Partnerblog
Les enquêtes internes occupent aujourd’hui une place de plus en plus importante dans la gouvernance d’entreprise et la Compliance. Les organisations sont régulièrement amenées à examiner des soupçons de fraude, de faute professionnelle, de conflit d’intérêts, d’utilisation abusive de données, de violation de politiques internes, de concurrence déloyale, d’irrégularités dans les notes de frais ou encore d’autres problématiques liées au milieu professionnel. Ces enquêtes impliquent souvent la collecte et l’analyse d’informations sensibles : e-mails, messages instantanés, dossiers RH, registres d’accès, données financières, données issues d’ordinateurs portables ou de téléphones mobiles, bases de données et autres éléments de preuve numériques.
En Belgique, le cadre juridique applicable à ces enquêtes a profondément évolué. La nouvelle loi du 18 mai 2024 réglementant la recherche privée (LRP) remplace l’ancienne loi de 1991 relative aux détectives privés. Cette réforme ne constitue pas une simple mise à jour technique. Elle a un impact significatif sur la manière dont les enquêtes internes peuvent être conduites. Le message est clair : les enquêtes internes ne peuvent plus être traitées comme de simples exercices informels de recherche d’informations. Elles doivent être correctement cadrées, documentées, proportionnées et conformes à la fois à la loi sur la recherche privée et aux principes applicables en matière de protection des données.
Dans cet article, nous examinons les principales évolutions introduites par la nouvelle loi ainsi que leurs effets pratiques sur la conduite des enquêtes internes au sein des organisations.
1. De détective privé a recherche privée
L’un des changements majeurs réside dans le passage d’une réglementation centrée sur la profession de détective privé à une réglementation des activités de recherche privée elles-mêmes.
La loi de 1991 visait principalement les détectives privés, c’est-à-dire les personnes qui, de manière régulière et contre rémunération, recueillaient des informations sur des individus, leur comportement, leurs biens, leur statut ou d’autres aspects de leur vie privée. En pratique, cette loi était surtout associée au modèle classique du détective privé externe mandaté pour enquêter sur une personne ou une situation donnée.
La loi de 2024 adopte une approche différente. Elle ne se concentre plus (uniquement) sur l’identité de la personne qui mène l’enquête, mais sur la nature des activités réalisées. En conséquence, les enquêtes internes menées par les ressources humaines, le service juridique, la compliance, l’audit ou une autre fonction interne peuvent entrer dans le champ d’application de la loi lorsque ces enquête consistes à recueillir des informations sur des personnes, en vue d’être utilisées dans un litige, une procédure disciplinaire ou un autre conflit interne.
Les organisations doivent donc prendre cette nouvelle loi au sérieux. Elle impose des exigences spécifiques quant à la manière dont les enquêtes doivent être conduites.
2. Licence et autorisation : une exigence importante, mais nuancée
La nouvelle loi introduit des exigences de licence et d’autorisation. En principe, les personnes ou entités impliquées dans les enquêtes internes devront disposer d’une licence délivrée par le ministère de l’Intérieur afin de pouvoir exercer légalement leurs missions d’enquête.
Cette licence est accordée pour une période de cinq ans renouvelable et suppose le respect de conditions liées notamment à l’aptitude et à l’intégrité de la personne.
Il est donc essentiel que les équipes juridiques des organisations déterminent, au cas par cas, si un salarié, une fonction ou un département interne doit être agréé, dès lors que ses activités pourraient relever du champ d’application de la loi.
3. La nécessité d’une politique interne d’enquête
La loi impose également aux organisations d’encadrer les enquêtes internes au moyen de règles ou de politiques internes. Autrement dit, les enquêtes doivent être expressément autorisées et réglementées par une politique interne ou par un instrument équivalent, tel que le règlement de travail, une convention collective de travail ou une décision du conseil d’entreprise.
Les employeurs disposent d’un délai jusqu’au 16 décembre 2026 pour se conformer à cette obligation. Passé ce délai, une organisation qui ne disposerait pas d’une politique conforme pourrait se trouver dans l’impossibilité de mener légalement certaines enquêtes internes. Les conclusions de ces enquêtes pourraient également être contestées, voire devenir inutilisables.
Il s’agit d’un point pratique essentiel. La préparation à une enquête ne devrait pas commencer lorsqu’un incident survient. À ce moment-là, il peut déjà être trop tard pour mettre en place un cadre adéquat.
Les organisations ont donc intérêt à anticiper en adoptant des politiques qui précisent clairement :
- dans quelles circonstances une enquête peut être ouverte ;
- qui peut l’autoriser ;
- qui peut la mener ;
- quelles méthodes peuvent être utilisées ;
- comment les données peuvent être collectées ;
- comment les preuves doivent être traitées ;
- comment les salariés ou autres personnes concernées doivent être informés ;
- comment les rapports doivent être rédigés et conservés.
Une politique d’enquête claire contribue également à garantir une approche cohérente. Elle réduit le risque que les enquêtes soient traitées différemment selon le département, le manager concerné ou le degré d’urgence de la situation. Elle démontre aussi que l’organisation a pris en compte, en amont, les exigences de proportionnalité, de respect de la vie privée et de garanties procédurales.
4. Des exigences procédurales et documentaires renforcées
La nouvelle loi renforce l’encadrement des enquêtes internes en imposant un certain nombre d’exigences procédurales. Celles-ci comprennent notamment la documentation de l’enquête, la traçabilité des démarches entreprises, l’établissement de procès-verbaux d’entretien, la constitution d’un dossier d’enquête, le respect des obligations d’information ou de consentement lorsqu’elles sont applicables, ainsi que la rédaction d’un rapport final dans les délais prescrits.
Afin de garantir la conformité et l’efficacité de la démarche, les organisations ont tout intérêt à définir en amont plusieurs éléments clés :
- l’objet de l’enquête ;
- sa base juridique ;
- les personnes concernées et les détenteurs des données pertinentes ;
- les systèmes et sources de données inclus dans le périmètre ;
- la période visée ;
- la méthodologie de collecte et d’analyse des informations ;
- les objectifs poursuivis et la finalité du rapport d’enquête.
Tout au long de l’enquête, les différentes étapes doivent être dûment documentées et les éléments de preuve collectés, conservés et analysés de manière rigoureuse et cohérente. Les conclusions du rapport final doivent, quant à elles, reposer sur des constatations factuelles étayées par des éléments pertinents et obtenus dans le respect du cadre légal applicable.
5. Données sensibles : un risque de Compliance majeur
La nouvelle loi impose des limites strictes quant aux informations pouvant faire l’objet d’une enquête. Les investigations portant sur l’état de santé d’une personne, ses opinions politiques ou son appartenance syndicale sont notamment interdites.
Cette restriction est particulièrement importante dans le contexte de l’emploi. Si une organisation peut légitimement enquêter sur un comportement fautif présumé, elle doit veiller à ce que l’enquête ne porte pas, même indirectement, sur des informations protégées.
Avant toute collecte de données, le périmètre de l’enquête doit donc être clairement défini et limité aux informations strictement nécessaires à la réalisation de son objectif.
Lorsque des données sensibles risquent d’être incidentellement collectées, des garanties appropriées devraient être mises en place, telles qu’une collecte ciblée, l’utilisation de termes d’exclusion, un accès restreint aux données, l’exclusion de certaines informations du champ d’analyse ou encore des règles strictes de reporting.
6. Le RGPD et la protection des données au cœur du dispositif
La nouvelle loi s’inscrit dans la continuité des exigences du RGPD. Les enquêtes internes impliquent en effet fréquemment le traitement de données à caractère personnel, qu’il s’agisse d’e-mails, de messages instantanés, de dossiers RH, de journaux d’accès, de données issues d’appareils professionnels ou d’autres informations permettant d’identifier directement ou indirectement une personne.
Les organisations doivent dès lors veiller à concilier les exigences de la législation sur la recherche privée avec leurs obligations en matière de protection des données. À cet égard, les principes de proportionnalité et de minimisation des données doivent guider l’ensemble du processus d’enquête.
Avant toute collecte, il convient notamment de s’interroger sur :
- les personnes ou sources de données réellement pertinentes ;
- les systèmes et données nécessaires à l’enquête ;
- la période à couvrir ;
- l’opportunité d’utiliser des mots-clés ou des filtres afin de limiter la collecte de données non pertinentes ;
- les catégories d’informations qui devraient être exclues ;
- les personnes autorisées à accéder aux données ;
- la durée de conservation des informations collectées ;
- le contenu du rapport final, qui devrait être limité aux éléments strictement nécessaires à la poursuite de l’objectif poursuivi.
7. Les exclusions du champ d’application : utiles, mais pas toujours simples
La loi ne s’applique pas à toutes les activités présentant des similitudes avec une enquête interne. Elle prévoit plusieurs exceptions, notamment pour certaines activités exercées par les ressources humaines, les avocats, les notaires, les huissiers de justice, les journalistes, les auditeurs et les réviseurs d’entreprises. Certaines opérations liées à l’identification et à l’analyse d’incidents de cybersécurité sont également exclues de son champ d’application.
Les démarches menées afin de satisfaire à une obligation légale peuvent également échapper au régime de la recherche privée. C’est notamment le cas de certaines enquêtes réalisées dans le cadre d’un signalement de lanceur d’alerte ou du traitement d’une plainte relative aux risques psychosociaux.
Toutefois, la qualification juridique d’un dossier ne dépend pas uniquement de son origine, mais aussi de l’usage qui est fait de ses résultats. Une situation initialement exclue du champ de la loi peut soulever de nouvelles questions lorsque les informations recueillies sont ensuite utilisées dans le cadre d’une procédure disciplinaire, d’un licenciement ou d’un litige.
Les organisations devraient donc éviter de présumer qu’une exclusion s’applique automatiquement. Lorsqu’une enquête est susceptible d’être utilisée pour protéger ou défendre les intérêts de l’entreprise, il convient d’examiner attentivement si la loi sur la recherche privée trouve à s’appliquer.
Dans la mesure où le nouveau régime est encore récent et où les orientations pratiques demeurent limitées, une approche prudente reste recommandée. Dans de nombreux cas, il sera préférable d’analyser activement l’applicabilité de la loi plutôt que de supposer qu’une exception est acquise.
8. Risque probatoire : la procédure compte autant que le fond
La nouvelle loi peut entraîner des conséquences significatives en cas de non-respect. Les manquements aux exigences applicables sont susceptibles d’exposer l’organisation à des sanctions réglementaires, mais également de remettre en cause la validité de certaines démarches d’enquête ou l’utilisation des éléments recueillis dans le cadre d’une procédure contentieuse.
Cela ne signifie pas pour autant que toute irrégularité entraînera automatiquement l’invalidation de l’ensemble de l’enquête. L’appréciation dépendra notamment de la nature du manquement, des circonstances de l’espèce et de l’importance des éléments concernés.
Une chose est toutefois certaine : le respect du cadre légal et procédural influence directement la crédibilité et la valeur probante des conclusions de l’enquête.
Pour les organisations, l’enjeu ne consiste donc pas uniquement à établir les faits. Elles doivent également être en mesure de démontrer que les informations ont été collectées, analysées et utilisées de manière licite, proportionnée et conforme aux exigences applicables.
9. Les questions à se poser avant de lancer une enquête
Avant d’ouvrir une enquête interne, les organisations devraient notamment se poser les questions suivantes :
- Le dossier entre-t-il potentiellement dans le champ d’application de la loi sur la recherche privée ?
- Qui conduira l’enquête ?
- Une licence ou une autorisation est-elle requise ?
- Existe-t-il une politique interne d’enquête conforme ?
- Le périmètre de l’enquête est-il proportionné ?
- Des informations sensibles pourraient-elles être concernées ?
- Comment l’enquête sera-t-elle documentée ?
- Comment les preuves seront-elles collectées, traitées et conservées ?
FORCYD accompagne les organisations dans la préparation et la conduite d’enquêtes conformes. Cet accompagnement peut porter notamment sur la définition du périmètre de l’enquête, la stratégie de données, la planification de la collecte, les workflows de revue, la documentation, le traitement des preuves, les structures de reporting et la mise en place de politiques internes d’enquête.
Avec un cadre approprié, les organisations peuvent réduire les risques juridiques, protéger la vie privée des salariés et renforcer la fiabilité des conclusions de leurs enquêtes. FORCYD exerce ses activités conformément à la disposition transitoire prévue à l’article 177 de la loi.
Auteurs :
