit être soulevé devant le conseil de prud’hommes, qui annulera la sanction et allouera des dommages et intérêts.
Devant les prud’hommes, articulez trois lignes de contestation. D’abord la régularité de la procédure : information préalable, délais, assistance, motivation, prescription. Ensuite le fond : les faits sont-ils établis, et justifient-ils la gravité de la sanction retenue, du simple avertissement au licenciement pour faute grave ? Le rapport d’enquête n’est qu’un élément de preuve parmi d’autres : exigez la production des pièces sur lesquelles il s’appuie, discutez la crédibilité des témoignages anonymes ou de seconde main et opposez vos propres attestations. Enfin, le cas échéant, la nullité : sanction prise en représailles d’une alerte de bonne foi, mesure discriminatoire liée à l’origine, au sexe, à l’état de santé, aux opinions ou à l’activité syndicale. La nullité fait tomber la sanction et ouvre droit à réintégration ou à une indemnisation renforcée, sans plafond.
Ajoutez le terrain des données personnelles à votre contestation. Si l’employeur a conservé des données d’alerte au-delà des durées admises, refusé votre droit d’accès ou utilisé des informations sans lien avec les faits, ces manquements caractérisent une violation du RGPD. L’article 82 du règlement dispose que toute personne victime d’un dommage matériel ou moral causé par une violation du règlement peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant La perte de chance de conserver son emploi, l’atteinte à la réputation interne et le préjudice moral lié à une enquête déloyale sont des dommages réparables. En parallèle, déposez une réclamation auprès de la CNIL, qui peut contrôler l’entreprise et la sanctionner. Si votre plainte CNIL reste sans réponse : délais, relance et recours devant le Conseil d’État, des voies de recours existent contre son silence. Et si vous êtes vous-même lanceur d’alerte, le guide du lanceur d’alerte du Défenseur des droits détaille les appuis, orientations et protections mobilisables à chaque étape du parcours.
Conclusion
Une enquête interne n’est ni un blanc-seing pour l’employeur ni une condamnation annoncée pour le salarié. Elle doit rester proportionnée et loyale, porter sur des faits précis et respecter les droits des personnes sur leurs données, information complète, accès, rectification et conservation limitée. Pendant l’instruction, préparez votre défense par écrit, exigez la retranscription de vos déclarations et ne laissez passer aucune irrégularité. Après la décision, faites vérifier les délais au jour près, discutez chaque preuve du rapport d’enquête et mobilisez, selon votre situation, la prescription disciplinaire, la nullité des représailles et la réparation des violations du RGPD. La jurisprudence récente, de la protection des lanceurs d’alerte en référé à l’encadrement strict des enquêtes internes, donne au salarié visé des armes concrètes : utilisez-les tôt, avant que le dossier ne se fige.