Issue d’une délibération de la Cnil en date du 6 juillet 2023 (n°2023-064), une nouvelle version du référentiel relatif aux traitements de données à caractère personnel destinés à la mise en œuvre d’un dispositif d’alertes professionnelles est parue au Journal officiel du 21 juillet 2023, intégrant les évolutions issues de la loi du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte et son décret d’application du 3 octobre 2022. Ce référentiel, non contraignant, constitue un guide pour les organismes concernés par la mise en place d’un DAP (dispositif de recueil et de gestion interne des alertes professionnelles).

Le référentiel s’applique en particulier aux traitements de signalements encadrés par des dispositions spécifiques du droit français, tels qu’un dispositif d’alerte interne relevant des articles 6 et suivants de la loi Sapin 2 modifiée, permettant le recueil de faits tels qu’« un crime ou délit, une menace ou un préjudice pour l’intérêt général, une violation, une violation supposée ou une tentative de dissimulation d’une violation: d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, du droit de l’Union européenne, de la loi ou du règlement ». Les principes de pertinence et de minimisation des données doivent être respectés, depuis le recueil de l’alerte jusqu’aux suites qui lui sont données, en passant par son instruction, précise la Cnil. Ainsi, le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées, traitées et/ou conservées. Dans sa délibération, la Cnil préconise la mise en place de DAP permettant aux auteurs d’émettre leurs signalements de manière anonyme et de poursuivre les échanges tout en conservant leur anonymat.