Protéger la personne concernée

La directive protège aussi la personne concernée, pas seulement le lanceur d'alerte

Presque tout le reste de cette base de connaissances porte sur la protection du lanceur d'alerte — son anonymat, sa confidentialité, sa protection contre les représailles. La directive protège séparément la personne dont le signalement parle réellement. L'art. 5(10) l'appelle la « personne concernée » : « une personne physique ou morale qui est mentionnée dans le signalement ou la divulgation publique en tant que personne à laquelle la violation est attribuée ou à laquelle cette personne est associée. » Un dossier peut être traité avec diligence pour le lanceur d'alerte tout en étant mal traité pour la personne concernée — ce sont des obligations distinctes, pas une note de bas de page à celles du lanceur d'alerte.

Ce à quoi elle a réellement droit

L'art. 22(1) impose aux États membres de garantir que les personnes concernées « jouissent pleinement du droit à un recours effectif et à un procès équitable, ainsi que de la présomption d'innocence et des droits de la défense, y compris le droit d'être entendues et le droit d'accéder à leur dossier. » En termes simples : un signalement est une allégation, pas une conclusion. La personne qu'il désigne n'est réputée n'avoir rien fait, tant qu'une investigation ne l'a pas effectivement établi, et elle a droit à une réelle possibilité de répondre avant qu'une conclusion ne soit tirée — et non d'être informée d'une conclusion après coup, comme simple formalité.

Pourquoi le « droit d'être entendu » ne veut pas dire « informé immédiatement »

Le droit d'être entendu consiste à recevoir une réelle possibilité de répondre avant qu'une conclusion ne soit tirée — ce n'est pas la garantie d'être informé dès l'arrivée d'un signalement. Informer trop tôt la personne concernée peut compromettre l'investigation avant qu'elle n'ait eu la possibilité de rassembler des preuves de façon indépendante, ou accroître le risque du type même de représailles envers le lanceur d'alerte que la directive cherche à prévenir. Décider quand faire intervenir la personne concernée dans le processus fait elle-même partie d'une bonne conduite de l'investigation — voir bien mener l'investigation d'un signalement — et non un réflexe à appliquer par défaut le plus tôt possible.

La confidentialité protège dans les deux sens

Il est facile de lire la « confidentialité du canal » comme ne concernant que le lanceur d'alerte, mais l'exigence de sécurité de l'art. 9(1)(a) est plus large que cela : les canaux doivent être « conçus, établis et gérés d'une manière sécurisée qui garantit la confidentialité de l'identité de l'auteur de signalement et de tout tiers mentionné dans le signalement, et qui empêche l'accès auxdits canaux par des membres du personnel non autorisés. » La personne concernée est exactement ce tiers. Le même groupe volontairement restreint et désigné évoqué dans désigner qui traite les signalements constitue la limite de qui devrait savoir qu'une personne a été nommée dans un signalement ouvert et non résolu — pas seulement qui l'a soumis. Une accusation qui se révèle non étayée, mais qui a été partagée de façon informelle au-delà de ce groupe, a déjà causé un réel préjudice à quelqu'un que le processus lui-même présume innocent.

Ce qui se passe quand l'allégation n'est pas étayée

Une conclusion non étayée est une issue légitime et ordinaire d'une investigation diligente, pas un échec du processus — voir rédiger un retour d'information conforme à l'art. 5(13) pour comprendre pourquoi une issue négative clairement motivée reste un véritable retour d'information. La responsabilité plus discrète qui l'accompagne : ne pas traiter différemment la personne concernée une fois mise hors de cause, et appliquer la même discipline de conservation et d'accès à sa part du dossier qu'à celle du lanceur d'alerte — voir choisir une politique de conservation pour savoir comment est décidée la durée de vie de ce dossier.

Comment Provoxis s'inscrit dans tout cela

Provoxis n'applique pas de processus distinct pour la personne concernée — les mêmes mécanismes qui protègent la confidentialité d'un lanceur d'alerte s'appliquent symétriquement à toute personne nommée dans un signalement. L'accès au dossier est limité aux mêmes gestionnaires désignés, quel que soit l'objet du dossier ; les notes d'investigation restent strictement internes, jamais visibles du lanceur d'alerte et jamais partagées automatiquement avec la personne concernée non plus ; et chaque accès au dossier est capturé dans le même journal d'audit. Il n'existe pas de frontière distincte, plus faible, autour du côté « personne concernée » d'un dossier — c'est la même frontière, appliquée aux deux personnes que le dossier concerne réellement.

Fondement juridique

• Art. 5(10), directive (UE) 2019/1937 — la définition de « personne concernée ».
• Art. 22(1) — la présomption d'innocence et les droits de la défense, y compris le droit d'être entendu et le droit d'accès à son dossier.
• Art. 9(1)(a) — l'exigence de confidentialité du canal, qui s'étend à « tout tiers mentionné dans le signalement », pas seulement au lanceur d'alerte.