Confidentialité et traitement des données des lanceurs d’alerte

L’Autorité de la concurrence traite tout signalement dans le strict respect de la confidentialité quant à l’identité du lanceur d’alerte.

L’Autorité ne divulguera en aucun cas :

• ni l’identité du lanceur d’alerte sans son consentement exprès ;
• ni aucune autre information à partir de laquelle l’identité du lanceur d’alerte peut être directement ou indirectement déduite.

Le cas échéant, l’Autorité n’utilise pas ou ne divulgue pas les secrets d’affaires à des fins allant au-delà de ce qui est nécessaire pour assurer un suivi approprié.

Aux fins de l’accomplissement des missions qui lui sont confiées par la loi du 16 mai 2023 sur la protection des personnes qui signalent des violations du droit de l’Union (lanceurs d’alerte), et plus précisément concernant le traitement des signalements, l’Autorité peut être amenée à traiter des données personnelles vous concernant.

Tout traitement de données à caractère personnel effectué en vertu de la loi sur la protection des lanceurs d’alerte, y compris l’échange ou la transmission de données à caractère personnel par les autorités compétentes, est effectué conformément au règlement (UE) 2016/679, ci-après « règlement général sur la protection des données » ou « RGPD ».

En tant qu’autorité publique traitant des données à caractère personnel, l’Autorité est tenue de respecter les obligations qui lui incombent en sa qualité de responsable de traitement.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par l’Autorité, vous pouvez contacter le délégué à la protection des données (DPO) de l’Autorité par courrier à l’attention du DPO, par téléphone (+352 247 84728) ou par e-mail à l’adresse suivante: dpo@concurrence.etat.lu.

Finalités et base juridique du traitement

L’Autorité peut être sollicitée par tout lanceur d’alerte souhaitant effectuer un signalement externe à son entreprise. Après examen, si nécessaire et sous réserve des obligations tenant à la confidentialité ci-dessus, les données personnelles ainsi obtenues peuvent être traitées dans le cadre de l’exercice des missions ou d’enquêtes relevant du champ de compétence de l’Autorité.

Dans ce contexte, le traitement de vos données est nécessaire à l’exécution d’une mission d’intérêt public dont l’Autorité est investie (article 6, paragraphe 1, sous e) du RGPD).

Données traitées

Les signalements peuvent se faire via la plateforme sécurisée MyGuichet.lu. Dans ce cas, le traitement du signalement requiert la fourniture d’une adresse e-mail pour permettre à l’Autorité de fournir un retour d’informations et d’assurer un suivi des signalements. Le lanceur d’alerte potentiel doit également fournir une description de la violation alléguée et préciser qui l’aurait commise. Il est donc possible que des informations relatives au comportement d’autres personnes et notamment de l’auteur de la violation ou de témoins soient traitées.

Il est conseillé, dans la description de la violation, de ne mentionner que les éléments d’information nécessaires au traitement du signalement et, en particulier, d’éviter d’y inclure, si cela n’est pas indispensable, des données sensibles (au sens de l’article 9 du RGPD) vous concernant le lanceur d’alerte ou des personnes tierces (par exemple des données relatives à la santé, aux opinions politiques ou aux convictions religieuses).

Les signalements peuvent également se faire par téléphone ou en personne. Dans ce cas, d’autres coordonnées de contact pourront être collectées et la fourniture d’une adresse e-mail n’est pas nécessaire.

Catégories de destinataires

Destinataires 

Seuls les membres du personnel de l’Autorité de la concurrence habilités ont accès à la plateforme de signalement sécurisée de l’Autorité ou aux procès-verbaux, selon le cas.

En cas de signalement par d’autres canaux ou via d’autres membres du personnel de l’Autorité, ces derniers sont également tenus de respecter le secret quant à l’identité du lanceur d’alerte ou de la personne concernée et transmettent le signalement au plus vite aux membres du personnel en charge du traitement.

En ce qui concerne les signalements via la plateforme MyGuichet.lu, plateforme dont le CTIE est en charge (et qui agit dans ce contexte en tant que sous-traitant), les données à caractère personnel fournies par le lanceur d’alerte peuvent exclusivement être accessibles à des personnes désignées par le CTIE dans le cadre d'une demande de support ou d'assistance technique.

Destinataires potentiels

Si un signalement ne tombe pas sous le champ de compétences de l’Autorité, les données collectées peuvent être transmises à d’autres autorités nationales compétentes ou à des institutions, organes ou organismes de l’Union européenne compétentes dans le cadre de la coopération prévue par l’article 19 de la loi.

Si un signalement adressé à l’Autorité fait l’objet d’une enquête concernant les faits allégués, les personnes habilitées à accéder aux signalements transmettent, en fonction de leur objet (DMA, P2B, pratiques anticoncurrentielles), le signalement aux services compétents au sein de l’Autorité. Si l’anonymisation n’est pas possible sans compromettre les activités d’enquête et de contrôle de l’Autorité, ne seront transmises que les données personnelles nécessaires à l’investigation.

Durée de conservation

Les données à caractère personnel qui ne sont manifestement pas pertinentes pour le traitement d’un signalement spécifique ne sont pas collectées ou, si elles le sont accidentellement, sont effacées sans retard injustifié.

Les données personnelles obtenues par le biais d’un signalement jugé infondé, tombant en dehors du champ de compétence de l’Autorité par les agents habilités sont effacées sans délai.

Les données personnelles obtenues par le biais d’un signalement sont conservées pendant deux mois suivant la clôture de l'enquête menée par l’Autorité dans l’exercice de ses missions respectives ou de la procédure concernant les faits allégués dans le signalement jusqu'à la fin de la période de recours.

Conformément à la loi du 17 août 2018 relative à l’archivage, les dossiers présentant une valeur patrimoniale doivent être conservés à des fins d’archivage dans l’intérêt public au-delà de ces durées d’utilité administrative.

Droits des personnes concernées

Vous pouvez accéder aux données vous concernant et en obtenir une copie (article 15 du RGPD), obtenir la rectification de données inexactes ou incomplètes (article 16 du RGPD), vous opposer au traitement de vos données dans les conditions prévues par l’article 21 du RGPD, obtenir l’effacement de celles-ci dans les conditions prévues par l’article 17 du RGPD et la limitation du traitement dans les conditions prévues par l’article 18 du RGPD.

Pour toute question concernant les traitements de vos données à caractère personnel effectués par l’Autorité et pour toute demande relative à l’exercice de vos droits, vous pouvez vous adresser au DPO.

Réclamation

Si vous estimez que le traitement de vos données effectué par l’Autorité constitue une violation du règlement général sur la protection des données, vous pouvez introduire une réclamation auprès de la CNPD.