Beaucoup d’entreprises croient que leur dispositif d’alerte — canal éthique du siège, hotline confidentielle, formulaire en ligne — vaut au Tchad parce qu’il vaut ailleurs. C’est inexact. La Loi n°007/PR/2015 encadre ces dispositifs depuis dix ans, avec des obligations précises que peu d’employeurs identifient tant qu’un contrôle ou un contentieux ne les révèle pas.

La définition légale du système d’alerte professionnelle

L’article 5 de la Loi n°007/PR/2015 sur la protection des données à caractère personnel définit expressément le « système d’alerte professionnelle » : « tout dispositif mis en place au sein d’une entité, publique ou privée, permettant à ses agents de signaler des faits susceptibles de constituer des manquements à la législation ou à la réglementation, ou aux règles internes ».

Trois enseignements en découlent.

D’abord, la notion est établie en droit tchadien depuis 2015 — pas depuis les dispositifs importés du siège. L’employeur qui met en place un dispositif au Tchad n’invente rien et ne transpose pas ; il active une catégorie déjà nommée par la loi.

Ensuite, la définition ne se limite pas aux manquements légaux : elle couvre aussi les manquements aux règles internes. Un dispositif qui permet de signaler des violations du code de conduite, du règlement intérieur, ou des procédures groupe entre dans le champ.

Enfin, la localisation de la définition dans une loi sur la protection des données emporte une conséquence forte : le dispositif est un traitement de données personnelles, avec toutes les obligations qui en découlent.

Les formalités préalables auprès de l’ANSICE

L’article 21 de la Loi 007 soumet les traitements de données à des formalités préalables auprès de l’Agence Nationale de Sécurité Informatique et de Certification Électronique (ANSICE), autorité de contrôle prévue par le texte. Selon la nature du traitement, ces formalités prennent la forme d’une déclaration, d’une notification renforcée, ou d’une autorisation.

Réserve d’effectivité : l’obligation figure sans ambiguïté dans la loi, mais l’aptitude opérationnelle de l’ANSICE à recevoir et instruire ces demandes n’est pas, à ce jour, publiquement documentée. Cette incertitude pratique ne dispense pas l’employeur ; elle appelle une posture de vérification active plutôt qu’une présomption d’inapplicabilité.

Concrètement, la prudence consiste à : (i) formaliser la demande par écrit daté ; (ii) conserver la trace de la démarche accomplie — dépôt physique avec récépissé, courrier recommandé, email de dépôt ; (iii) reprendre attache régulièrement de l’agence ; (iv) documenter l’absence éventuelle de réponse.

Ce triple mouvement — obligation, réserve, diligence — est la ligne de conduite raisonnable au Tchad tant que l’ANSICE n’a pas publié de guichet stabilisé.

L’information de la personne mise en cause (article 77)

L’article 77 de la Loi 007, combiné aux principes de loyauté du traitement, impose au responsable d’un système d’alerte d’informer la personne mise en cause du signalement dont elle fait l’objet. Cette obligation est structurante et souvent la première violée par les dispositifs importés.

Le principe : la personne visée par un signalement doit être avisée du traitement de ses données, de la finalité du traitement, de ses droits (accès, rectification), et de l’existence d’une éventuelle enquête. Le moment de cette information dépend du dispositif — elle peut être différée si l’information immédiate compromettrait l’enquête, mais elle ne peut jamais être omise.

L’enjeu probatoire est direct : un rapport d’enquête utilisé au soutien d’une sanction, alors que la personne mise en cause n’a jamais été informée de son inscription dans le dispositif d’alerte, est exposé à une contestation sur la loyauté de la preuve. Le débat n’aura pas lieu sur les faits, mais sur la manière dont ils ont été établis.

Les droits des personnes concernées (article 76)

L’article 76 consacre les droits des personnes concernées par un traitement de données : droit d’accès, droit de rectification, droit d’opposition. Dans un dispositif d’alerte, ces droits s’exercent en trois directions.

Le signalant dispose de garanties propres — confidentialité pendant l’enquête, sécurité de son identité, absence de rétorsion. Ces garanties ne sont pas structurées par un « statut du lanceur d’alerte » spécifique — celui-ci n’existe pas au Tchad — mais elles se déduisent des principes du traitement loyal.

La personne mise en cause dispose du droit d’accès à ses données, y compris aux éléments du signalement la concernant. Ce droit peut être aménagé pour préserver l’anonymat du signalant, mais il ne peut être totalement écarté.

Les témoins entendus dans l’enquête sont eux-mêmes des personnes concernées : leurs déclarations sont un traitement de données, elles doivent être informées de l’usage prévu et de la conservation des éléments qu’elles fournissent.

Un dispositif d’alerte conforme : les éléments à sécuriser

Sans prétendre à l’exhaustivité, un dispositif conforme à la Loi 007 réunit six éléments : (i) une politique écrite définissant la finalité, le périmètre des signalements admis, les personnes autorisées à signaler ; (ii) un canal de signalement identifié — email, hotline, plateforme — dont la sécurité est documentée ; (iii) une procédure de traitement décrivant l’analyse préliminaire, l’ouverture éventuelle d’une enquête, les délais indicatifs ; (iv) une matrice de conservation fixant la durée de conservation des données selon l’issue du signalement ; (v) une information des personnes — signalant, mis en cause, témoins — conforme à l’article 77 ; (vi) une trace des diligences ANSICE, quelle que soit l’issue de la démarche.

Ces six éléments transforment un dispositif de fait en dispositif opposable.

Ce qu’il faut retenir

Le « système d’alerte professionnelle » est défini par la Loi n°007/PR/2015 (art. 5) — il couvre les manquements légaux et internes · un dispositif est un traitement de données soumis à formalité ANSICE (art. 21), avec réserve d’effectivité ; la posture est celle de la diligence documentée · l’information de la personne mise en cause (art. 77) est une condition de loyauté du traitement · les droits des personnes concernées (art. 76) s’appliquent aux signalants, mis en cause et témoins · six éléments structurent un dispositif conforme : politique écrite, canal identifié, procédure de traitement, matrice de conservation, information des personnes, trace des diligences ANSICE.