Les enqu\u00eates internes occupent aujourd\u2019hui une place de plus en plus importante dans la gouvernance d\u2019entreprise et la Compliance. Les organisations sont r\u00e9guli\u00e8rement amen\u00e9es \u00e0 examiner des soup\u00e7ons de fraude, de faute professionnelle, de conflit d\u2019int\u00e9r\u00eats, d\u2019utilisation abusive de donn\u00e9es, de violation de politiques internes, de concurrence d\u00e9loyale, d\u2019irr\u00e9gularit\u00e9s dans les notes de frais ou encore d\u2019autres probl\u00e9matiques li\u00e9es au milieu professionnel. Ces enqu\u00eates impliquent souvent la collecte et l\u2019analyse d\u2019informations sensibles : e-mails, messages instantan\u00e9s, dossiers RH, registres d\u2019acc\u00e8s, donn\u00e9es financi\u00e8res, donn\u00e9es issues d\u2019ordinateurs portables ou de t\u00e9l\u00e9phones mobiles, bases de donn\u00e9es et autres \u00e9l\u00e9ments de preuve num\u00e9riques.<\/p>\n\n\n\n
En Belgique, le cadre juridique applicable \u00e0 ces enqu\u00eates a profond\u00e9ment \u00e9volu\u00e9. La nouvelle loi du 18 mai 2024 r\u00e9glementant la recherche priv\u00e9e (LRP) remplace l\u2019ancienne loi de 1991 relative aux d\u00e9tectives priv\u00e9s. Cette r\u00e9forme ne constitue pas une simple mise \u00e0 jour technique. Elle a un impact significatif sur la mani\u00e8re dont les enqu\u00eates internes peuvent \u00eatre conduites. Le message est clair : les enqu\u00eates internes ne peuvent plus \u00eatre trait\u00e9es comme de simples exercices informels de recherche d\u2019informations. Elles doivent \u00eatre correctement cadr\u00e9es, document\u00e9es, proportionn\u00e9es et conformes \u00e0 la fois \u00e0 la loi sur la recherche priv\u00e9e et aux principes applicables en mati\u00e8re de protection des donn\u00e9es.<\/p>\n\n\n\n
Dans cet article, nous examinons les principales \u00e9volutions introduites par la nouvelle loi ainsi que leurs effets pratiques sur la conduite des enqu\u00eates internes au sein des organisations.<\/p>\n\n\n\n
1. De d\u00e9tective priv\u00e9 a recherche priv\u00e9e<\/strong> 2. Licence et autorisation : une exigence importante, mais nuanc\u00e9e<\/strong> 3. La n\u00e9cessit\u00e9 d\u2019une politique interne d\u2019enqu\u00eate<\/strong> Une politique d\u2019enqu\u00eate claire contribue \u00e9galement \u00e0 garantir une approche coh\u00e9rente. Elle r\u00e9duit le risque que les enqu\u00eates soient trait\u00e9es diff\u00e9remment selon le d\u00e9partement, le manager concern\u00e9 ou le degr\u00e9 d\u2019urgence de la situation. Elle d\u00e9montre aussi que l\u2019organisation a pris en compte, en amont, les exigences de proportionnalit\u00e9, de respect de la vie priv\u00e9e et de garanties proc\u00e9durales.<\/p>\n\n\n\n 4. Des exigences proc\u00e9durales et documentaires renforc\u00e9es<\/strong> Tout au long de l\u2019enqu\u00eate, les diff\u00e9rentes \u00e9tapes doivent \u00eatre d\u00fbment document\u00e9es et les \u00e9l\u00e9ments de preuve collect\u00e9s, conserv\u00e9s et analys\u00e9s de mani\u00e8re rigoureuse et coh\u00e9rente. Les conclusions du rapport final doivent, quant \u00e0 elles, reposer sur des constatations factuelles \u00e9tay\u00e9es par des \u00e9l\u00e9ments pertinents et obtenus dans le respect du cadre l\u00e9gal applicable.<\/p>\n\n\n\n 5. Donn\u00e9es sensibles : un risque de Compliance majeur<\/strong> 6. Le RGPD et la protection des donn\u00e9es au c\u0153ur du dispositif<\/strong> 7. Les exclusions du champ d\u2019application : utiles, mais pas toujours simples<\/strong> 8. Risque probatoire : la proc\u00e9dure compte autant que le fond<\/strong> 9. Les questions \u00e0 se poser avant de lancer une enqu\u00eate<\/strong> FORCYD accompagne les organisations dans la pr\u00e9paration et la conduite d\u2019enqu\u00eates conformes. Cet accompagnement peut porter notamment sur la d\u00e9finition du p\u00e9rim\u00e8tre de l\u2019enqu\u00eate, la strat\u00e9gie de donn\u00e9es, la planification de la collecte, les workflows de revue, la documentation, le traitement des preuves, les structures de reporting et la mise en place de politiques internes d\u2019enqu\u00eate.<\/em><\/p>\n\n\n\n Avec un cadre appropri\u00e9, les organisations peuvent r\u00e9duire les risques juridiques, prot\u00e9ger la vie priv\u00e9e des salari\u00e9s et renforcer la fiabilit\u00e9 des conclusions de leurs enqu\u00eates. FORCYD exerce ses activit\u00e9s conform\u00e9ment \u00e0 la disposition transitoire pr\u00e9vue \u00e0 l\u2019article 177 de la loi.<\/em><\/p>\n\n\n\n Auteurs : <\/p>\n\n\n\n Damien van Outryve d’Ydewalle<\/a> et Max Schuster<\/a><\/p>\n\n\n","protected":false},"excerpt":{"rendered":" Les enqu\u00eates internes occupent aujourd\u2019hui une place de plus en plus importante dans la gouvernance d\u2019entreprise et la Compliance. Les organisations sont r\u00e9guli\u00e8rement amen\u00e9es \u00e0 examiner des soup\u00e7ons de fraude, de faute professionnelle, de conflit d\u2019int\u00e9r\u00eats, d\u2019utilisation abusive de donn\u00e9es, de violation de politiques internes, de concurrence d\u00e9loyale, d\u2019irr\u00e9gularit\u00e9s dans les notes de frais ou […]<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[62],"tags":[],"class_list":["post-11412","post","type-post","status-publish","format-standard","hentry","category-partnerblog-fr"],"acf":[],"yoast_head":"\n
L\u2019un des changements majeurs r\u00e9side dans le passage d\u2019une r\u00e9glementation centr\u00e9e sur la profession de d\u00e9tective priv\u00e9 \u00e0 une r\u00e9glementation des activit\u00e9s de recherche priv\u00e9e elles-m\u00eames.
La loi de 1991 visait principalement les d\u00e9tectives priv\u00e9s, c\u2019est-\u00e0-dire les personnes qui, de mani\u00e8re r\u00e9guli\u00e8re et contre r\u00e9mun\u00e9ration, recueillaient des informations sur des individus, leur comportement, leurs biens, leur statut ou d\u2019autres aspects de leur vie priv\u00e9e. En pratique, cette loi \u00e9tait surtout associ\u00e9e au mod\u00e8le classique du d\u00e9tective priv\u00e9 externe mandat\u00e9 pour enqu\u00eater sur une personne ou une situation donn\u00e9e.
La loi de 2024 adopte une approche diff\u00e9rente. Elle ne se concentre plus (uniquement) sur l\u2019identit\u00e9 de la personne qui m\u00e8ne l\u2019enqu\u00eate, mais sur la nature des activit\u00e9s r\u00e9alis\u00e9es. En cons\u00e9quence, les enqu\u00eates internes men\u00e9es par les ressources humaines, le service juridique, la compliance, l\u2019audit ou une autre fonction interne peuvent entrer dans le champ d\u2019application de la loi lorsque ces enqu\u00eate consistes \u00e0 recueillir des informations sur des personnes, en vue d\u2019\u00eatre utilis\u00e9es dans un litige, une proc\u00e9dure disciplinaire ou un autre conflit interne.
Les organisations doivent donc prendre cette nouvelle loi au s\u00e9rieux. Elle impose des exigences sp\u00e9cifiques quant \u00e0 la mani\u00e8re dont les enqu\u00eates doivent \u00eatre conduites.<\/p>\n\n\n\n
La nouvelle loi introduit des exigences de licence et d\u2019autorisation. En principe, les personnes ou entit\u00e9s impliqu\u00e9es dans les enqu\u00eates internes devront disposer d\u2019une licence d\u00e9livr\u00e9e par le minist\u00e8re de l\u2019Int\u00e9rieur afin de pouvoir exercer l\u00e9galement leurs missions d\u2019enqu\u00eate.
Cette licence est accord\u00e9e pour une p\u00e9riode de cinq ans renouvelable et suppose le respect de conditions li\u00e9es notamment \u00e0 l\u2019aptitude et \u00e0 l\u2019int\u00e9grit\u00e9 de la personne.
Il est donc essentiel que les \u00e9quipes juridiques des organisations d\u00e9terminent, au cas par cas, si un salari\u00e9, une fonction ou un d\u00e9partement interne doit \u00eatre agr\u00e9\u00e9, d\u00e8s lors que ses activit\u00e9s pourraient relever du champ d\u2019application de la loi.<\/p>\n\n\n\n
La loi impose \u00e9galement aux organisations d\u2019encadrer les enqu\u00eates internes au moyen de r\u00e8gles ou de politiques internes. Autrement dit, les enqu\u00eates doivent \u00eatre express\u00e9ment autoris\u00e9es et r\u00e9glement\u00e9es par une politique interne ou par un instrument \u00e9quivalent, tel que le r\u00e8glement de travail, une convention collective de travail ou une d\u00e9cision du conseil d\u2019entreprise.
Les employeurs disposent d\u2019un d\u00e9lai jusqu\u2019au 16 d\u00e9cembre 2026<\/strong> pour se conformer \u00e0 cette obligation. Pass\u00e9 ce d\u00e9lai, une organisation qui ne disposerait pas d\u2019une politique conforme pourrait se trouver dans l\u2019impossibilit\u00e9 de mener l\u00e9galement certaines enqu\u00eates internes. Les conclusions de ces enqu\u00eates pourraient \u00e9galement \u00eatre contest\u00e9es, voire devenir inutilisables.
Il s\u2019agit d\u2019un point pratique essentiel. La pr\u00e9paration \u00e0 une enqu\u00eate ne devrait pas commencer lorsqu\u2019un incident survient. \u00c0 ce moment-l\u00e0, il peut d\u00e9j\u00e0 \u00eatre trop tard pour mettre en place un cadre ad\u00e9quat.
Les organisations ont donc int\u00e9r\u00eat \u00e0 anticiper en adoptant des politiques qui pr\u00e9cisent clairement :<\/p>\n\n\n\n\n
La nouvelle loi renforce l\u2019encadrement des enqu\u00eates internes en imposant un certain nombre d\u2019exigences proc\u00e9durales. Celles-ci comprennent notamment la documentation de l\u2019enqu\u00eate, la tra\u00e7abilit\u00e9 des d\u00e9marches entreprises, l\u2019\u00e9tablissement de proc\u00e8s-verbaux d\u2019entretien, la constitution d\u2019un dossier d\u2019enqu\u00eate, le respect des obligations d\u2019information ou de consentement lorsqu\u2019elles sont applicables, ainsi que la r\u00e9daction d\u2019un rapport final dans les d\u00e9lais prescrits.
Afin de garantir la conformit\u00e9 et l\u2019efficacit\u00e9 de la d\u00e9marche, les organisations ont tout int\u00e9r\u00eat \u00e0 d\u00e9finir en amont plusieurs \u00e9l\u00e9ments cl\u00e9s :<\/p>\n\n\n\n\n
La nouvelle loi impose des limites strictes quant aux informations pouvant faire l\u2019objet d\u2019une enqu\u00eate. Les investigations portant sur l\u2019\u00e9tat de sant\u00e9 d\u2019une personne, ses opinions politiques ou son appartenance syndicale sont notamment interdites.
Cette restriction est particuli\u00e8rement importante dans le contexte de l\u2019emploi. Si une organisation peut l\u00e9gitimement enqu\u00eater sur un comportement fautif pr\u00e9sum\u00e9, elle doit veiller \u00e0 ce que l\u2019enqu\u00eate ne porte pas, m\u00eame indirectement, sur des informations prot\u00e9g\u00e9es.
Avant toute collecte de donn\u00e9es, le p\u00e9rim\u00e8tre de l\u2019enqu\u00eate doit donc \u00eatre clairement d\u00e9fini et limit\u00e9 aux informations strictement n\u00e9cessaires \u00e0 la r\u00e9alisation de son objectif.
Lorsque des donn\u00e9es sensibles risquent d\u2019\u00eatre incidentellement collect\u00e9es, des garanties appropri\u00e9es devraient \u00eatre mises en place, telles qu\u2019une collecte cibl\u00e9e, l\u2019utilisation de termes d\u2019exclusion, un acc\u00e8s restreint aux donn\u00e9es, l\u2019exclusion de certaines informations du champ d\u2019analyse ou encore des r\u00e8gles strictes de reporting.<\/p>\n\n\n\n
La nouvelle loi s\u2019inscrit dans la continuit\u00e9 des exigences du RGPD. Les enqu\u00eates internes impliquent en effet fr\u00e9quemment le traitement de donn\u00e9es \u00e0 caract\u00e8re personnel, qu\u2019il s\u2019agisse d\u2019e-mails, de messages instantan\u00e9s, de dossiers RH, de journaux d\u2019acc\u00e8s, de donn\u00e9es issues d\u2019appareils professionnels ou d\u2019autres informations permettant d\u2019identifier directement ou indirectement une personne.
Les organisations doivent d\u00e8s lors veiller \u00e0 concilier les exigences de la l\u00e9gislation sur la recherche priv\u00e9e avec leurs obligations en mati\u00e8re de protection des donn\u00e9es. \u00c0 cet \u00e9gard, les principes de proportionnalit\u00e9 et de minimisation des donn\u00e9es doivent guider l\u2019ensemble du processus d\u2019enqu\u00eate.
Avant toute collecte, il convient notamment de s\u2019interroger sur :<\/p>\n\n\n\n\n
La loi ne s\u2019applique pas \u00e0 toutes les activit\u00e9s pr\u00e9sentant des similitudes avec une enqu\u00eate interne. Elle pr\u00e9voit plusieurs exceptions, notamment pour certaines activit\u00e9s exerc\u00e9es par les ressources humaines, les avocats, les notaires, les huissiers de justice, les journalistes, les auditeurs et les r\u00e9viseurs d\u2019entreprises. Certaines op\u00e9rations li\u00e9es \u00e0 l\u2019identification et \u00e0 l\u2019analyse d\u2019incidents de cybers\u00e9curit\u00e9 sont \u00e9galement exclues de son champ d\u2019application.
Les d\u00e9marches men\u00e9es afin de satisfaire \u00e0 une obligation l\u00e9gale peuvent \u00e9galement \u00e9chapper au r\u00e9gime de la recherche priv\u00e9e. C\u2019est notamment le cas de certaines enqu\u00eates r\u00e9alis\u00e9es dans le cadre d\u2019un signalement de lanceur d\u2019alerte ou du traitement d\u2019une plainte relative aux risques psychosociaux.
Toutefois, la qualification juridique d\u2019un dossier ne d\u00e9pend pas uniquement de son origine, mais aussi de l\u2019usage qui est fait de ses r\u00e9sultats. Une situation initialement exclue du champ de la loi peut soulever de nouvelles questions lorsque les informations recueillies sont ensuite utilis\u00e9es dans le cadre d\u2019une proc\u00e9dure disciplinaire, d\u2019un licenciement ou d\u2019un litige.
Les organisations devraient donc \u00e9viter de pr\u00e9sumer qu\u2019une exclusion s\u2019applique automatiquement. Lorsqu\u2019une enqu\u00eate est susceptible d\u2019\u00eatre utilis\u00e9e pour prot\u00e9ger ou d\u00e9fendre les int\u00e9r\u00eats de l\u2019entreprise, il convient d\u2019examiner attentivement si la loi sur la recherche priv\u00e9e trouve \u00e0 s\u2019appliquer.
Dans la mesure o\u00f9 le nouveau r\u00e9gime est encore r\u00e9cent et o\u00f9 les orientations pratiques demeurent limit\u00e9es, une approche prudente reste recommand\u00e9e. Dans de nombreux cas, il sera pr\u00e9f\u00e9rable d\u2019analyser activement l\u2019applicabilit\u00e9 de la loi plut\u00f4t que de supposer qu\u2019une exception est acquise.<\/p>\n\n\n\n
La nouvelle loi peut entra\u00eener des cons\u00e9quences significatives en cas de non-respect. Les manquements aux exigences applicables sont susceptibles d\u2019exposer l\u2019organisation \u00e0 des sanctions r\u00e9glementaires, mais \u00e9galement de remettre en cause la validit\u00e9 de certaines d\u00e9marches d\u2019enqu\u00eate ou l\u2019utilisation des \u00e9l\u00e9ments recueillis dans le cadre d\u2019une proc\u00e9dure contentieuse.
Cela ne signifie pas pour autant que toute irr\u00e9gularit\u00e9 entra\u00eenera automatiquement l\u2019invalidation de l\u2019ensemble de l\u2019enqu\u00eate. L\u2019appr\u00e9ciation d\u00e9pendra notamment de la nature du manquement, des circonstances de l\u2019esp\u00e8ce et de l\u2019importance des \u00e9l\u00e9ments concern\u00e9s.
Une chose est toutefois certaine : le respect du cadre l\u00e9gal et proc\u00e9dural influence directement la cr\u00e9dibilit\u00e9 et la valeur probante des conclusions de l\u2019enqu\u00eate.
Pour les organisations, l\u2019enjeu ne consiste donc pas uniquement \u00e0 \u00e9tablir les faits. Elles doivent \u00e9galement \u00eatre en mesure de d\u00e9montrer que les informations ont \u00e9t\u00e9 collect\u00e9es, analys\u00e9es et utilis\u00e9es de mani\u00e8re licite, proportionn\u00e9e et conforme aux exigences applicables.<\/p>\n\n\n\n
Avant d\u2019ouvrir une enqu\u00eate interne, les organisations devraient notamment se poser les questions suivantes :<\/p>\n\n\n\n\n