Signalement anonyme ou confidentiel ?

Signalement anonyme

Le lanceur d’alerte ne fournit pas directement d’éléments d’identification. Toutefois, le contenu ou les pièces jointes peuvent inclure des informations permettant de déduire son identité.

Signalement identifié et confidentiel

Le lanceur d’alerte fournit des données personnelles, mais l’organisation limite la connaissance de son identité aux personnes autorisées et aux situations légalement nécessaires.

Suivi sans identification

Un code sécurisé peut permettre de consulter l’état du dossier et d’échanger des messages sans créer de compte ni révéler directement son identité.

Communication responsable

Le portail doit expliquer clairement les options, les limites et la manière dont les données seront traitées.

Risque de réidentification

Un signalement anonyme ne demande pas de données d’identification, mais le texte, les pièces jointes, les dates ou la description des faits peuvent révéler indirectement l’identité de son auteur. Le portail doit avertir de ce risque et l’équipe responsable doit éviter de recueillir des informations qui ne sont pas nécessaires à l’analyse.

Dialogue sécurisé sans révéler l’identité

Un code de suivi permet de demander des précisions, d’envoyer des informations supplémentaires et de communiquer des décisions sans exiger de compte personnel. La sécurité de ce mécanisme dépend de la protection du code, du chiffrement des communications, du contrôle des accès et de la configuration des journaux techniques.

Comment expliquer les options

L’organisation doit expliquer simplement la différence entre anonymat et confidentialité, qui peut connaître l’identité, dans quelles situations les informations peuvent être partagées et quelles sont les limites de chaque option. Le choix doit être présenté avant l’envoi, sans promesse absolue.

Contrôles pratiques pour protéger l’identité

L’anonymat dépend de la configuration technique, mais aussi du comportement de l’auteur et des personnes qui traitent le dossier. Même sans champ de nom, un fichier, une signature, une référence temporelle ou la description d’une équipe peuvent permettre une réidentification.

La configuration et les instructions du canal doivent prévoir les éléments suivants :

• Ne pas demander de données identifiantes lorsque l’option anonyme est choisie.
• Avertir de la présence possible de noms, signatures et métadonnées dans les pièces jointes.
• Protéger le code de suivi et ne pas l’envoyer par des canaux non sécurisés.
• Limiter l’accès à l’identité dans les signalements identifiés et confidentiels.
• Séparer l’administration technique de l’accès au contenu lorsque cela est approprié.
• Expliquer les cas où l’identité peut devoir être divulguée en vertu d’une obligation légale.
• Maintenir un moyen sécurisé de demander des précisions sans exiger d’identification.
• Supprimer ou restreindre les données manifestement sans rapport avec l’analyse.