Une adresse e-mail suffit-elle comme canal de signalement ?

La réponse courte : une adresse e-mail peut constituer un canal de signalement conforme, mais la plupart des boîtes mail ne le sont pas. Ni la loi Sapin II et son décret d'application (n° 2022-1284), ni la directive européenne sur les lanceurs d'alerte n'interdisent l'e-mail. Le décret exige que la procédure garantisse l'intégrité et la confidentialité des informations recueillies et « interdit l'accès à ces informations aux membres du personnel qui ne sont pas autorisés à en connaître » (art. 6). Une adresse dédiée, avec une liste courte et maîtrisée de personnes pouvant l'ouvrir, peut répondre à cette exigence. Une boîte ethique@ partagée, que le service informatique peut ouvrir, qui est archivée et qui transfère vers la personne qui l'a créée, généralement pas. En Italie, le régulateur considère l'e-mail ordinaire comme inadapté sans garanties supplémentaires justifiées, et en Espagne l'obligation d'accepter les signalements anonymes est difficile à respecter par e-mail.

Si vous utilisez déjà une adresse e-mail, cet article vous aide à savoir où vous en êtes : ce que le droit exige, ce que cela donne pays par pays, une vérification à mener sur votre propre boîte avec une solution pour chaque lacune, les lacunes qu'aucun paramètre ne comble, et ce que change un canal dédié.

Ce que le droit exige d'un canal

La directive (directive (UE) 2019/1937) n'impose aucune technologie : elle décrit des résultats. Pour un canal interne, ceux qui comptent au regard de l'e-mail sont les suivants :

• Sécurisé dès la conception (art. 9(1)(a)). Le canal doit être conçu, établi et géré de manière sécurisée, de sorte que l'identité de l'auteur du signalement et des tiers mentionnés reste confidentielle et que le personnel non autorisé n'y ait pas accès. C'est un critère qui porte sur le système, pas sur la vigilance des personnes qui l'utilisent.
• Identité limitée aux personnes compétentes (art. 16). L'identité de l'auteur du signalement ne peut être divulguée, sans son consentement exprès, qu'aux membres du personnel autorisés à recevoir les signalements ou à en assurer le suivi.
• Délais (art. 9(1)(b) et (f)). Accusé de réception sous 7 jours, retour d'information sous 3 mois. Voir le délai de 7 jours / 3 mois pour le retour d'information, expliqué.
• Une personne désignée et impartiale (art. 9(1)(c)). Quelqu'un de précis est chargé du suivi.
• Archivage (art. 18). Chaque signalement reçu fait l'objet d'un enregistrement, dans le respect des mêmes règles de confidentialité, et n'est pas conservé plus longtemps que nécessaire.
• Par écrit, par oral, ou les deux (art. 9(2)). La directive permet au canal d'accepter les signalements par écrit, par oral, ou sous les deux formes. Certaines lois nationales exigent les deux, si bien qu'une boîte mail uniquement écrite ne suffit pas toujours à elle seule.
• L'anonymat relève du choix national (art. 6(2)). La directive laisse à chaque État membre le soin de décider si les entreprises doivent accepter les signalements anonymes.

Rien dans cette liste n'exclut l'e-mail. Mais tout doit être vrai de la boîte mail, de ses sauvegardes et de toutes les personnes qui peuvent y accéder.

Pays par pays

Les guides par pays détaillent chaque loi : France, Allemagne, Espagne, Italie, Pays-Bas, Pologne et Irlande.

Quand une adresse e-mail est un choix raisonnable

• Votre organisation n'est pas tenue d'avoir un canal. En dessous de 50 salariés dans la plupart des pays de l'UE, ou au Royaume-Uni, une adresse e-mail bien gérée vaut mieux que rien.
• Des signalements identifiés, dans un pays qui n'impose pas l'anonymat, avec les contrôles ci-dessous réellement en place. L'Allemagne, l'Irlande et la Pologne le permettent.
• Comme voie de repli à côté d'un véritable canal. Certains lanceurs d'alerte écriront à n'importe quelle adresse qu'ils trouvent. Votre procédure doit dire ce que deviennent ces e-mails (voir « Quitter la boîte mail » plus bas).

L'e-mail a aussi un vrai avantage sur un formulaire en ligne : il fonctionne dans les deux sens. Vous pouvez accuser réception, poser des questions et faire un retour d'information, à condition que l'auteur du signalement accepte d'être joint à cette adresse.

Vérifiez votre propre boîte mail

Dix points, dans l'ordre où un signalement circule. Pour chacun : comment le vérifier, et comment combler la lacune avec les outils dont vous disposez déjà. La plupart demandent une demi-heure avec votre administrateur de messagerie. Si vous ne pouvez pas répondre à l'un d'eux, considérez que la réponse est « non ».

1. L'adresse ne sert à rien d'autre.

   Vérifier : la boîte contient-elle autre chose que des signalements, par exemple des demandes RH, du courrier fournisseurs ou des newsletters ?

   Corriger : créez une nouvelle adresse réservée aux signalements. Ne réutilisez pas rh@ ni une boîte partagée existante dont vous ne maîtrisez pas l'historique d'accès.

2. Seuls les gestionnaires désignés peuvent l'ouvrir, chacun avec son propre identifiant.

   Vérifier : listez toutes les personnes disposant d'un accès complet, d'une délégation ou du droit « Envoyer en tant que » sur la boîte. Dans Microsoft 365, c'est dans les paramètres de délégation de la boîte aux lettres du Centre d'administration Exchange ; dans Google Workspace, dans la délégation de messagerie du compte. Demandez si quelqu'un partage un mot de passe.

   Corriger : retirez toute personne qui n'est pas un gestionnaire désigné et donnez à chacun son propre accès plutôt qu'un mot de passe partagé. Le décret n° 2022-1284 interdit l'accès aux membres du personnel non autorisés (art. 6).

3. Aucune copie ne quitte la boîte.

   Vérifier : cherchez les transferts configurés sur la boîte, les règles de boîte de réception créées par ses utilisateurs et les règles de flux de messagerie ou de routage à l'échelle de l'organisation qui copient des messages ailleurs (règles de transport Exchange, règles de routage et de conformité Gmail). Vérifiez aussi la journalisation, qui envoie une copie de chaque message vers une archive.

   Corriger : désactivez transferts et règles de boîte de réception, et excluez l'adresse de toute règle de journalisation ou de copie.

4. Vous savez qui d'autre peut y accéder, et l'avez limité autant que possible.

   Vérifier : quiconque peut réinitialiser le mot de passe de la boîte peut la lire. De même pour quiconque peut lancer une recherche eDiscovery ou Google Vault, ou restaurer une sauvegarde. Notez qui détient ces rôles.

   Corriger : réservez ces rôles au plus petit nombre possible, activez des alertes sur les réinitialisations de mot de passe et les recherches eDiscovery visant cette boîte, et consignez l'accès restant dans votre analyse d'impact relative à la protection des données. Vous pouvez réduire cette liste, pas la supprimer. C'est la principale raison pour laquelle le régulateur italien juge l'e-mail ordinaire inadapté à lui seul.

5. Les accusés de réception partent du canal, sous 7 jours.

   Vérifier : qui répond, depuis quelle adresse, et en combien de temps ? Une réponse envoyée depuis le compte personnel d'un gestionnaire place son nom, et le fil du signalement, dans une deuxième boîte.

   Corriger : répondez uniquement depuis l'adresse dédiée. Une réponse automatique qui confirme la réception et indique quand attendre un retour couvre le délai de 7 jours, tant qu'elle ne dit rien du contenu.

6. Les délais sont suivis ailleurs que dans la boîte.

   Vérifier : pour le dernier signalement, pouvez-vous dire quand sa réception a été accusée et quand le retour d'information est dû ?

   Corriger : tenez un registre, par exemple un tableur à l'accès limité de la même façon, avec pour chaque signalement la date de réception, la date de l'accusé de réception et l'échéance du retour d'information trois mois plus tard. Désignez la personne qui le relit chaque semaine.

7. Chaque signalement est consigné et a une date de suppression.

   Vérifier : pourriez-vous montrer à une autorité la liste de tous les signalements reçus cette année et la suite donnée à chacun ? À la fin de sa durée de conservation, un signalement disparaîtrait-il aussi des archives, des sauvegardes et des stratégies de rétention ?

   Corriger : ajoutez au registre l'issue et une date de suppression. Vérifiez qu'aucune stratégie de rétention ne conserve pendant des années les éléments supprimés de cette boîte, et supprimez selon le calendrier. Voir choisir une politique de conservation.

8. Les auteurs de signalement connaissent le risque d'un compte professionnel.

   Vérifier : votre procédure indique-t-elle qu'un e-mail envoyé depuis un compte professionnel laisse une copie dans les éléments envoyés, sur des serveurs administrés par l'entreprise ?

   Corriger : dites-le, et précisez qu'il est possible d'écrire depuis une adresse personnelle. Si vous acceptez les signalements anonymes, expliquez comment faire par e-mail, en sachant que cela repose entièrement sur l'auteur du signalement. Voir signalement anonyme ou identifié.

9. Il existe une voie orale si votre procédure ou votre pays la prévoit.

   Vérifier : quelqu'un peut-il signaler sans rien écrire, et demander une rencontre ?

   Corriger : le décret n° 2022-1284 permet de recueillir les signalements par écrit ou par oral (art. 4). Si votre procédure prévoit l'oral, publiez un numéro de téléphone ou une messagerie vocale à côté de l'adresse, et indiquez comment demander une rencontre. Si vous êtes aussi présent aux Pays-Bas ou en Italie, une voie orale y est exigée. Voir signalements vocaux et anonymisation.

10. Les signalements visant les gestionnaires vont ailleurs, et les accès survivent aux départs.

    Vérifier : si un signalement concerne une personne ayant accès à la boîte, où arrive-t-il ? Quand un gestionnaire quitte l'entreprise, qui retire son accès et vérifie qu'aucun transfert ne subsiste ?

    Corriger : désignez dans votre politique un contact alternatif, par exemple un dirigeant ou un conseil externe, avec sa propre voie. Ajoutez la boîte à votre liste de contrôle des départs et refaites les vérifications 2 à 4 chaque trimestre.

Ce qu'aucun paramètre ne peut corriger

Certaines lacunes tiennent au fonctionnement de l'e-mail, pas à la configuration de votre boîte :

• Quelqu'un peut toujours entrer. Aussi strictement que vous limitiez l'accès, un administrateur peut réinitialiser le mot de passe ou fouiller la boîte. Le canal est réservé aux personnes autorisées par une règle, pas par sa conception.
• L'anonymat demande un effort à l'auteur du signalement. Signaler anonymement suppose de créer d'abord un compte distinct, et le message porte quand même des en-têtes et des métadonnées.
• La copie de l'auteur du signalement. Un signalement envoyé depuis un compte professionnel laisse sur vos serveurs une trace que vous ne pouvez pas effacer sans entrer dans sa boîte.
• Le dossier vit en dehors du canal. Le registre, les délais et le journal d'audit forment un tableur séparé, à tenir à jour à la main. Si une autorité ou un juge demande ce qui s'est passé et quand, « voici les e-mails, et voici notre tableur » est une réponse plus faible qu'un journal horodaté de chaque action. Voir journal d'audit : conserver une trace défendable.

Ce que demande l'exploitation d'une boîte mail

Si chaque point ci-dessus est satisfait, vous disposez d'un canal qui peut être conforme. Le rester demande un travail continu :

• une revue des accès chaque trimestre, et après chaque départ ou changement informatique
• un registre mis à jour à la main pour chaque signalement, et confronté aux délais chaque semaine
• une ligne téléphonique ou une messagerie vocale séparée, avec ses propres limites d'accès, si vous proposez l'oral
• des suppressions selon le calendrier, dans la boîte, le registre, les archives et les sauvegardes
• une analyse d'impact qui explique les accès que vous n'avez pas pu supprimer

Rien de tout cela n'est difficile, mais tout dépend de quelqu'un qui pense à le faire.

Pourquoi les entreprises passent à Provoxis

Provoxis est conçu pour cette tâche : la plupart des points ci-dessus sont donc réglés avant même l'arrivée de votre premier signalement.

Plus de revue trimestrielle des accès à travers la messagerie, plus de tableur à tenir à jour, rien à reconstruire quand un gestionnaire s'en va. La mise en place se fait en autonomie avec une liste de contrôle guidée, le prix est un abonnement mensuel fixe (voir les tarifs), et un essai gratuit de 30 jours est proposé.

Quitter la boîte mail

1. Publiez le nouveau canal partout où figurait l'adresse e-mail : site web, politique, livret d'accueil et documents fournisseurs.
2. Conservez l'ancienne adresse quelque temps, avec une réponse automatique qui renvoie vers la nouvelle page de signalement. Certains continueront de l'utiliser.
3. Pour les signalements qui arrivent encore par e-mail, deux options. Répondez depuis l'adresse dédiée en invitant l'auteur à passer par la page de signalement, afin qu'il obtienne sa propre référence de dossier. Ou, s'il préfère ne pas le faire, déposez le signalement en son nom, en précisant qu'il est arrivé par e-mail, et envoyez la référence de dossier à lui seul pour qu'il puisse suivre le dossier.
4. Traitez ce qui reste dans la boîte. Terminez les dossiers en cours là où ils sont, ou transférez-les de la même manière. Supprimez le reste à la fin de sa durée de conservation, puis fermez la boîte.

Fondement juridique

• Décret n° 2022-1284, art. 4 et 6 (Légifrance) — signalement par écrit ou par oral ; intégrité, confidentialité et interdiction d'accès pour le personnel non autorisé.
• Art. 6(2), art. 9(1)(a)–(f), art. 9(2), art. 16, art. 18, directive (UE) 2019/1937 — anonymat laissé aux États membres ; conception sécurisée et accès réservé au personnel autorisé ; délais ; personne désignée ; signalement par écrit, par oral ou les deux ; confidentialité de l'identité ; archivage.
• § 16 HinSchG — accès réservé aux personnes compétentes ; signalement oral ou écrit, et rencontre sur demande. L'exposé des motifs (BT-Drs. 20/3442, p. 81) confirme que l'une ou l'autre forme suffit.
• Ley 2/2023, art. 5.2, 7.2 et 7.3 (BOE) — conception sécurisée ; signalement écrit et oral ; acceptation des signalements anonymes.
• D.Lgs. 24/2023, art. 4, et lignes directrices ANAC 1/2025 sur les canaux internes, délibération n° 478 du 26 novembre 2025 (ANAC) — confidentialité y compris par le chiffrement ; voies écrite et orale à garantir (§ 2.2) ; e-mail ordinaire et PEC non adaptés en eux-mêmes sans contre-mesures justifiées.
• Wet bescherming klokkenluiders, art. 2 (wetten.overheid.nl) — signalement écrit et oral, et rencontre sur demande.
• Loi polonaise du 14 juin 2024 sur la protection des lanceurs d'alerte, art. 25–27 — contenu de la procédure ; signalement oral et écrit (y compris électronique) ; aucun accès pour les personnes non autorisées.
• Protected Disclosures Act 2014 (Irlande), s.5A et s.6A (version consolidée) — signalements anonymes ; canaux internes sécurisés et confidentiels.