Signalement anonyme : faut-il enquêter et comment cadrer ?

Distinguer anonymat et absence de contact

Un signalement est anonyme lorsque son auteur a choisi de ne pas révéler son identité. Le référentiel de la CNIL retient cette définition : nom, prénom, fonction, identifiants ou adresse de courriel nominative non révélés, même s’il serait possible de l’identifier au terme d’une recherche. Cela ne veut pas dire qu’aucun échange n’est possible. Selon le canal, l’auteur peut répondre par une adresse de courriel non identifiante ou une boîte postale ; la CNIL y voit une façon de poursuivre l’échange en conservant l’anonymat.

Relevez dès le cadrage dans quelle situation vous êtes : un canal qui permet de poser des questions à l’auteur, ou un message isolé (lettre, courriel unique, affichette) sans retour possible. Ne confondez pas non plus avec le témoignage anonymisé : dans ce dernier cas, l’enquêteur connaît la personne et protège son identité dans le rapport ; voir Témoignages anonymisés.

Ce que disent les textes sur l’anonymat

Code du travail. Les chapitres sur le harcèlement moral (L. 1152-1 à L. 1152-6) et sexuel (L. 1153-1 à L. 1153-6) ne contiennent aucune règle sur le signalement anonyme. Les obligations de l’employeur ne dépendent pas de l’identité de celui qui alerte : prévenir le harcèlement moral (L. 1152-4), prévenir le harcèlement sexuel, y mettre un terme et le sanctionner (L. 1153-5), protéger la santé physique et mentale des travailleurs (L. 4121-1).

Défenseur des droits. Dans la décision-cadre n° 2025-019 du 5 février 2025 (discrimination et harcèlement sexuel), il recommande que le caractère anonyme d’un signalement n’empêche pas son traitement par l’employeur, en tenant compte de la gravité des faits et du caractère exploitable des éléments. Il ajoute qu’une enquête ne doit être ouverte que si le signalement nécessite des investigations complémentaires, et que l’employeur doit réagir dès le premier signalement d’une victime présumée ou d’un témoin, quels qu’en soient la forme et le canal. Ce sont des recommandations, sans force de loi. Dans un arrêt du 12 juin 2024 (chambre sociale, pourvoi n° 23-13.975, publié au Bulletin), la Cour de cassation a écarté le grief tiré de l’absence d’enquête interne : la cour d’appel avait constaté que l’employeur avait pris des mesures suffisantes pour préserver la santé et la sécurité de la salariée et pouvait en déduire qu’il n’avait pas manqué à son obligation de sécurité. En pratique, cela ne dispense pas de réagir : cela oblige à pouvoir démontrer les mesures prises.

CNIL. Le référentiel relatif aux dispositifs d’alerte professionnelle (version adoptée le 6 juillet 2023) rappelle que la plupart des régimes d’alerte ne prévoient pas de règle particulière sur les signalements anonymes, alors que pour les alertes internes relevant des articles 6 et suivants de la loi Sapin 2 modifiée, les règles de procédure doivent préciser « les suites données aux signalements anonymes ». Il recommande que le dispositif permette d’émettre un signalement anonyme et demande de s’abstenir de toute tentative de réidentification, sauf obligation légale contraire ou consentement de l’auteur. Il déconseille aussi les procédés techniques de réidentification (cookies, recoupement d’adresses IP, paramètres du terminal).

Lanceurs d’alerte. Si le message entre dans le statut de lanceur d’alerte (loi n° 2016-1691 du 9 décembre 2016 modifiée, articles 6 et suivants), ce qu’il appartient au conseil de l’employeur de qualifier, les règles suivantes jouent. L’article 7-1 de la loi prévoit que l’auteur dont l’identité est révélée par la suite bénéficie des mêmes protections, et que les obligations de retour d’information ne s’appliquent pas à un signalement anonyme. Pour les signalements identifiés, le décret n° 2022-1284 du 3 octobre 2022 (article 4) prévoit un accusé de réception dans un délai de sept jours ouvrés et une information sur les mesures envisagées dans un délai raisonnable n’excédant pas trois mois à compter de l’accusé de réception. Pour un signalement anonyme, l’article 7-1 écarte les obligations de retour d’information ; la procédure interne doit en revanche préciser les suites qui lui sont données (décret, article 4).

Évaluer ce qui est vérifiable

Notez par écrit, à réception, la date, le canal et le texte reçu sans le retoucher, puis évaluez le message selon quatre critères :

• Précision : le message désigne-t-il une personne, des dates ou un intervalle, un lieu, une réunion, un document, des témoins possibles ?
• Gravité : violence, pression pour obtenir un acte sexuel, propos à connotation sexuelle répétés, atteinte à la santé d’une personne identifiable, ou simple mécontentement sur un mode de management ?
• Corroboration : des éléments existants dans l’entreprise (plannings, courriels professionnels, alertes antérieures, départs ou demandes de mutation déjà constatés dans l’équipe) recoupent-ils le contenu ?
• Risque immédiat : une personne est-elle exposée maintenant, ce qui justifie des mesures sans attendre la fin des vérifications ?

Consignez la décision, avec son motif : enquête ouverte, vérifications préliminaires limitées, mesures de prévention seules, ou absence de suite. Cette note datée est la pièce que vous montrerez si votre réaction est discutée plus tard.

Enquêter sans chercher l’auteur

Le mandat porte sur les faits décrits, pas sur l’auteur. Si le message évoque une réunion identifiable, l’enquête peut cibler cet événement : participants, comptes rendus, échanges professionnels, pratiques voisines. Les personnes interrogées répondent sur ce qu’elles ont vu ou subi ; on ne leur demande pas de deviner qui a écrit. Un message qui se limite à un jugement général sur un manager, sans acte ni date, appelle d’abord un complément de précision s’il existe un canal de retour, sinon une réponse préventive (rappel des règles, canal de signalement, point de vigilance dans l’équipe) plutôt qu’une enquête nominative.

Deux garde-fous de procédure. D’abord, n’ajoutez pas de détails supposés pour rendre l’alerte plus concrète : le rapport doit dire ce qui était écrit et ce qui a été vérifié. Ensuite, dès qu’une personne est visée, ses droits s’appliquent comme pour tout signalement : pour un dispositif d’alerte professionnelle, le référentiel CNIL prévoit que la personne visée est informée dans un délai raisonnable ne pouvant pas dépasser un mois, sauf exception justifiée (par exemple un risque de destruction de preuves), sans information sur l’identité de l’émetteur ni des tiers. Faites valider cette information par votre conseil avant toute audition, et voyez Confidentialité et RGPD pendant l’enquête interne.

Restituer les limites sans fermer trop vite

Le rapport indique les actes réalisés, les personnes entendues, les pièces consultées et, le cas échéant, l’impossibilité de recontacter l’auteur. Il distingue les faits vérifiés de ceux qui n’ont pu l’être. Une alerte incomplète ne démontre pas que les faits sont faux, et une absence de corroboration ne prouve pas leur exactitude.

Des mesures de prévention peuvent être décidées sans sanction individuelle : rappel des règles, formation, réorganisation d’une pratique de réunion, information sur les canaux de signalement (le référent harcèlement sexuel prévu par L. 1153-5-1 dans les entreprises d’au moins deux cent cinquante salariés, et celui du CSE prévu par L. 2314-1). Si une information nouvelle arrive ensuite, comparez-la aux investigations déjà menées et réexaminez le périmètre. Une première limitation n’est pas une décision définitive sur l’ensemble de la situation. Pour la suite, voir Suivi après enquête.

Questions fréquentes