Comment conduire une enquête interne dans un groupe international (Hong Kong, Mexique, Chine, Afrique) sans enfreindre le droit local et les règles de transfert des données ?

Mis à jour le 9 novembre 2026

Référents : Pascal-André Gérinier (Avocat - Fondateur), William Mak (Avocat - Fondateur)

Chaque filiale enquête sous son droit du travail et sa loi sur les données : la méthode française ne s'exporte pas telle quelle. Trois questions avant de commencer : qui décide et qui entend les témoins, l'entité locale ou la maison mère ; quelles données peuvent quitter le pays, car Hong Kong, le Mexique et la Chine ne bénéficient d'aucune décision d'adéquation au sens du RGPD et la Chine soumet les transferts à sa propre loi ; quelle confidentialité protège les travaux, du secret professionnel français au legal professional privilege de Hong Kong, sans protection procédurale en Chine. Et une règle française : la loi de blocage du 26 juillet 1968 interdit, sous réserve des traités et des textes applicables, de transmettre directement à une autorité étrangère des documents d'ordre économique, commercial, industriel, financier ou technique destinés à servir de preuve, ce qui peut viser une partie des pièces d'une enquête.

À retenir

• La filiale est une personne morale distincte : la maison mère n'a pas de pouvoir direct sur ses salariés, elle passe par les organes de la filiale.
• Les auditions suivent le droit local du travail ; les comptes rendus suivent la loi locale sur les données avant de pouvoir être transférés.
• Par prudence, les données brutes restent dans le pays ; ne circulent que des synthèses pseudonymisées, qui restent des données personnelles et voyagent sous clauses intragroupe.
• La confidentialité des travaux varie : secret professionnel en France, privilege à Hong Kong, protection limitée au Mexique, obligation de discrétion de l'avocat sans protection procédurale en Chine.
• Pas de réponse directe à une autorité étrangère qui demande des preuves sans analyse préalable : loi de blocage côté français, autorisation exigée côté chinois.

Une enquête conduite dans un groupe international ne relève pas d'un droit unique. Chaque filiale a son propre employeur, ses obligations sociales, ses règles de confidentialité et ses contraintes sur les données personnelles. Les différences culturelles pèsent aussi sur les auditions et sur la manière de signaler des faits sensibles. Une procédure conçue en France peut produire, ailleurs, une preuve difficilement utilisable, exposer à une infraction locale ou méconnaître la protection d'un salarié. Un transfert de données irrégulier aggrave ces risques. La méthode française est donc un point de départ à adapter, non un modèle à reproduire tel quel.

1. La gouvernance : qui décide, qui enquête, qui reçoit le rapport

Une filiale est une personne morale distincte, avec son employeur, ses organes et son droit. La maison mère qui veut faire la lumière sur des faits survenus à Hong Kong, à Mexico ou à Casablanca n'a pas, en sa seule qualité d'actionnaire, le pouvoir de convoquer les salariés de sa filiale : elle fait décider l'enquête par les organes de celle-ci, qui mandatent l'enquêteur, ou reçoit de la filiale une délégation écrite, et l'enquêteur reste coordonné avec l'équipe du groupe. Une lettre de mission par entité fixe qui enquête, sous quel droit, qui reçoit le rapport et ce qui remonte à la maison mère. Lorsque la société mère est soumise à la loi Sapin II et établit des comptes consolidés, ses obligations couvrent ses filiales et les sociétés qu'elle contrôle, et le dispositif d'alerte peut être commun (loi Sapin II, article 17 ; article 8, C). Un comité d'enquête réunissant la direction juridique du groupe, le référent alerte et l'avocat coordonnateur évite des démarches dispersées par pays.

2. Le droit local des auditions, pays par pays

À Hong Kong, l'Employment Ordinance encadre la relation de travail ; la Sex Discrimination Ordinance et les codes de pratique de l'Equal Opportunities Commission régissent les plaintes pour harcèlement sexuel, et l'employeur peut répondre des actes de ses salariés, sauf mesures raisonnables de prévention. La Personal Data (Privacy) Ordinance protège les comptes rendus.

Au Mexique, l'article 132 de la Ley Federal del Trabajo impose à l'employeur un protocole de prévention des discriminations liées au genre et de traitement des violences et du harcèlement. La norme NOM-035-STPS-2018 prévoit des mécanismes de plainte, dont la confidentialité doit être organisée. La convention 190 de l'Organisation internationale du travail, ratifiée par le Mexique, et les tribunaux du travail complètent ces repères.

En Chine, le droit du travail applicable, la loi sur la protection des informations personnelles, qui prévoit ses propres bases de traitement, et les restrictions liées aux secrets d'État encadrent chaque audition ; les autorités peuvent imposer une coopération. Le cabinet associe un confrère local à chaque étape.

En Afrique, aucun acte uniforme de l'OHADA ne régit le droit du travail : chaque pays a son code du travail, son inspection du travail et, de plus en plus souvent, sa loi sur les données personnelles, comme la loi 09-08 au Maroc, la loi 2013-450 en Côte d'Ivoire ou la loi 2008-12 au Sénégal ; le cabinet s'appuie sur un confrère local. Dans tous les cas, les auditions suivent le droit du pays où travaille le salarié.

3. Les transferts de données : ce qui peut quitter le pays

Un compte rendu d'audition est un fichier de données personnelles. Au sens du RGPD, son traitement repose sur l'intérêt légitime de l'employeur ou sur son obligation légale de protéger la santé et la sécurité des salariés, et non sur le consentement des personnes, que le déséquilibre de la relation de travail rend, en principe, inadapté : les personnes sont informées, elles ne sont pas invitées à consentir. Depuis l'Union européenne, son transfert vers Hong Kong, le Mexique ou la Chine suppose, faute de décision d'adéquation, des garanties appropriées, en pratique des clauses contractuelles types intragroupe et une analyse d'impact du transfert (RGPD, chapitre V). Dans l'autre sens, chaque pays pose ses conditions. En Chine, la loi sur la protection des informations personnelles soumet la sortie des données à une évaluation de sécurité, à un contrat type ou à une certification, sauf les exemptions introduites en mars 2024, dont celle des transferts nécessaires à la gestion transfrontalière des ressources humaines selon des règles internes régulièrement adoptées ; elle exige en principe un consentement distinct pour le transfert, exigence que les lignes directrices de l'administration chinoise écartent lorsque le traitement repose sur une autre base légale, point à confirmer avec le confrère local, et interdit, par son article 41, de fournir des données stockées en Chine à une autorité judiciaire ou répressive étrangère sans autorisation. À Hong Kong, l'ordonnance sur les données personnelles encadre la collecte et l'usage, sa restriction propre aux transferts internationaux, la section 33, n'étant toujours pas entrée en vigueur, et le Privacy Commissioner recommande des clauses contractuelles. Au Mexique, la loi fédérale sur la protection des données personnelles détenues par les particuliers, refondue en mars 2025 et désormais contrôlée par le Secrétariat anticorruption et bon gouvernement, impose un avis de confidentialité et, en principe, le consentement, tacite ou exprès selon la nature des données, sous réserve des exceptions légales, dont le périmètre se vérifie au cas par cas.

En pratique, et par prudence plus que par obligation : les données brutes restent dans le pays, sur les serveurs de la filiale ; seules des synthèses pseudonymisées sont transférées, et elles restent des données personnelles soumises aux mêmes règles ; les personnes sont informées ; et un accord intragroupe écrit répartit les responsabilités.

4. La confidentialité des travaux selon les pays

En France, les travaux de l'avocat remis à son client relèvent du secret professionnel lorsqu'il enquête comme conseil de l'entreprise (article 66-5 de la loi du 31 décembre 1971). À Hong Kong, le legal professional privilege distingue le legal advice privilege, relatif aux conseils juridiques, et le litigation privilege, lié aux procédures contentieuses envisagées ou engagées. Au Mexique, le secret professionnel existe, mais sa protection procédurale peut être plus limitée. En Chine, l'avocat est tenu à la confidentialité par l'article 38 de la loi sur les avocats, mais cette obligation ne crée pas de protection procédurale comparable au privilege : les documents peuvent être saisis et des obligations de coopération avec les autorités peuvent intervenir. Il faut donc déterminer où rédiger et conserver les analyses sensibles, puis limiter leur diffusion entre filiales. Le guide Pourquoi confier l'enquête interne à un avocat ? détaille le secret professionnel français.

5. La langue et les codes culturels dans l'audition

Un témoin entendu dans sa langue, par un avocat qui connaît ses codes, ne s'exprime pas de la même manière qu'à travers un interprète. À Hong Kong ou en Chine, selon les personnes et les milieux, le rapport à la hiérarchie, le souci de ne pas faire perdre la face et la parole indirecte font qu'un « oui » de politesse n'est pas toujours un acquiescement et qu'une mise en cause d'un supérieur passe souvent par des détours. Au Mexique, la loyauté au groupe et la crainte des représailles pèsent sur ce qui est dit en entretien. En Afrique francophone, la langue de l'audition n'est pas toujours celle de l'entreprise, et les usages de la parole publique varient d'un pays à l'autre. MOSAIK conduit les auditions en français, en anglais, en cantonais, en mandarin et en espagnol, depuis Paris, Hong Kong et Mexico, et travaille avec des confrères locaux en Afrique et en Chine. Le compte rendu est rédigé dans la langue de l'audition et, lorsque le droit local et la personne entendue l'admettent, signé sur place ; une traduction certifiée est préparée si un contentieux se profile, en France ou ailleurs.

6. La loi de blocage et les demandes d'autorités étrangères

L'article 1 bis de la loi du 26 juillet 1968, dite loi de blocage, interdit, sous réserve des traités et des textes applicables, de demander, de rechercher ou de communiquer des documents ou renseignements d'ordre économique, commercial, industriel, financier ou technique tendant à la constitution de preuves en vue de procédures judiciaires ou administratives étrangères. Transmettre directement à une autorité ou à un tribunal étranger les pièces d'une enquête qui relèvent de ces catégories, lorsqu'elles sont destinées à servir de preuve dans une procédure étrangère, tombe donc sous le coup de cette interdiction, sauf traité ou texte applicable, même en passant par une filiale ; des sanctions pénales sont prévues. Des comptes rendus d'audition sur un harcèlement n'en relèvent pas nécessairement, mais des pièces comptables, contractuelles ou techniques, si : d'où une analyse pièce par pièce. La voie est celle de l'entraide judiciaire internationale, avec le point de contact de l'administration française. La loi chinoise sur la protection des informations personnelles interdit de son côté, sans autorisation, la transmission de données stockées en Chine aux autorités judiciaires ou répressives étrangères. Ne répondez pas sans analyse juridique préalable : faites intervenir l'avocat et documentez chaque échange.

7. Quand l'enquête révèle un risque de corruption ou de sanctions : vérifications d'intégrité des tiers

Une enquête RH met parfois au jour autre chose : des commissions versées à un intermédiaire, un fournisseur lié à un salarié, un client sous sanctions. Dans les sociétés d'au moins cinq cents salariés, ou appartenant à un groupe dont la société mère a son siège en France et compte au moins cinq cents salariés, dont le chiffre d'affaires, le cas échéant consolidé, dépasse cent millions d'euros, les dirigeants doivent, et la société avec eux, au titre de la loi Sapin II, article 17, cartographier les risques de corruption et de trafic d'influence et évaluer les clients, fournisseurs de premier rang et intermédiaires ; les autres y ont intérêt dès qu'elles opèrent dans des pays exposés, car le Foreign Corrupt Practices Act américain, le Bribery Act britannique et les régimes de sanctions de l'Union européenne et des États-Unis s'appliquent bien au-delà de leurs frontières. Les vérifications d'intégrité, souvent appelées KYC pour les personnes et KYB pour les sociétés, consultent les registres des bénéficiaires effectifs, les listes de sanctions, les registres du commerce locaux, le Companies Registry à Hong Kong par exemple, les décisions de justice publiées et la presse. Elles restent proportionnées : le traitement de données relatives aux condamnations pénales est strictement encadré par le RGPD, et les vérifications sur un candidat ou un salarié en France ne peuvent porter que sur des informations ayant un lien direct et nécessaire avec l'emploi (article L. 1221-6 du code du travail), les méthodes utilisées devant lui être annoncées (article L. 1221-8). Nos pages Affaires internationales et Droit douanier prolongent ce volet.

Avant toute vérification d'intégrité, définissez précisément son objet : bénéficiaires effectifs, sanctions applicables, condamnations rendues publiques ou liens d'intérêts avec des salariés. Privilégiez les registres officiels et les sources publiques fiables. Conservez les sources consultées, la date des recherches et la justification des données retenues. L'article 10 du RGPD encadre strictement le traitement des informations relatives aux condamnations pénales : leur publication ne suffit pas à autoriser leur collecte. Un intermédiaire sans activité réelle, une commission inexpliquée, une société écran ou un refus de répondre appelle une réaction proportionnée : vérifications complémentaires, garanties contractuelles ou refus de contracter.

8. Le protocole en huit points pour une filiale étrangère

1. La décision : les organes de la filiale décident l'enquête et mandatent l'enquêteur ; la lettre de mission fixe le droit applicable, le périmètre et les destinataires du rapport.
2. L'analyse de droit local avant toute audition : obligations de l'employeur, droits des personnes entendues, règles de preuve, présence éventuelle d'un représentant ou d'un conseil.
3. Le gel et la sauvegarde des données sur place : messageries, fichiers, journaux d'accès, copies horodatées et chaîne de conservation documentée, sans transfert hors du pays à ce stade.
4. L'information des personnes selon la loi locale : finalité, destinataires, droits d'accès et de rectification, durée de conservation.
5. Les auditions dans la langue de la personne, par un enquêteur qui connaît ses codes, avec un compte rendu relu par elle.
6. Le rapport rédigé et conservé là où il est le mieux protégé, en distinguant les faits établis, les faits non établis et l'analyse juridique.
7. Le transfert au groupe de synthèses pseudonymisées, sous clauses contractuelles intragroupe et après analyse d'impact du transfert.
8. L'exploitation : sanction selon le droit local du travail, plainte éventuelle après analyse locale, entraide judiciaire pour toute autorité étrangère, archivage limité dans le temps.

Ce qui change selon les faits

Là où le cabinet a un bureau, Hong Kong et Mexico, l'enquête est conduite sur place par l'équipe ; ailleurs, en Afrique et en Chine, elle l'est en coordination avec un confrère local qui connaît le droit du travail et les usages du pays. Les actions qui entourent l'enquête, canal de signalement, campagnes d'information et formations des managers, sont adaptées au pays et à la langue des équipes, de sorte qu'un groupe dispose d'un dispositif cohérent sur l'ensemble de ses sites. Des faits pénaux à l'étranger appellent une analyse locale avant toute plainte, car la plainte peut déclencher des pouvoirs d'enquête que l'entreprise ne maîtrise plus. Un salarié expatrié sous contrat de droit français reste soumis à la loi choisie, mais, devant le juge français, il ne peut être privé de la protection des dispositions impératives de la loi du pays où il travaille habituellement lorsqu'il y est affecté durablement et non en simple mission (règlement Rome I, article 8) ; les règles locales s'appliquent en tout cas à l'audition. Un groupe soumis à la loi Sapin II articule l'enquête avec son dispositif anticorruption. Une demande de preuves émanant d'une autorité étrangère modifie l'approche : elle se traite en principe par l'entraide, jamais par une réponse directe sans analyse de la loi de blocage. Pour la méthode commune à toutes les enquêtes, voir Comment mener une enquête interne pour harcèlement ou discrimination ? ; pour le rôle de l'avocat et la confidentialité, Pourquoi confier l'enquête interne à un avocat ? ; pour le cadre général, la page Enquêtes internes et nos pages Hong Kong et Mexique.