RGPD et enquête interne : ce que le traitement des données impose

1. Une finalité précise, et rien que cette finalité

Le RGPD impose que toute collecte de données poursuive une finalité déterminée, explicite et légitime, et que les données ne soient pas traitées ultérieurement pour un usage incompatible avec cette finalité¹. Pour une enquête interne, la finalité est étroite : établir ou écarter les faits objets du signalement. Elle ne s’étend pas, par principe, à l’historique professionnel général de la personne mise en cause, ni aux pièces d’un autre dossier ouvert par ailleurs. La base légale mobilisée est le plus souvent l’intérêt légitime de l’employeur à faire cesser un éventuel manquement et à protéger les personnes concernées, ou l’exécution d’une obligation légale lorsque la prévention du harcèlement relève d’une obligation de résultat de l’employeur².

2. Des catégories de données particulières, presque par construction

Une enquête pour harcèlement touche fréquemment des données relevant de catégories particulières au sens du règlement : état de santé lorsqu’un arrêt de travail ou un suivi médical est mentionné, vie sexuelle ou orientation sexuelle dans certains dossiers de harcèlement sexuel. Le traitement de ces catégories est par principe interdit, sauf à entrer dans l’une des exceptions prévues par le texte, notamment la nécessité du traitement à la constatation, à l’exercice ou à la défense de droits en justice³. En pratique, cela signifie une vigilance particulière : ces données ne doivent être versées au dossier que lorsqu’elles sont réellement nécessaires à l’appréciation des faits, pas parce qu’elles figurent incidemment dans une pièce plus large.

3. La minimisation : l’exhaustivité n’est pas un gage de rigueur

Le principe de minimisation impose de limiter la collecte à ce qui est adéquat, pertinent et nécessaire au regard de la finalité⁴. Un réflexe répandu, et pourtant contraire à ce principe, consiste à tout collecter « au cas où » (l’intégralité d’une boîte mail, l’historique complet d’un canal de messagerie) plutôt que les échanges effectivement en lien avec les faits signalés. Ce réflexe s’ajoute à une exigence plus ancienne du droit du travail : les mesures de contrôle de l’activité des salariés, et les informations qui en sont tirées, doivent être justifiées par la nature de la tâche et proportionnées au but recherché⁵. Un dossier trop large n’est pas un dossier plus solide ; c’est un dossier plus exposé.

4. Des durées de conservation qui ne se confondent pas

Le règlement impose de ne pas conserver les données au-delà de ce qui est nécessaire aux finalités du traitement⁴. En pratique, un dossier d’enquête traverse plusieurs phases dont la durée de conservation légitime diffère : le temps de l’instruction, où l’accès reste large pour les personnes habilitées ; puis, la clôture venue, une phase d’archivage à accès restreint, dont la durée se justifie par un éventuel contentieux ; et enfin la suppression, y compris des sauvegardes, une fois ces durées échues. Conserver indéfiniment « pour mémoire » n’est pas une option neutre : c’est un manquement au principe de limitation de la conservation, qui s’apprécie pièce par pièce et non pour le dossier dans son ensemble.

5. L’information des personnes, avec un tempérament pratique

Les personnes concernées par un traitement de données doivent en principe en être informées, et peuvent exercer un droit d’accès aux données les concernant⁶. Pour une enquête en cours, cette information connaît un tempérament reconnu : la fournir immédiatement et intégralement à la personne mise en cause peut compromettre le recueil loyal des témoignages ou l’efficacité de l’enquête elle-même. Le régime des alertes professionnelles prévoit ainsi expressément que l’information de la personne visée par un signalement peut être différée, lorsqu’elle risquerait de compromettre le recueil de preuves nécessaires⁷. Ce report doit rester temporaire et proportionné : il ne dispense pas d’informer, il en aménage seulement le moment.

6. Une checklist pour la constitution du dossier

Avant d’ouvrir un dossier d’enquête, ou en cours d’instruction, quatre réflexes couvrent l’essentiel de ce qu’impose le RGPD :

1. Écrire la finalité avant de collecter. Une phrase suffit, par exemple « établir ou écarter les faits signalés par X le [date] », et elle délimite ce qui a sa place dans le dossier.
2. Isoler ce qui relève d’une catégorie particulière. Santé, vie privée, vie sexuelle : ces éléments ne sont versés que lorsqu’ils sont nécessaires à l’appréciation des faits, jamais par défaut.
3. Fixer les durées de conservation avant la clôture, pas après. Instruction, archive restreinte, suppression : trois phases, trois durées, décidées à l’avance plutôt que découvertes au moment d’un contentieux.
4. Documenter tout report d’information. Si l’information de la personne mise en cause est différée, la raison et la durée prévue doivent être tracées, pas seulement décidées oralement.

7. Comment DUPAIN répond à ces exigences

Ces exigences ne sont pas une couche de conformité ajoutée après coup à DUPAIN : elles sont la raison de certains de ses choix de conception les plus structurants. Les dossiers sont cloisonnés par enquête, avec des habilitations d’accès explicites et une durée de conservation paramétrée dès l’ouverture, pas laissée à l’appréciation de chacun au fil du temps. Les catégories particulières de données ne sont jamais extraites ou mises en avant automatiquement : elles restent des pièces du dossier, visibles seulement par les personnes habilitées à les consulter.

Ce cadre ne remplace pas l’analyse d’impact ou la base légale que l’enquêteur doit lui-même déterminer pour son dossier : DUPAIN n’a pas vocation à s’y substituer. Il retire en revanche ce qui, sans lui, resterait une charge manuelle et sujette à l’oubli : appliquer concrètement, dossier après dossier, une discipline que le règlement impose mais que peu d’outils sont conçus pour tenir par défaut.

Pour aller plus loin

• Comment mener une enquête interne : les étapes clés
• EU AI Act : ce qui change pour les outils RH et d’enquête interne
• Le cadre légal et éthique qui encadre la conduite d’une enquête interne
• La sécurité et la conception de DUPAIN