Dispositif d’alerte professionnelle (loi Waserman) : l’automatiser avec n8n plutôt qu’une boîte mail partagée

Depuis le 1ᵉʳ septembre 2022, toute entreprise d’au moins 50 salariés doit disposer d’un canal de signalement interne pour les lanceurs d’alerte — une obligation issue de la loi n° 2022-401 du 21 mars 2022, dite « loi Waserman », qui a renforcé la loi Sapin 2 pour transposer la directive européenne (UE) 2019/1937. Dans la pratique, beaucoup de PME se contentent d’une adresse email générique du type alerte@entreprise.fr lue par la même personne qui gère le reste de la boîte partagée — ce qui ne garantit ni la confidentialité de l’identité de l’auteur, ni le respect des délais fixés par le décret d’application. Une étude multi-pays de Latan, Chiappetta Jabbour et Vo-Thanh, publiée en 2023 dans le Journal of Business Ethics, montre que la perception d’un canal réellement sécurisé et suivi d’effet est l’un des déterminants les plus forts de l’intention de signaler un dysfonctionnement — un canal perçu comme une formalité mal tenue dissuade les remontées, y compris les plus sérieuses (étude sur Google Scholar). Ce guide montre comment monter, avec n8n et Supabase, un dispositif qui respecte les délais légaux sans dépendre d’un logiciel de signalement propriétaire facturé à l’année.

Ce que le décret impose concrètement

Le décret n° 2022-1284 du 3 octobre 2022 précise trois obligations que le dispositif doit tenir, quelle que soit la façon dont il est construit :

• Accusé de réception sous 7 jours ouvrés à compter de la réception du signalement.
• Retour d’information sous 3 mois, décompté à partir de l’accusé de réception (ou, à défaut d’accusé envoyé, à partir de l’expiration du délai de 7 jours) : l’auteur doit être informé par écrit des suites données ou envisagées, sans que cela signifie que le dossier doit être clôturé dans ce délai.
• Confidentialité stricte de l’identité de l’auteur, des personnes visées et des tiers mentionnés — accès réservé aux seules personnes habilitées à traiter les signalements, avec traçabilité de qui a consulté quoi.

Un formulaire non suivi de relances automatiques rate systématiquement le premier délai dès que la personne référente est absente une semaine ; c’est exactement le type de tâche répétitive et sensible au calendrier qu’un workflow n8n gère mieux qu’un rappel dans un agenda.

L’architecture : trois briques, pas un logiciel dédié

Le dispositif reprend un patron déjà utilisé pour d’autres processus de conformité sur ce blog — collecte guidée, stockage horodaté à accès restreint, relances automatiques, synthèse — mais appliqué ici au cas le plus sensible : un signalement peut viser directement un supérieur hiérarchique, donc le canal doit rester hors de la chaîne de management habituelle.

1. Un formulaire n8n dédié (node Form Trigger), hébergé sur un sous-domaine ou une URL non indexée, distincte de vos autres formulaires — le signalement ne doit jamais transiter par la même adresse que le support client. Le formulaire propose deux entrées : signalement identifié ou signalement anonyme, avec un texte clair sur ce que l’anonymat implique (impossibilité de recevoir un retour personnalisé si aucun canal de réponse n’est fourni).
2. Une table Supabase à accès restreint, sur le modèle décrit dans notre guide de piste d’audit RGPD avec n8n et Supabase : écriture en append-only, mais avec une différence de taille par rapport à un journal d’audit classique — les champs d’identité sont chiffrés côté n8n avant insertion (crypto.createCipheriv dans un node Code, clé stockée en variable d’environnement n8n, jamais en base), et une Row Level Security Postgres limite la lecture à un rôle referent_alerte dédié, distinct du rôle utilisé par le reste de vos automatisations.
3. Deux workflows de rappel programmés (Schedule Trigger), l’un pour l’accusé de réception à J+7, l’autre pour le retour d’information à 3 mois — détaillés ci-dessous.

Étape 1 — Le formulaire et l’enregistrement initial

Le node Form Trigger collecte les faits (nature du dysfonctionnement, personnes ou services concernés, éléments de preuve joints), sans jamais forcer l’identification. Un node Code en aval calcule un token_suivi aléatoire (UUID) communiqué à l’auteur en fin de formulaire : c’est ce jeton, et non son identité, qui lui permettra de consulter l’avancement de son dossier sur une page dédiée — le mécanisme qui rend un signalement anonyme malgré tout suivable, recommandé par la CNIL. L’enregistrement dans Supabase suit le même sub-workflow de journalisation que celui présenté dans notre guide sur la piste d’audit, avec event_type: 'signalement.recu', entity_id: token_suivi, et un payload chiffré.

Étape 2 — L’accusé de réception automatique à J+7

Un Schedule Trigger quotidien interroge la table des signalements où accuse_reception_envoye = false et date_reception <= now() - 7 jours ouvrés (le calcul des jours ouvrés se fait simplement avec un node Code excluant samedis, dimanches et jours fériés français). Pour chaque ligne trouvée : envoi d’un email (si un contact a été fourni) confirmant la réception et rappelant le délai de retour à 3 mois, puis mise à jour du flag pour ne jamais relancer deux fois. C’est le même principe de relance conditionnelle que le workflow relances automatiques des dossiers incomplets du Pack Conformité & Audit (149 €), appliqué ici à un délai légal plutôt qu’à un dossier client.

Étape 3 — Le retour d’information à 3 mois, sans divulguer le détail

C’est le point le plus délicat : le retour d’information doit exister, mais il ne doit jamais révéler d’éléments qui identifieraient indirectement l’auteur ou compromettraient une investigation en cours auprès des personnes non habilitées. Le workflow ne génère donc pas de texte libre par IA à partir du dossier complet — c’est un référent humain qui rédige la synthèse transmise, dans un champ retour_information de la table. Le rôle de n8n se limite à surveiller l’échéance et à relancer le référent si ce champ reste vide à J+80 (marge de sécurité avant les 3 mois), puis à envoyer automatiquement le texte validé à l’auteur via le canal de suivi (email ou page à token). C’est une différence importante avec le rapport de synthèse par IA utilisé ailleurs sur ce blog : ici, l’automatisation gère le calendrier et la transmission, jamais le contenu du jugement porté sur les faits.

Sécuriser ce que n8n ne doit jamais faire lui-même

• Ne pas notifier automatiquement la hiérarchie de la personne visée par un signalement — le routage doit toujours passer par le référent habilité, jamais par une règle de Switch basée sur le service concerné.
• Ne pas stocker l’IP ou les métadonnées de connexion du formulaire par défaut : la plupart des form builders n8n l’activent, il faut le désactiver explicitement pour ne pas réintroduire un identifiant indirect dans un canal censé permettre l’anonymat.
• Restreindre les credentials Supabase : le rôle utilisé par le sub-workflow d’enregistrement des signalements doit être distinct de celui utilisé par vos autres automatisations n8n — un secret exposé sur un workflow non lié ne doit jamais donner accès à cette table.
• Documenter ce traitement dans votre registre RGPD, en s’appuyant sur notre guide pour tenir à jour son registre des traitements avec n8n : un dispositif d’alerte traite des données potentiellement sensibles (article 9 RGPD) et mérite une fiche à part, avec une base légale d’obligation légale plutôt que d’intérêt légitime.

Ce qu’il reste à faire à la main

n8n gère le calendrier, la confidentialité technique et la traçabilité — pas l’instruction du signalement elle-même, qui reste une décision humaine encadrée par le droit du travail et, le cas échéant, le droit pénal. Le référent habilité (souvent le DPO ou un membre du CSE formé) reste seul responsable de l’analyse, de la décision de saisir une autorité externe si nécessaire, et de la rédaction du retour d’information. L’automatisation évite simplement que ce dossier sensible se perde dans une boîte mail partagée ou dépasse un délai légal parce que personne n’a de rappel programmé.

Si votre entreprise gère déjà d’autres obligations de conformité par workflow — questionnaires d’audit, registre RGPD, preuves ISO 27001 ou SOC 2 — le Pack Conformité & Audit (149 €) fournit la brique de base (bot de questionnaire guidé, enregistrement Supabase horodaté, relances automatiques, rapport de synthèse par IA) directement adaptable à un canal de signalement : les quatre workflows sont livrés en JSON avec le SQL des tables et le guide d’installation, à personnaliser selon les principes de confidentialité renforcée décrits ici.