Quelles obligations pour les entreprises ?
Le 23 octobre 2019, la directive européenne sur la protection des personnes qui signalent des violations du droit de l’Union a été adoptée par le Parlement européen et le Conseil de l’Europe. Le nouveau régime de protection des lanceurs d’alerte devait être transposé par les Etats membres avant le 17 décembre 2021. Avec du retard, c’est en février 2022 que la loi française de transposition a été adoptée. Julie Bellesort, Avocat associé chez KPMG Avocats, revient sur la transposition de la directive européenne de protection des lanceurs d’alerte lors d’un webinaire organisé par EQS Group.
La loi française de transposition, prenant la forme d’une loi ordinaire proposée par le député Sylvain Waserman, constitue selon ce dernier “la meilleure protection des lanceurs d’alerte en Europe”.
Après une consultation publique lancée en janvier 2021 et l’évaluation de la loi Sapin 2 par les députés Raphaël Gauvain et Olivier Marleix proposant des pistes d’amélioration, la transposition de la directive européenne renforce la protection des lanceurs d’alerte, tout en s’inscrivant dans un mouvement d’homogénéisation au niveau européen.
La transposition de la directive européenne prend la forme de deux propositions de loi, une ordinaire visant à améliorer la protection du lanceur d’alerte, et une organique renforçant le rôle du Défenseur des droits. La proposition de loi a été adoptée par l’Assemblée nationale le 17 novembre 2021 avant d’être modifiée par le Sénat le 20 janvier 2022. La Commission Mixte Paritaire propose un texte de compromis le 1er février 2022 qui a été adopté par l’Assemblée nationale le 8 février 2022, puis par le Sénat le 16 février 2022. Le décret publié le 3 octobre 2022 est venu en préciser les modalités d’application.
Par exigence procédurale, le Conseil constitutionnel a été saisi par le Premier ministre de la conformité de la loi organique renforçant le rôle du Défenseur des droits, mais aussi de la loi ordinaire lui faisant bénéficier d’un contrôle a priori de constitutionnalité.
Un long chemin procédural qui permet à cette loi de transposition de modifier le régime français de protection des lanceurs d’alerte à plusieurs égards.
La définition du lanceur d’alerte élargie
La définition du lanceur d’alerte issue de la loi de transposition de la directive élargit le champ d’application actuel. Le lanceur d’alerte est désormais toute personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur :
- un crime,
- un délit,
- une menace ou un préjudice pour l’intérêt général,
- une violation ou une tentative de dissimulation d’une violation du droit international ou de l’Union européenne, de la loi ou du règlement.
Un changement important est donc à signaler puisque les termes “de manière désintéressée”, “menace grave et manifeste” et “connaissance personnelle” disparaissent du texte pour laisser place à une définition plus simple multipliant les situations concernées. Désormais, il est question d’une absence de contrepartie financière directe, d’une menace ou d’un préjudice simple, et de faits simplement rapportés dans le contexte professionnel.
La protection du lanceur d’alerte indéniablement renforcée
En France, certaines mesures de protection existaient déjà, notamment l’interdiction des représailles, l’irresponsabilité pénale, l’amende civile renforcée en cas d’action en diffamation contre le lanceur d’alerte et les sanctions pénales en cas d’obstacle au signalement.
Dorénavant, la liste des représailles interdites est élargie tout comme la liste des personnes protégées, et l’étendue de l’irresponsabilité pénale et civile. De plus, l’amende pour procédures-bâillons est doublée passant à 60 000 euros, les discriminations à l’encontre des lanceurs d’alerte sont davantage réprimées, et le lanceur d’alerte pourra bénéficier d’une provision pour les frais de justice en cas de représailles ou de procédure-bâillon.
La directive européenne est également l’occasion d’une nouveauté ouvrant certaines protections du régime de protection des lanceurs d’alerte – comme la protection contre les représailles – à celles et ceux qui aident le lanceur d’alerte, les “facilitateurs”. Alors que les facilitateurs sont, aux termes de la directive européenne, uniquement les personnes physiques, la loi de transposition est allée plus loin en étendant la notion de facilitateurs à toute personne physique ou morale de droit privé à but non lucratif. Désormais, le lanceur d’alerte n’est plus seul !
La fin des signalements en cascade
L’actuel article 8 de la loi Sapin 2 impose une procédure de signalement menant à des signalement en cascade ; en interne, puis en externe, avant de finir probablement par une divulgation publique. Le nouveau régime de protection donne la possibilité au lanceur d’alerte de signaler par les canaux interne ou externe. La divulgation publique quant à elle demeure bien évidemment possible, sous certaines conditions.
Le décret du 3 octobre est venu préciser qui sont les autorités compétentes composant ce canal externe de signalement avec une liste de près de 50 autorités. Elles peuvent être directement sollicitées par le lanceur d’alerte. Il s’agit par exemple des autorités judiciaires, des institutions de l’Union mais aussi du Défenseur des droits.
Le rôle du Défenseur des droits a également été élargi. Le lanceur d’alerte pourra s’appuyer sur son soutien précieux. Ce dernier pourra désormais orienter, informer et conseiller les lanceurs d’alerte. Il aura également la possibilité de défendre les lanceurs d’alerte et les facilitateurs, et pourra rendre un avis sur la qualité de lanceur d’alerte d’une personne pour qu’elle bénéficie de la protection. Un adjoint au Défenseur des droits est institué et aura pour mission de recevoir les alertes, les traiter ou orienter les lanceurs d’alerte vers la bonne autorité.
Lanceurs d’alerte, tous concernés !
Toutes les entreprises de 50 salariés et plus devront mettre en place une procédure interne de recueil des signalements. Pour le secteur public, ce sont toutes les entités de 50 agents et plus, les communes de plus de 10 000 habitants et toutes les administrations de l’Etat. Pour les entreprises de moins de 50 salariés, aucune obligation. Cependant elles sont encouragées à mettre volontairement en place un système de recueil des signalements pour éviter des signalements externes systématiques.
Les dispositifs d’alerte et de protection des lanceurs d’alerte doivent être intégrés dans le règlement intérieur de l’entité. Se pose la question de savoir s’il est nécessaire d’intégrer le dispositif d’alerte au règlement intérieur lorsque le code de conduite présentant le dispositif y est annexé. Pour Julie Bellesort “il n’y a pas de difficulté si vous avez bien respecté la procédure” toutefois elle précise “objectivement avec les modifications des procédures, vous allez devoir modifier le code de conduite et recommencer la procédure”.
La question des alertes mutualisées
Les entreprises de moins de 250 salariés peuvent partager des ressources concernant la réception des signalements et les enquêtes menées. La Commission européenne a confirmé le 2 juin 2021 que la mutualisation des moyens n’était possible que pour les sociétés comptant entre 50 et 249 salariés, qu’elles soient ou non du même groupe.
Il est toutefois possible :
- pour les filiales de moins de 250 salariés de bénéficier des moyens d’investigation de leur société mère à condition que des canaux de signalement restent disponibles pour les filiales, que le lanceur d’alerte puisse s’opposer à la remontée d’information vers la société mère et qu’il bénéficie d’un retour d’information au niveau de la filiale ;
- de porter à la connaissance de la société mère les signalements révélant des problèmes structurels au sein du groupe afin qu’ils soient traités de manière transversale, à condition toutefois que le lanceur d’alerte donne son accord ;
- de rendre accessible aux salariés des filiales la procédure de signalement établie par la société mère, leur laissant le choix du niveau auquel ils souhaitent effectuer leur signalement.
Julie Bellesort met en lumière le fait qu’un autre paragraphe prévoit que “la procédure de recueil et de traitement peut être commune à plusieurs ou à l’ensemble des sociétés d’un groupe”. Le décret d’application de la loi vient préciser les modalités de cette mise en commun. Cette dernière ne pourra intervenir qu’après une décision concordante des organes compétents au sein des entités concernées. Il faudra également faire être vigilant afin d’assurer le respect du RGPD. Le partage des ressources concerne le canal de réception des signalements et l’évaluation de la véracité des faits signalés. Même en cas de mise en commun, les autres obligations des entités restent les mêmes (remédiation, confidentialité, publicité etc.). enfin le seuil de 250 salariés est valide à la clôture de 2 exercices consécutifs.
La procédure de signalement : la transparence pour le lanceur d’alerte
Le décret d’application de la loi a apporté plusieurs précisions sur les modalités de procédure de recueil et de traitement des signalements.
Tout d’abord, un signalement doit pouvoir être déposé sous forme écrite ou orale et être accompagné de tout complément d’information, quel qu’en soit le support ou le format. Si le recueil des signalements peut être confié à un tiers, ce dernier est tenu aux obligations applicables à l’entité. Un fois une alerte lancée, l’entité dispose de 7 jours pour en accuser de réception et doit tenir le lanceur d’alerte, si tant est qu’il ne soit pas anonyme, informé :
- en cas d’irrecevabilité et sur les raisons de cette irrecevabilité ;
- en cas de recevabilité des mesures envisagées ou prises pour remédier à la situation dans les 3 mois suivant l’accusé de réception de son alerte ;
- lors de la clôture du dossier.
Doivent être précisées dans la procédure d’alerte :
- les suites données aux alertes jugées irrecevables ;
- la procédure de traitement des alertes anonymes ;
- les personnes ou services en charge de recueil et traitement des alertes.
Les personnes ou services en charge du recueil et du traitement des signalements doivent être en mesure de le faire de façon impartiale et doivent donc disposer des compétences, de l’autorité ainsi que des moyens nécessaires.
Dans la continuité de la loi Sapin 2, la confidentialité et l’intégrité des informations communiquées lors du signalement doivent être garanties par la procédure de traitement de ces signalements et ces informations ne peuvent pas être accessibles à d’autres personnes que celles désignées dans la procédure.
Enfin la loi Waserman introduit une obligation de publicité de cette procédure d’alerte. L’entité doit mettre à disposition des informations claires et accessibles de façon permanente par les personnes concernées, sur la procédure d’alerte (par voie électronique ou sur le site par exemple).
Et maintenant ?
Si ce n’est pas déjà le cas, il est temps d’adapter sa procédure interne de recueil et de traitement des signalements pour être en conformité ! Et si vous vous contentez seulement d’une boîte e-mail, on a quelques arguments pour vous convaincre de changer d’avis !
Transposition de la directive européenne sur la protection des lanceurs d’alerte en droit français
Télécharger gratuitement le livre blanc en collaboration avec KPMG Avocats.
