Signalements internes : ce qu’un formulaire doit permettre

Une entreprise d’emballage de quarante personnes, à Yverdon, souhaite que ce qui s’observe à l’atelier remonte jusqu’à la direction : une protection de machine écartée depuis des semaines ; un fournisseur apparenté à un membre de l’équipe ; un comportement de l’équipe du matin que quelqu’un ne souhaite plus laisser passer. Jusqu’ici, cela passait par le supérieur direct. Un formulaire sur l’intranet doit désormais s’y ajouter.

Le formulaire se construit en un quart d’heure. Mais la question à laquelle il répond n’est pas « quels champs nous faut-il », c’est « qui lira cela ensuite ». C’est de cette question que dépend son usage. Un canal de signalement dont personne ne sait où il aboutit reste vide — et un formulaire vide n’est pas la même chose qu’une entreprise sans problèmes.

Pourquoi un formulaire de signalement n’est pas un formulaire de contact

Un formulaire de contact ordinaire produit une demande : une personne écrit à son propre sujet et attend une réponse. Un formulaire de signalement interne produit autre chose. Trois différences ressortent.

Le signalement porte le plus souvent sur un tiers. Le tableau contient alors non seulement qui a écrit, mais aussi sur qui. Les deux sont des données personnelles au sens de l’art. 5 let. a LPD, et les deux emportent des droits.

C’est l’expéditrice qui constitue la partie sensible. Sur une demande d’offre, le nom est une formalité. Sur un signalement portant sur un conflit d’intérêts, le nom est la donnée qui décide de ce qui suivra pour la personne.

Il faut un chemin de retour. Une demande se répond par courriel. Un signalement arrivé sans adresse ne peut pas recevoir de réponse — sauf si le formulaire l’a prévu d’avance.

Qui peut voir un envoi

L’ordonnance sur la protection des données cite la confidentialité parmi quatre objectifs de protection : les données ne doivent être « accessibles qu’aux personnes autorisées » (art. 2 let. a OPDo). L’art. 3 al. 1 let. a OPDo devient ensuite plus concret et nomme le contrôle de l’accès — les personnes autorisées ne doivent accéder qu’aux données personnelles dont elles ont besoin pour accomplir leurs tâches. Pour la sécurité des données en général, l’art. 8 LPD exige des mesures techniques et organisationnelles appropriées au risque.

Cela reste abstrait tant qu’on n’a pas compté qui peut effectivement regarder à l’intérieur d’un formulaire monté de la manière habituelle.

Qui	Voit en général	Parce que
La boîte derrière le formulaire	Chaque signalement en entier	Les formulaires écrivent souvent à une adresse commune
La personne titulaire du compte	Chaque signalement en entier	Une boîte partagée appartient rarement à une seule personne
La suppléance pendant les vacances	Chaque signalement en entier	Les renvois et accès délégués sont rarement défaits
L’administration informatique	Signalements, pièces jointes, journaux	Les droits d’administration valent pour tous les dossiers
L’outil de formulaire lui-même	Toutes les réponses du tableau	C’est là qu’elles sont enregistrées
Le sous-traitant	Ce que l’outil enregistre	L’art. 9 LPD règle le transfert, pas la visibilité

Aucun point de cette liste n’est une erreur. Ce sont des réglages par défaut, exactement adaptés à une demande d’offre — et qui, pour un canal de signalement, décrivent un cercle plus large que ne le laisse supposer la mention « confidentiel ».

L’autre moitié de la même question concerne celles et ceux qui ne doivent justement pas voir : le supérieur visé par le signalement ; le service d’où il provient ; qui décide des salaires et des contrats. Un formulaire peut refléter cela s’il dispose de son propre emplacement de stockage. Il ne le peut pas si les signalements se trouvent dans le même tableau que les demandes de vacances.

Signaler anonymement, et ce que cela coûte des deux côtés

L’anonymat n’est pas un réglage que l’on active. C’est un arrangement avec des coûts des deux côtés.

Quoi	Avec un nom	Anonyme
Poser une question complémentaire	Possible	Impossible sans canal prévu pour cela
Transmettre des pièces plus tard	Possible	Seulement par la même voie que le premier envoi
Être informé de la suite donnée	Possible	Seulement par un canal de retour sans adresse
Situer le signalement	Le rôle et le point de vue sont connus	Le signalement se tient seul
Conséquences pour l’expéditrice	Dépendent du contrôle de l’accès	Dépendent de ce que le formulaire enregistre par ailleurs

Le point le plus souvent négligé en pratique est le troisième. Sans adresse, il n’y a pas de chemin de retour, et la personne qui a écrit n’apprend donc jamais si quelqu’un a seulement lu son message. C’est précisément pour cela que le deuxième signalement n’arrive pas.

Entre les deux existe un troisième état qui n’est ni l’un ni l’autre. À l’envoi, le formulaire attribue un identifiant — une suite de caractères connue de la seule expéditrice — et l’affiche une fois. Cet identifiant ouvre plus tard une page portant une question complémentaire ou un message. L’entreprise connaît l’identifiant, mais aucune adresse ; la personne connaît les deux. C’est une case postale sans rue. Cela fonctionne tant que l’identifiant n’est pas enregistré lié à un numéro de compte, à une adresse électronique ou à une session — sinon, le détour est cosmétique.

Ce qui suit l’envoi, même quand le champ du nom reste vide

À côté des champs remplis, l’envoi crée une deuxième couche d’informations. Sur un formulaire d’inscription, cette couche relève de l’administratif. Sur un formulaire de signalement, elle est le sujet même.

L’horodatage. Dans une entreprise de quarante personnes, « dimanche, 23 h 40 » réduit déjà le cercle. Dans une équipe de six, il le réduit fortement.

Le compte connecté. Si le formulaire se trouve sur l’intranet derrière l’authentification, le système sait qui l’a ouvert — même si aucun nom n’apparaît dans le formulaire. « Anonyme » signifie alors : anonyme dans le formulaire, pas dans le système.

Le réseau et l’appareil. Adresse IP, navigateur, système d’exploitation, parfois la taille de l’écran. Isolément, cela dit peu. Avec un horodatage et un inventaire d’appareils tenu par l’informatique, cela dit davantage. Savoir si de telles indications rendent une personne identifiable se décide à l’art. 5 let. a LPD, donc d’après ce qui figure par ailleurs dans la même ligne.

Le fichier joint. Une photo porte souvent avec elle l’heure de prise de vue et l’appareil ; un document bureautique porte le nom du compte sous lequel il a été créé, et parfois tout son historique de modifications.

Les journaux. À certaines conditions, l’art. 4 OPDo exige la journalisation de l’enregistrement, de la modification, de la lecture, de la communication, de l’effacement et de la destruction — notamment lorsqu’il serait autrement impossible d’établir après coup si les données ont été traitées aux fins pour lesquelles elles ont été collectées. Ces journaux existent pour la traçabilité que l’art. 2 let. d OPDo cite comme objectif de protection. Ils constituent aussi une liste de plus indiquant qui était où, et quand.

La personne visée par le signalement

La seconde personne concernée apparaît rarement dans la discussion, mais elle figure dans la même ligne.

La LPD mentionne à l’art. 5 let. c ch. 5 les « données sur des poursuites ou sanctions pénales et administratives » parmi les données sensibles. Un signalement n’est ni une poursuite ni une sanction. Il peut cependant contenir des indications qui s’en approchent, et selon son contenu aussi des indications sur la santé ou l’activité syndicale relevant de la même disposition.

Pour les rapports de travail s’y ajoute l’art. 328b CO : l’employeur ne peut traiter des données concernant le travailleur que dans la mesure où ces données portent sur les aptitudes du travailleur à remplir son emploi ou sont nécessaires à l’exécution du contrat de travail ; pour le surplus, les dispositions de la LPD s’appliquent. L’art. 362 al. 1 CO range l’art. 328b parmi les dispositions auxquelles il ne peut être dérogé au détriment du travailleur. Sur le traitement de données par l’employeur, le PFPDT relève en outre que les employés, en raison de leur position subordonnée, ne sont que très rarement en mesure de consentir librement, de refuser un consentement ou de le révoquer.

Concrètement, cela signifie avant tout une chose pour le formulaire : ce que contient un signalement n’a pas vocation à se retrouver durablement dans le dossier du personnel. L’art. 6 al. 3 et 4 LPD demande une finalité déterminée et reconnaissable pour la personne concernée, ainsi que la destruction ou l’anonymisation dès que les données ne sont plus nécessaires à cette finalité. Un formulaire de signalement dont les réponses tombent automatiquement au même endroit que les dossiers de candidature rend cette séparation difficile.

Pourquoi le formulaire de contact général convient rarement

La voie la plus simple consiste à ajouter une option « signalement » au formulaire de contact existant. Cela fait gagner une demi-heure et entraîne quatre choses qui n’apparaissent que plus tard.

• Une seule destination pour tout. Demandes et signalements aboutissent dans la même boîte, et le cercle des personnes autorisées y a été fixé pour le plus anodin des deux cas.
• Pas de conservation distincte. Les demandes du formulaire de contact sont effacées après un an, ou jamais. Les mêmes réflexions valent rarement pour les signalements.
• Pas de canal de retour sans adresse. Un formulaire de contact présuppose une adresse électronique, puisqu’il est conçu pour répondre.
• Une confirmation qui écrit en retour. Beaucoup de formulaires envoient un accusé automatique à l’adresse indiquée. Pour un signalement envoyé depuis un compte professionnel, c’est un courriel sur un signalement, déposé dans une boîte que d’autres peuvent lire.

Les questions auxquelles un formulaire de signalement se mesure

Les questions utiles ne sont pas juridiques, elles sont dénombrables. Elles se parcourent en une demi-heure sur son propre formulaire :

1. Combien de comptes peuvent ouvrir les réponses — nommément, sans estimation ?
2. L’un d’eux appartient-il à une personne susceptible d’être visée par un signalement ?
3. Que contient le tableau à côté du texte : heure, adresse IP, compte, page de provenance ?
4. Peut-on passer le formulaire sans adresse électronique, et que voit-on ensuite ?
5. Comment un signalement anonyme apprend-il qu’il est arrivé ?
6. Qui reçoit la confirmation automatique, et où ?
7. Combien de temps les réponses restent-elles, et qui en décide ?
8. Qu’advient-il des pièces jointes, et où se trouvent-elles ?

Pour une société sportive dirigée par un comité bénévole, les mêmes huit questions valent, avec de plus petits nombres. C’est là que la troisième est la plus délicate, car une boîte d’association est presque toujours ouverte à plusieurs personnes.

Un canal de signalement ne devient pas confidentiel parce que le mot « confidentiel » figure au-dessus. Il le devient parce que la liste des personnes autorisées est courte et que quelqu’un la connaît.

Avec Formulare, nous développons une application web dans laquelle les réponses sont chiffrées dans le navigateur et restent enregistrées en Suisse. Pour un canal de signalement, cela veut surtout dire que la liste ci-dessus raccourcit : les services qui enregistrent et transmettent les réponses en chemin n’y figurent plus. Quels champs comporte le formulaire et qui, dans l’entreprise, est autorisé à lire reste la décision de celles et ceux qui le mettent en place.