Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter
En octobre 2019, la directive sur la protection des lanceurs d’alerte a été officiellement adoptée, marquant une étape importante dans le domaine du travail en établissant de nouvelles obligations pour la mise en œuvre de canaux de signalement internes dans les entreprises. L’objectif principal de cette réglementation est de garantir que tout employé dispose d’un outil facilitant la divulgation d’éventuelles infractions ou irrégularités au sein de l’entreprise, tout en veillant à ce que la confidentialité du lanceur d’alerte soit protégée.
Bien que cette directive établisse des lignes directrices générales pour l’ensemble de l’Union européenne, chaque pays a dû la développer spécifiquement, en l’adaptant aux besoins particuliers de son tissu économique.
La directive sur les lanceurs d’alerte dans le droit espagnol
Ainsi, en Espagne, cette directive a été transposée par la loi 2/2023 du 20 février 2023, régissant la protection des personnes qui signalent des infractions réglementaires et la lutte contre la corruption, publiée au BOE le 21 février 2023 et en vigueur depuis mars de la même année, bien qu’avec des particularités selon la taille de l’entreprise.
Qui est protégé par la loi espagnole ?
La loi 2/2023 protège toute personne qui, dans un contexte professionnel ou de travail, a obtenu des informations sur des actes répréhensibles présumés, que ce soit dans le secteur public ou privé. Plus précisément, la protection s’étend aux lanceurs d’alerte suivants :
- Les travailleurs salariés et les travailleurs indépendants.
- Les actionnaires, les participants et les membres de l’organe d’administration, de direction ou de surveillance d’une entreprise.
- Le personnel des contractants, sous-traitants et fournisseurs.
- Les bénévoles, les stagiaires et les travailleurs en période de formation, rémunérés ou non.
- Outre les lanceurs d’alerte, la loi protège également :
- Les personnes physiques qui assistent l’auteur du signalement au sein de l’organisation.
- Les personnes physiques liées à l’auteur du signalement qui pourraient subir des représailles, telles que des collègues de travail ou des membres de la famille.
- Les personnes morales pour lesquelles l’auteur du signalement travaille, avec lesquelles il entretient tout type de relation de travail ou dans lesquelles il détient une participation significative.
Quelles entreprises sont concernées par la loi 2/2023 ?
Les entreprises de 50 salariés ou plus, qui auront l’obligation de mettre en œuvre un système d’information, garantissant simultanément la protection des auteurs de signalement (qui peuvent inclure des personnes autres que les employés).
Comme stipulé dans le BOE, les entreprises disposaient d’un délai de 3 mois pour s’adapter à compter de l’entrée en vigueur de la loi, avec deux échéances selon la taille de l’effectif :
- Les entreprises de plus de 249 travailleurs devaient être adaptées au 13 juin 2023.
- Les entreprises comptant entre 50 et 249 travailleurs devaient être adaptées au 1er décembre 2023.
En d’autres termes, toutes les entreprises doivent déjà se conformer à l’ensemble des préceptes de la directive européenne et de la loi nationale.
Quelles sont les principales nouveautés introduites par la loi par rapport à la directive ?
Cette loi développe les dispositions de la directive et introduit quelques nouveautés.
- La directive sur les lanceurs d’alerte élargit le champ des communications protégées (violations du droit de l’Union européenne ; domaines spécifiques énumérés à l’annexe I de la directive ; questions affectant les intérêts financiers de l’Union et le marché intérieur ; infractions administratives graves ou très graves ; ou infractions pénales) et oblige les entités publiques et privées de 50 salariés ou plus à mettre en œuvre des canaux de signalement internes.
- En outre, elle exige le traitement effectif et l’intégration de tous les canaux dans un système interne unique, le respect des garanties et droits minimaux, et permet les signalements anonymes.
- Elle prévoit la création d’une autorité indépendante de protection des lanceurs d’alerte et légitime la divulgation publique des violations dans certains cas.
- Elle exige également que l’organe de direction désigne un responsable du système interne et propose des mesures de protection, y compris un soutien financier au lanceur d’alerte.
Quelles sont les principales obligations des entreprises en vertu de cette loi ?
Les entreprises doivent informer et faire connaître l’utilisation du canal interne ainsi que les principes fondamentaux de sa procédure de gestion. Si l’entreprise possède un site web, le canal doit être visible sur la page d’accueil, dans une section distincte et facilement identifiable.
Quelles violations peuvent être signalées en vertu de cette loi ?
La loi espagnole va au-delà de la directive sur les lanceurs d’alerte et, en plus des infractions au droit de l’UE mentionnées dans la directive, permet le signalement de toute infraction pénale ou administrative grave ou très grave au système juridique espagnol, en particulier celles causant un préjudice économique au Trésor public et à la Sécurité sociale.
L’information ou la communication doit être faite de bonne foi et honnêtement, sur la base de motifs raisonnables quant à la véracité de l’infraction possible, et doit entrer dans le champ de protection de la loi.
Toutefois, la loi 2/2023 exclut expressément de son champ d’application les cas régis par des réglementations spécifiques, les obligations de protection du secret professionnel et les informations classifiées.
Quel est le délai maximal pour l’enquête sur le signalement ?
L’entreprise doit confirmer la réception de l’information ou de la communication au lanceur d’alerte dans les 7 jours suivant sa réception.
L’enquête sur les signalements reçus ne doit pas dépasser 3 mois, bien que ce délai puisse être porté à 6 mois dans des cas d’une complexité exceptionnelle.
Par quels canaux les violations peuvent-elles être signalées ?
Il n’existe pas de canal d’information unique, mais les communications relatives aux infractions ou irrégularités peuvent être acheminées par divers moyens :
- Le canal interne de l’entreprise.
- Le canal externe, c’est-à-dire l’Autorité indépendante de protection des lanceurs d’alerte (AAI).
Enfin, la divulgation publique (plateformes web, réseaux sociaux, médias, etc.) est possible lorsque les canaux internes ou externes n’ont pas fonctionné correctement, qu’il existe une menace imminente pour l’intérêt public, ou qu’il existe un risque de représailles ou d’absence de traitement effectif.
Qui est responsable de la mise en place de ce système au sein de l’entreprise ?
L’organe de direction de l’entreprise est responsable de la mise en œuvre du système, après consultation de la représentation légale des travailleurs.
Le système doit comprendre un responsable désigné par l’organe de direction, qui doit être un cadre de l’entreprise et agir de manière indépendante. Cette fonction peut être exercée par le responsable de la conformité (compliance officer).
Quel est le régime de sanctions et quelles sont les peines prévues ?
Le régime de sanctions établi par la loi est spécifique et prévoit des amendes pour les personnes physiques ou morales qui commettent des infractions caractérisées, l’Autorité indépendante ayant le pouvoir d’imposer ces sanctions.
Les infractions graves incluent le défaut de mise en œuvre du système d’information ou les représailles contre les lanceurs d’alerte, avec des amendes importantes allant jusqu’à 300 000 euros pour les personnes physiques, et jusqu’à 1 000 000 d’euros pour les personnes morales (avec une amende minimale de 30 001 euros pour les personnes physiques et de 600 001 euros pour les personnes morales). Les amendes pour infractions très graves dépassant 600 001 € imposées aux personnes morales pourraient être publiées au Bulletin officiel de l’État une fois que la résolution administrative est devenue définitive.
De même, des sanctions accessoires telles que des réprimandes, l’interdiction d’obtenir des subventions ou des avantages fiscaux pour une durée maximale de 4 ans, et l’interdiction de contracter avec le secteur public jusqu’à 3 ans peuvent être appliquées.
L’absence de système d’information peut également affecter la responsabilité pénale des personnes morales selon l’article 31 bis du Code pénal. En outre, le non-respect de ces réglementations pourrait entraîner des sanctions administratives en matière de protection des données.
Conformité à la loi 2/2023 : la plateforme de signalement de Trusty est conçue pour répondre aux exigences de la directive européenne sur les lanceurs d’alerte, y compris la loi espagnole 2/2023. Elle prend en charge les signalements anonymes, la gestion des dossiers et les pistes d’audit complètes. Consulter les tarifs et les forfaits.
Foire aux questions
Toute personne obtenant des informations sur des actes répréhensibles présumés dans un contexte professionnel : travailleurs salariés et indépendants, actionnaires et membres du conseil d’administration, personnel des prestataires, sous-traitants et fournisseurs, bénévoles, stagiaires et apprentis, ainsi que les personnes assistant l’auteur du signalement, les proches risquant des représailles et les entités juridiques pour lesquelles ils travaillent.
Les entreprises de 50 salariés ou plus. Celles de plus de 249 travailleurs avant le 13 juin 2023, et celles de 50 à 249 travailleurs avant le 1er décembre 2023.
La réception doit être confirmée sous 7 jours, et l’enquête ne doit pas dépasser 3 mois, prolongeables à 6 mois dans les cas d’une complexité exceptionnelle.
Pour les infractions graves comme l’absence de système ou les représailles, des amendes allant jusqu’à 300 000 euros pour les personnes physiques et 1 000 000 d’euros pour les personnes morales, avec des sanctions accessoires telles que l’interdiction de subventions ou d’avantages fiscaux jusqu’à 4 ans et de marchés publics jusqu’à 3 ans.
À PARTIR DE 49 EUR PAR MOIS
Trusty Whistleblowing : un canal de signalement conforme à la directive européenne sur les lanceurs d’alerte, opérationnel en quelques minutes sans projet informatique. À partir de 49 EUR par mois, essai gratuit de 7 jours.