Lanceur d'alerte en entreprise : les nouvelles protections renforcées
La loi Waserman du 21 mars 2022, transposant la directive européenne de 2019, a profondément renforcé la protection des lanceurs d'alerte. Les entreprises de 50 salariés et plus doivent avoir mis en place une procédure interne de signalement. Le non-respect de ces obligations expose à des sanctions sévères.
La nouvelle définition du lanceur d'alerte
La loi de 2022 a élargi la définition du lanceur d'alerte. Est désormais un lanceur d'alerte toute personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur :
- Un crime ou un délit
- Une menace ou un préjudice pour l'intérêt général
- Une violation ou une tentative de dissimulation d'une violation du droit de l'Union européenne
La condition de désintéressement a été assouplie : le lanceur d'alerte peut être financièrement intéressé par la situation signalée (par exemple, un salarié dénonçant une fraude qui lui cause personnellement préjudice), dès lors qu'il n'a pas reçu de contrepartie financière directe pour son signalement.
Le lanceur d'alerte n'a plus besoin d'avoir une connaissance personnelle des faits. Il peut relayer des informations dont il a eu connaissance dans le cadre de ses activités professionnelles.
La procédure de signalement interne obligatoire
Les entreprises concernées
Toute entreprise employant au moins 50 salariés doit mettre en place une procédure interne de recueil et de traitement des signalements (article 8 de la loi Waserman et décret du 3 octobre 2022).
Le contenu de la procédure
La procédure doit prévoir :
- Un canal de réception des signalements garantissant la confidentialité de l'identité du lanceur d'alerte et des personnes visées
- La désignation d'un référent chargé de recevoir et traiter les signalements (personne physique ou entité collégiale)
- Un accusé de réception du signalement dans un délai de 7 jours
- Une information sur les suites données dans un délai raisonnable ne dépassant pas 3 mois
- La communication de la procédure aux salariés et la possibilité d'y accéder facilement
Le choix du canal
Le lanceur d'alerte n'est plus tenu de suivre une hiérarchie des canaux. Il peut choisir de :
- Alerter par le canal interne de l'entreprise
- Saisir directement une autorité externe compétente (Défenseur des droits, ACPR, AMF, ARS, etc.)
- Procéder à une divulgation publique en dernier recours, si les canaux précédents n'ont pas donné de résultat dans les délais
L'abandon de la hiérarchie des canaux est un changement majeur par rapport à la loi Sapin II de 2016.
Les protections renforcées
Protection contre les représailles
Le lanceur d'alerte bénéficie d'une protection étendue contre toutes formes de représailles : licenciement, sanction disciplinaire, discrimination, rétrogradation, mutation forcée, refus de promotion, harcèlement, mise à l'écart.
Cette protection s'étend aux facilitateurs (personnes physiques ou morales qui aident le lanceur d'alerte) et aux personnes en lien avec le lanceur d'alerte (collègues, proches).
Nullité des actes de représailles
Tout acte de représailles est nul de plein droit (article L. 1132-3-3 du Code du travail). Le licenciement d'un lanceur d'alerte est nul, ouvrant droit à réintégration ou à une indemnisation minimale de 6 mois de salaire.
Aménagement de la charge de la preuve
En cas de litige, le lanceur d'alerte doit simplement établir qu'il a effectué un signalement ou une divulgation. C'est ensuite à l'employeur de prouver que sa décision est justifiée par des éléments objectifs étrangers au signalement.
Irresponsabilité pénale
Le lanceur d'alerte ne peut pas être poursuivi pénalement pour avoir obtenu ou divulgué les informations signalées, dès lors qu'elles étaient nécessaires et proportionnées à la sauvegarde des intérêts en cause. Cette immunité ne couvre pas les infractions commises pour obtenir les informations (vol, intrusion dans un système informatique).
Les obligations de confidentialité
L'identité du lanceur d'alerte
L'identité du lanceur d'alerte, des personnes visées et de toute personne mentionnée dans le signalement est strictement confidentielle. Sa divulgation est punie de 2 ans d'emprisonnement et 30 000 euros d'amende.
Les données personnelles
Le traitement des données personnelles dans le cadre du dispositif de signalement est soumis au RGPD. Les données doivent être conservées pour une durée proportionnée et supprimées dans un délai de 2 mois après la clôture de l'ensemble des opérations de vérification, sauf procédure judiciaire en cours.
Les risques pour l'employeur
En cas d'absence de procédure
L'absence de mise en place de la procédure de signalement expose l'entreprise à des sanctions et constitue un facteur aggravant en cas de contentieux. Le salarié lanceur d'alerte qui n'a pas pu utiliser un canal interne sera d'autant plus légitime à recourir à un canal externe ou à une divulgation publique.
En cas de représailles
Les dommages-intérêts pour représailles contre un lanceur d'alerte sont significatifs. Au-delà de l'indemnisation du préjudice subi, le juge peut ordonner la publication de la décision et le remboursement des frais de procédure du lanceur d'alerte.
Le risque réputationnel
La médiatisation d'une affaire de représailles contre un lanceur d'alerte est désastreuse pour l'image de l'entreprise. La mise en place d'un dispositif interne efficace est la meilleure prévention.
Les actions à mener
- Mettre en place la procédure de signalement si ce n'est pas déjà fait
- Désigner un référent formé et indépendant
- Informer les salariés de l'existence du dispositif et des modalités de saisine
- Former les managers à réagir correctement en cas de signalement (ne pas entraver, ne pas exercer de représailles)
- Documenter le traitement de chaque signalement pour démontrer la diligence de l'entreprise
La protection des lanceurs d'alerte n'est plus une option mais une obligation structurelle pour les entreprises de 50 salariés et plus. Le dispositif doit être opérationnel et connu de tous.