Signalement anonyme ou identifié, expliqué

Accepter ou non les signalements anonymes relève souvent de votre décision, pas de celle de la directive

Il est facile de supposer que le signalement anonyme est simplement une exigence légale, activée ou non par la force de la loi. Ce n'est généralement pas le cas. L'article 6(2) de la directive précise explicitement que, en dehors de toute obligation existante au titre d'un autre droit de l'UE, la directive elle-même « n'affecte pas le pouvoir des États membres de décider si les entités juridiques du secteur privé ou public et les autorités compétentes sont tenues d'accepter les signalements anonymes de violations et d'en assurer le suivi. » Les États membres ont adopté des positions réellement différentes lors de la transposition — certains obligent les entreprises à accepter les signalements anonymes, d'autres sont silencieux et laissent le choix à l'entreprise, et quelques-uns excluent totalement les signalements anonymes de certaines protections. Vérifiez la transposition de votre propre pays avant de présumer dans un sens ou dans l'autre (voir les guides pays sous la directive européenne sur les lanceurs d'alerte, expliquée) — c'est l'un des détails que le droit national modifie réellement, pas seulement traduit.

Là où la loi vous en laisse le choix, proposer l'anonymat est un véritable choix de conception, avec un véritable compromis des deux côtés, pas une simple case à cocher.

Pourquoi accepter les signalements anonymes même quand rien ne vous y oblige

Ce qui décourage les gens de signaler des faits répréhensibles est rarement les faits eux-mêmes — c'est la peur d'être identifié comme celui ou celle qui a parlé. Un canal qui n'accepte que les signalements identifiés écarte précisément les lanceurs d'alerte les plus inquiets des représailles, ce qui tend à correspondre aux signalements les plus importants à entendre. Accepter les signalements anonymes, même là où le droit local ne l'exige pas, revient à parier que davantage de signal réel parvient à vous que ce qui vous atteindrait autrement.

Le compromis que vous acceptez si vous le faites

L'anonymat n'est pas gratuit pour l'entreprise qui traite le signalement. Un gestionnaire ne peut pas poser de question de clarification à quelqu'un qu'il n'a aucun moyen de joindre en dehors du canal que le lanceur d'alerte a choisi de laisser ouvert, et certaines situations — un lanceur d'alerte prêt à témoigner, ou dont le récit dépend de détails que lui seul peut fournir — bénéficient réellement du fait que le gestionnaire sache à qui il a affaire. Un canal a besoin d'un moyen de garder la porte ouverte à un suivi bidirectionnel même sans identité derrière, sinon l'anonymat finit par vous coûter les signalements qu'il est le plus important de bien traiter.

Ce qu'un anonymat « véritable » exige réellement, sur le plan technique

Proposer une option « anonyme » est facile à dire et facile à mal faire en pratique. Quelques conditions doivent être réellement remplies, quel que soit la plateforme ou le processus qui les assure :

• Aucun champ d'identité imposé à la soumission. Si le formulaire exige un nom, un identifiant employé interne, ou une connexion liée à une identité réelle avant d'accepter un signalement, l'anonymat n'a jamais réellement été proposé — il s'agissait d'une divulgation facultative de l'identité de l'auteur, superposée à un système qui la connaît déjà.
• Aucune trace de métadonnées ramenant à une personne. Les adresses IP, les empreintes d'appareil, ou les en-têtes d'e-mail associés à une soumission peuvent ré-identifier un lanceur d'alerte tout aussi efficacement qu'un champ nom, même quand le formulaire lui-même ne demandait rien.
• Un moyen de revenir sur le dossier qui ne dépend pas de coordonnées. Les obligations d'accusé de réception sous 7 jours et de retour d'information sous 3 mois (voir le délai de 7 jours / 3 mois, expliqué) s'appliquent tout de même à un signalement anonyme — le canal a besoin d'un mécanisme permettant à un lanceur d'alerte de vérifier le statut et de répondre à des questions de suivi sans qu'une adresse e-mail ou un numéro de téléphone n'entre jamais en jeu.
• De la prudence sur ce que les gestionnaires voient et envoient. Un « répondre à tous », un fil de discussion transféré, ou un enregistrement qui n'a pas été altéré peut exposer quelqu'un ayant choisi de rester anonyme tout aussi sûrement qu'un champ de formulaire manquant (voir signalements vocaux et anonymisation, expliqués simplement pour ce que cela signifie spécifiquement pour un signalement oral).

Comment Provoxis y a répondu

La réponse propre de Provoxis est de rendre le signalement anonyme toujours disponible, sur chaque tenant, sans bascule qu'une entreprise puisse désactiver — le problème du champ d'identité ci-dessus est fermé par conception, puisqu'aucun champ d'identité n'est jamais requis pour soumettre un signalement en premier lieu. Le problème du contact sans identité est résolu par un jeton de référence de dossier, émis à l'instant où un signalement est soumis : c'est le seul moyen de revenir sur un dossier, pour les lanceurs d'alerte anonymes comme identifiés, et c'est ainsi que le statut et la messagerie fonctionnent sans qu'aucune des deux parties n'ait besoin d'une adresse e-mail enregistrée. Choisir de s'identifier n'équivaut pas non plus à devenir visible pour toute l'entreprise — cela n'est visible que par le personnel qu'une entreprise a réellement désigné comme gestionnaires ou administrateurs du canal, le groupe volontairement restreint et compétent qu'exige l'article 9(1)(c) (voir désigner qui traite les signalements pour savoir comment choisir réellement ce groupe) — et un lanceur d'alerte identifié conserve les mêmes protections de messagerie bidirectionnelle et de confidentialité qu'un lanceur d'alerte anonyme. S'identifier apporte davantage de contexte au gestionnaire ; cela ne vous apporte pas moins de protection.

Fondement juridique

• Art. 6(2), directive (UE) 2019/1937 — la marge d'appréciation des États membres quant à l'obligation, pour les entités juridiques, d'accepter et de donner suite aux signalements anonymes.
• Art. 9(1)(c) — l'exigence de désigner une personne ou un service impartial compétent pour assurer le suivi des signalements, ce qui limite à qui l'identité d'un lanceur d'alerte identifié est réellement visible.