Durées de conservation des signalements dans l'UE

Les durées de conservation des signalements de lanceurs d'alerte dans l'UE vont de trois mois à dix ans. Chypre supprime un signalement trois mois après la clôture d'une affaire. L'Espagne autorise une entreprise à le conserver dix ans. Onze États membres ne fixent aucune durée. Les chiffres proviennent de notre rapport 2026 sur la directive européenne sur les lanceurs d'alerte, qui compare les 27 lois nationales. Voici combien de temps vous devez conserver un signalement dans chaque pays, et que faire là où la loi reste muette.

Combien de temps devez-vous conserver un signalement de lanceur d'alerte ?

La directive européenne sur les lanceurs d'alerte ne fixe aucune durée de conservation. Elle dit seulement que vous ne devez pas conserver les données personnelles plus longtemps que nécessaire. Chaque pays a donc comblé le vide à sa façon. Quinze États ont retenu un chiffre clair. La Belgique en a fixé plusieurs, un par région. Les onze autres n'en ont fixé aucun.

L'Espagne arrive en tête avec un plafond de dix ans. Lorsqu'aucune enquête ne suit, elle supprime le signalement au bout de trois mois. Huit États ont opté pour cinq ans : l'Autriche, la Tchéquie, la Finlande, l'Italie, la Lituanie, le Portugal, la Roumanie et la Slovénie. Quatre ont choisi trois ans : l'Allemagne, l'Estonie, la Pologne et la Slovaquie. La Suède conserve un signalement deux ans. Chypre est le pays le plus bref, avec une suppression trois mois après la clôture d'une affaire.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 20.

Le tableau ci-dessous indique chaque durée fixe et le moment où son compte à rebours démarre. Les onze États sans durée définie viennent ensuite.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 20.

« La directive ne fixe aucune durée de conservation. Elle demande seulement que les données personnelles ne soient pas conservées plus longtemps que nécessaire et de manière proportionnée, et onze États membres s'en sont tenus exactement là. »
WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 19

Là où aucune durée de conservation n'est fixée, c'est le RGPD qui prend le relais

Onze États n'indiquent aucun chiffre : la Bulgarie, la Croatie, le Danemark, la France, la Grèce, la Hongrie, l'Irlande, la Lettonie, le Luxembourg, Malte et les Pays-Bas. La Belgique constitue un douzième cas à part, avec une règle différente dans chaque région. Aucune durée fixée ne veut pas dire conserver indéfiniment. Cela confie la décision au RGPD.

La règle de limitation de la conservation du RGPD prévoit que vous ne conservez les données personnelles que le temps où la finalité l'exige. Pour un signalement, cette finalité est le traitement de l'affaire et la défense contre toute réclamation qui en découlerait. Ainsi, au Danemark, en France, en Irlande et au Luxembourg, vous fixez votre propre durée et la justifiez. La Bulgarie renvoie à une ordonnance de protection des données. La Croatie s'appuie sur sa loi générale d'archivage. La Grèce conserve le dossier jusqu'à la fin de la procédure. C'est là qu'une politique de conservation écrite prend tout son sens. Nos guides sur la façon de répondre à un signalement et que faire d'un signalement détaillent les étapes de traitement qui déterminent le moment où le compte à rebours peut s'arrêter.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 19.

Quand le compte à rebours de la conservation démarre-t-il ?

Le nombre d'années n'est que la moitié de la réponse. Cinq ans peuvent recouvrir des durées de stockage très différentes, selon le moment où le compte à rebours démarre. Quatre États le déclenchent à l'arrivée du signalement : la Tchéquie, la Finlande, la Roumanie et la Slovaquie. La durée court avant même que quiconque ait examiné l'affaire. Neuf États le déclenchent une fois l'affaire traitée, à la clôture, à l'issue finale ou à la dernière décision. Deux États ne le disent jamais clairement.

Source : WeMoral, 2026 Report on Whistleblower Directive Transposition Across the EU, p. 20.

C'est le piège pour une entreprise présente dans plusieurs pays. Deux règles de cinq ans ne sont pas la même règle. L'Autriche fait courir son compte à rebours à partir de la dernière fois où vous touchez au dossier, si bien que rouvrir une affaire peut repousser la date de suppression. La Pologne compte à partir de la fin de l'année où le suivi s'est achevé. L'Espagne lie la suppression au fait qu'une enquête suive ou non, et le Portugal laisse le point de départ indéfini et ajoute par-dessus toute procédure en cours. Si vous détenez une seule archive pour tous les pays, vous devez respecter à la fois le point de départ le plus précoce et la fin la plus tardive.

Construire une seule politique de conservation pour tous les pays

La plupart des entreprises veulent une règle unique, pas 27. Pour y parvenir, vous concevez la politique en fonction de l'État le plus strict de votre carte. Cela signifie le plancher le plus élevé et le plafond le plus bas en même temps. Le Portugal et la Lituanie fixent leurs cinq ans comme un minimum, vous ne pouvez donc pas descendre en dessous. Les dix ans de l'Espagne sont un plafond, vous ne pouvez donc pas aller au-delà dans ce pays. Chypre exige une suppression au bout de trois mois. Une entreprise présente à la fois en Espagne et à Chypre a besoin de deux politiques distinctes pour un même type de dossier.

Consignez la durée par écrit, rattachez-la au dossier de l'affaire et notez pourquoi vous l'avez choisie. C'est ce que demande le RGPD, et c'est ce qu'un auditeur cherchera. Les articles consacrés aux lois nationales de l'Espagne, la Suède et l'Allemagne donnent la formulation exacte aux deux extrêmes et au milieu.

Réglez le compte à rebours de conservation une fois, puis laissez-le tourner

La conservation est la partie discrète d'un dispositif de signalement. Elle ne se manifeste guère avant un audit ou une demande d'accès aux données, et là, elle se manifeste vite. Un signalement conservé un an de trop est un problème de RGPD. Un signalement supprimé un an trop tôt est un problème de preuve. La voie sûre consiste à fixer la durée pays par pays, à la rattacher à chaque affaire et à supprimer selon l'échéance sans que personne n'ait à s'en souvenir. WeMoral applique la règle de chaque pays à chaque signalement et l'efface une fois le délai écoulé, si bien que l'archive reste conforme d'elle-même. Vérifiez les lignes de vos pays avant de fixer un chiffre unique pour tous.