Plateforme de lanceurs d'alerte open source (France)
Vous cherchez un dispositif d'alerte interne sécurisé, éthique et conforme à la directive européenne sur les lanceurs d'alerte ?
Essayez GlobaLeaks, le logiciel gratuit, libre et open-source conçu pour :
- Protéger l'identité des auteurs de signalement et garantir une confidentialité totale
- Offrir des canaux de signalement internes et externes sécurisés avec gestion structurée des cas
- Assurer la traçabilité, l'auditabilité et un suivi fiable des signalements
- Répondre aux exigences de la directive (UE) 2019/1937
En savoir plus dans la documentation officielle.
La directive européenne sur les lanceurs d'alerte
La directive européenne sur la protection des personnes qui signalent des violations du droit de l'Union impose aux organisations de mettre en place des canaux de signalement sécurisés et confidentiels et de protéger les auteurs de signalement contre les représailles.
En France, la directive est transposée par la loi n° 2022-401 du 21 mars 2022 (loi Waserman), qui modifie la loi Sapin II de 2016. Toute organisation publique ou privée d'au moins 50 salariés doit mettre en place un dispositif d'alerte interne, c'est-à-dire une procédure de recueil et de traitement des signalements, dans le respect du référentiel de la CNIL relatif aux alertes professionnelles. L'autorité externe de référence est le Défenseur des droits.
Obligations légales et conformité
| Référence | Obligation | Comment GlobaLeaks y satisfait |
|---|---|---|
| art. 8 loi Sapin II | Mettre en place une procédure interne de recueil et de traitement des signalements au moyen d'un canal permettant de recueillir les signalements dans des conditions garantissant leur sécurité et leur confidentialité. | GlobaLeaks fournit un canal de signalement interne dédié, auto-hébergé et fondé sur un logiciel libre et open source vérifiable. Le signalement peut être effectué de manière anonyme ou confidentielle, au choix de l'organisation, l'identité du lanceur d'alerte étant protégée à chaque étape. |
| art. 4 décret n° 2022-1284 | Permettre le signalement par écrit ou par oral, et, à la demande de l'auteur du signalement, lors d'une visioconférence ou d'une rencontre physique organisée au plus tard vingt jours ouvrés après réception de la demande. | GlobaLeaks permet le signalement écrit assorti de pièces jointes et d'un message vocal, ainsi que la possibilité pour l'auteur de demander une rencontre. Un canal bidirectionnel asynchrone préservant l'anonymat autorise l'organisation de cet échange dans le délai imparti. |
| art. 4 décret n° 2022-1284 | Accuser réception du signalement dans un délai de sept jours ouvrés à compter de sa réception. | GlobaLeaks délivre immédiatement un accusé de réception, remis à l'auteur dès le dépôt du signalement, bien avant l'échéance de sept jours ouvrés. |
| art. 4 décret n° 2022-1284 | Communiquer à l'auteur du signalement, dans un délai raisonnable n'excédant pas trois mois à compter de l'accusé de réception, un retour d'information sur les mesures envisagées ou prises pour évaluer l'exactitude des allégations et y remédier. | La gestion structurée des cas de GlobaLeaks encadre les échéances au moyen de délais, de minuteries, de rappels et d'un tableau de bord, garantissant le retour d'information dans le délai de trois mois grâce au canal bidirectionnel asynchrone préservant l'anonymat. |
| art. 9 loi Sapin II | Garantir la stricte confidentialité de l'identité de l'auteur du signalement, des personnes visées et de tout tiers mentionné, ainsi que des informations recueillies. | GlobaLeaks protège l'identité du lanceur d'alerte à chaque étape, autorise le signalement anonyme ou confidentiel et applique un contrôle d'accès granulaire selon le besoin d'en connaître, de sorte que seules les personnes habilitées accèdent aux informations. |
| art. 6 décret n° 2022-1284 | Assurer l'intégrité et la confidentialité des informations recueillies et en interdire l'accès aux membres du personnel non autorisés. | GlobaLeaks assure le chiffrement des signalements et des pièces jointes et restreint l'accès aux seules personnes autorisées au moyen d'un contrôle d'accès granulaire fondé sur le besoin d'en connaître, préservant ainsi l'intégrité et la confidentialité des informations. L'anonymat complet est possible grâce à l'intégration de la technologie Tor. |
| art. 8 loi Sapin II / RGPD | Traitement des données à caractère personnel conforme au RGPD, dans le respect de la minimisation. | Self-hosting, aucun composant ni service tiers, aucun journal d'adresses IP, minimisation des métadonnées. |
| art. 6 décret n° 2022-1284 | Ne conserver les données à caractère personnel traitées que pour la durée strictement nécessaire et proportionnée au traitement des signalements. | GlobaLeaks pratique la minimisation des métadonnées, ne conserve aucun journal d'adresses IP et permet de paramétrer des durées de conservation, afin que les données ne soient conservées que le temps strictement nécessaire au traitement. |
Au-delà des obligations légales : normes et reconnaissances
GlobaLeaks est également conçu pour s'intégrer dans un système de gestion des alertes aligné sur les lignes directrices ISO 37002:2021 et pour répondre aux exigences relatives aux canaux de signalement des normes certifiables telles qu'ISO 37001 (anti-corruption) et ISO 37301 (gestion de la conformité).
En matière de sécurité de l'information, la plateforme est conçue pour s'intégrer dans un système de management aligné sur la norme ISO/IEC 27001:2022 : les signalements et leurs pièces jointes sont protégés par chiffrement et l'accès est réservé aux seules personnes expressément habilitées. Elle applique par ailleurs les principes de protection des données dès la conception et par défaut du RGPD (règlement (UE) 2016/679) : minimisation des données, absence d'enregistrement des adresses IP et métadonnées réduites au strict nécessaire.
L'accessibilité fait elle aussi partie des choix de conception : la plateforme est prévue pour être compatible avec les règles WCAG 2.1 AA et la norme européenne EN 301 549 - le socle technique de l'European Accessibility Act (directive (UE) 2019/882) et de la directive (UE) 2016/2102 sur l'accessibilité des sites publics - afin que chaque auteur de signalement puisse utiliser le canal en toute sécurité et en toute autonomie. En France, les références sont l'obligation d'accessibilité numérique de l'article 47 de la loi n° 2005-102, mise en œuvre par le RGAA, et la transposition de l'European Accessibility Act par la loi n° 2023-171 (art. 16) et le décret n° 2023-931.
Reconnu comme Digital Public Good par la Digital Public Goods Alliance, GlobaLeaks est un logiciel libre et open source au service de l'intérêt général.