Plateforme de lanceurs d'alerte open source (Luxembourg)
Votre organisation au Luxembourg recherche un canal de signalement interne sûr, éthique et conforme à la loi du 16 mai 2023 ?
GlobaLeaks est le logiciel gratuit, libre et open source conçu pour :
- préserver l'identité des auteurs de signalement et garantir une confidentialité totale
- mettre en place des canaux de signalement internes et externes sécurisés, avec un traitement structuré des dossiers
- assurer la traçabilité, l'auditabilité et un suivi fiable de chaque signalement
- répondre aux exigences de la loi luxembourgeoise et de la directive (UE) 2019/1937
Pour en savoir plus, consultez la documentation officielle.
La directive européenne sur les lanceurs d'alerte
La directive européenne sur la protection des personnes qui signalent des violations du droit de l'Union impose aux organisations de mettre en place des canaux de signalement sûrs et confidentiels et de protéger les auteurs de signalement contre toutes représailles.
Au Luxembourg, la directive est transposée par la loi du 16 mai 2023 portant transposition de la directive (UE) 2019/1937. Tout employeur public ou privé d'au moins 50 travailleurs doit mettre en place un canal interne de signalement, et l'Office des signalements est l'autorité externe de référence.
Obligations légales et conformité
| Référence | Obligation | Comment GlobaLeaks y satisfait |
|---|---|---|
| art. 5 | Privilégier le signalement par le canal interne lorsque la violation peut être traitée efficacement en interne et que l'auteur estime qu'il n'y a pas de risque de représailles. | Installée sur les serveurs de l'entité elle-même et distribuée sous licence libre, la plateforme constitue un dispositif de signalement interne digne de confiance - que l'auteur de signalement peut donc privilégier - et vérifiable par audit indépendant, l'identité restant protégée du début à la fin de la procédure. |
| art. 6 | Établir des canaux et procédures de signalement interne pour les entités du secteur privé employant au moins cinquante travailleurs. | La solution s'adresse précisément aux entités juridiques d'au moins cinquante travailleurs visées par la loi : chacune met en service son propre canal interne, hébergé sur sa propre infrastructure, sans dépendre d'aucun prestataire extérieur. |
| art. 7 (1), 1° | Concevoir, établir et gérer les canaux de signalement d'une manière sûre garantissant la confidentialité de l'identité de l'auteur et de tout tiers mentionné, et empêchant l'accès des membres du personnel non autorisés. | Le chiffrement appliqué aux signalements comme aux pièces jointes, combiné à des droits d'accès attribués strictement selon le besoin d'en connaître, tient l'identité de l'auteur du signalement - et celle des tiers cités - hors de portée de toute personne non habilitée. L'anonymat complet est possible grâce à l'intégration de la technologie Tor. |
| art. 7 (2) | Permettre le signalement par écrit ou par oral, ou les deux, le signalement oral pouvant se faire par téléphone ou tout autre système de messagerie vocale et, sur demande, lors d'une rencontre physique. | L'auteur peut déposer son signalement par écrit, y joindre des documents, laisser un message vocal ou solliciter une rencontre en personne ; le dialogue se poursuit ensuite dans un espace d'échange asynchrone qui ne révèle jamais son identité. |
| art. 7 (1), 2° | Accuser réception du signalement à l'auteur dans un délai de sept jours à compter de sa réception. | Un accusé de réception est émis dès l'instant du dépôt - très en deçà du délai légal de sept jours - et sert également de clé d'accès au dossier. |
| art. 7 (1), 3° à 5° | Désigner une personne ou un service impartial compétent pour assurer le suivi des signalements, maintenir la communication avec l'auteur et lui fournir un retour d'information dans un délai raisonnable n'excédant pas trois mois. | Échéances paramétrables, minuteries, rappels automatiques et tableau de bord donnent à la personne impartiale désignée les moyens d'instruire chaque dossier et de communiquer le retour d'information avant l'expiration des trois mois, toujours au travers de l'échange préservant l'anonymat. |
| art. 22 | Respecter le devoir de confidentialité en ne divulguant pas, sans le consentement de l'auteur, son identité ni aucune information permettant de l'identifier directement ou indirectement. | Signalement anonyme ou confidentiel au choix, absence totale de journalisation des adresses IP et habilitations restrictives : aucune divulgation de l'identité n'est possible sans le consentement de l'intéressé. |
| art. 23 (1) à (5) | Traitement des données à caractère personnel conforme au RGPD, dans le respect de la minimisation. | L'hébergement sur l'infrastructure propre de l'entité, sans composant ni service extérieur, joint à l'absence de journaux IP et à la réduction des métadonnées au strict nécessaire, concrétise le principe de minimisation du RGPD. |
Au-delà des obligations légales : normes et reconnaissances
GlobaLeaks est par ailleurs pensé pour prendre place dans un système de gestion des signalements suivant les lignes directrices ISO 37002:2021, et pour satisfaire aux exigences applicables aux canaux de signalement des normes certifiables comme ISO 37001 (lutte contre la corruption) et ISO 37301 (gestion de la conformité).
Pensé pour prendre place dans un système de management de la sécurité de l'information suivant la norme ISO/IEC 27001:2022, GlobaLeaks protège par chiffrement les signalements et leurs pièces jointes et n'ouvre l'accès qu'aux personnes expressément autorisées. La plateforme met par ailleurs en œuvre les principes du RGPD (règlement (UE) 2016/679) de protection des données dès la conception et par défaut : collecte réduite au minimum, aucun enregistrement des adresses IP et métadonnées limitées au strict nécessaire.
La conception de GlobaLeaks intègre la compatibilité avec les règles WCAG 2.1 AA et la norme européenne EN 301 549, qui constituent la base technique aussi bien de l'European Accessibility Act (directive (UE) 2019/882) que de la directive (UE) 2016/2102 relative aux sites publics, de sorte que chacun puisse utiliser le canal de signalement en toute sécurité et en toute autonomie. Au Luxembourg, les références sont la loi du 28 mai 2019 sur l'accessibilité des sites publics (référentiel RAWeb) et la loi du 8 mars 2023 sur les exigences d'accessibilité des produits et services.
La Digital Public Goods Alliance recense par ailleurs GlobaLeaks parmi les Digital Public Good, attestant qu'il s'agit d'un logiciel libre et open source œuvrant pour l'intérêt public.