Considérant 83
Directive sur la protection des personnes qui signalent des violations du droit de l'Union · UE 2019/1937
| (83) | Tout traitement de données à caractère personnel effectué en vertu de la présente directive, y compris l’échange ou la transmission de données à caractère personnel par les autorités compétentes, devrait être effectué conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil (43) et à la directive (UE) 2016/680 du Parlement européen et du Conseil (44). Tout échange ou toute transmission d’informations par les institutions, organes ou organismes de l’Union devrait être effectué conformément au règlement (UE) 2018/1725 du Parlement européen et du Conseil (45). Il convient, en particulier, de tenir compte des principes relatifs au traitement des données à caractère personnel énoncés à l’article 5 du règlement (UE) 2016/679, à l’article 4 de la directive (UE) 2016/680 et à l’article 4 du règlement (UE) 2018/1725, ainsi que du principe de la protection des données par conception et par défaut prévu à l’article 25 du règlement (UE) 2016/679, à l’article 20 de la directive (UE) 2016/680 et aux articles 27 et 85 du règlement (UE) 2018/1725. |
Au Luxembourg, la loi du 16 mai 2023 relative a la protection des lanceurs d'alerte articule explicitement le canal interne avec le RGPD : l'OFRS exige une AIPD préalable et la CNPD considéré le canal d'alerte comme un traitement a haut risque par nature. L'identité du lanceur beneficie d'une confidentialité renforcee opposable même aux demandes d'accès du mis en cause au titre de l'article 15 RGPD, sauf décision de justice.
Pratique Luxgap : documenter l'AIPD en cohérence avec les guidelines CNPD sur les traitements RH et prévoir un cloisonnement technique strict entre l'identité du lanceur et le contenu de l'alerte, démontrable lors d'un contrôle conjoint CNPD-OFRS.
