I. - Les signalements sont retracés dans un registre tenu par le référent alerte directionnel, dans des conditions garantissant la confidentialité des informations.

II. - Seules les informations suivantes peuvent y être mentionnées :

- ouverture du dossier de signalement avec indication de la date d'envoi par l'auteur du signalement et de sa date de réception ;

- identité, fonctions et coordonnées de l'auteur du signalement ;

- identité, fonctions et coordonnées de la ou des personnes faisant l'objet du signalement ;

- identité, fonctions et coordonnées des personnes intervenant dans la réception, l'examen de la recevabilité et le traitement du signalement ;

- faits, actes, menaces ou préjudices signalés ;

- éléments recueillis dans le cadre de l'examen de la recevabilité et du traitement du signalement, notamment la date, la nature et le contenu des échanges avec l'auteur du signalement, avec la ou les personnes faisant l'objet du signalement et autres tiers ;

- compte rendu des opérations de recevabilité et de traitement du signalement ;

- suites données au signalement, y compris les dates de clôture et de suppression des éléments du dossier de signalement.

Les éléments recueillis sont limités aux domaines concernés par le signalement. Les formulations utilisées pour décrire la nature des faits, actes, menaces ou préjudices signalés font apparaître leur caractère présumé.

III. - Les informations mentionnées au II ne sont accessibles qu'au référent alerte directionnel et aux agents habilités, mentionnés au deuxième alinéa de l'article 4 du présent arrêté. Ceux-ci sont destinataires de tout ou partie des informations mentionnées au II à raison de leurs attributions ‎respectives et dans la limite du besoin d'en connaître.

Les agents mentionnés au deuxième alinéa de l'article 4 ont accès aux seules informations nécessaires à l'enregistrement, l'examen de la recevabilité et au traitement des signalements dont ils ont la charge.

IV. - Lorsque le dispositif d'alerte mis en œuvre prend la forme d'un traitement automatisé de données à caractère personnel, il doit faire l'objet d'une mise en conformité en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données).