Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter
Le lanceur d’alerte en entreprise bénéficie en France d’un statut protecteur. Il repose sur la loi Sapin II (n° 2016-1691 du 9 décembre 2016), réformée par la loi Waserman (n° 2022-401 du 21 mars 2022). De nombreuses organisations doivent lui offrir une procédure interne pour signaler les manquements en toute confidentialité. Ce guide présente les entreprises concernées, les exigences du décret n° 2022-1284 et les étapes de mise en place.
Le cadre juridique : loi Sapin II, loi Waserman et directive (UE) 2019/1937
La directive (UE) 2019/1937 du 23 octobre 2019 protège les personnes qui signalent des violations du droit de l’Union. Elle impose aussi des canaux de signalement internes. La France l’a transposée par la loi n° 2022-401, entrée en vigueur le 1er septembre 2022. Ce texte a profondément modifié les articles 6 à 16 de la loi n° 2016-1691 du 9 décembre 2016. Ces articles définissent le statut du lanceur d’alerte et les obligations des employeurs. Les modalités pratiques figurent dans le décret n° 2022-1284 du 3 octobre 2022, relatif aux procédures de recueil et de traitement des signalements.
Lanceur d’alerte en entreprise : quelles sociétés doivent avoir un dispositif d’alerte ?
L’obligation vise les employeurs privés d’au moins 50 salariés. L’article 8 de la loi Sapin II impose une procédure interne de recueil et de traitement des signalements aux personnes morales de droit privé et aux entreprises exploitées en nom propre de cette taille. Elle s’applique aussi aux personnes morales de droit public d’au moins 50 agents et aux administrations de l’État. D’autres entités relevant des actes de l’Union mentionnés par la directive sont également concernées. Votre entreprise établit la procédure après consultation des instances de dialogue social, en pratique le comité social et économique (CSE).
Les sociétés de moins de 250 salariés peuvent mutualiser leur canal de réception et l’évaluation des signalements (décret, art. 7). Dans un groupe, la procédure peut être commune à plusieurs sociétés. Pour le détail des seuils, consultez notre article sur le canal de signalement obligatoire en entreprise.
Qui peut lancer une alerte et que peut-on signaler ?
Selon l’article 6 de la loi Sapin II, un lanceur d’alerte est une personne physique qui signale ou divulgue des informations sans contrepartie financière directe et de bonne foi. Ces informations portent sur un crime, un délit, une menace ou un préjudice pour l’intérêt général. Elles peuvent aussi concerner une violation du droit international, du droit de l’Union européenne, de la loi ou du règlement. Hors du cadre professionnel, la personne doit avoir eu personnellement connaissance des faits.
Peuvent utiliser la procédure interne de votre entreprise (article 8, I, A) :
- les membres du personnel, les anciens salariés et les candidats à un emploi ;
- les actionnaires, les associés et les titulaires de droits de vote ;
- les membres des organes d’administration, de direction ou de surveillance ;
- les collaborateurs extérieurs et occasionnels ;
- les cocontractants, leurs sous-traitants et le personnel de ceux-ci.
La protection s’étend aux facilitateurs : toute personne physique ou personne morale de droit privé à but non lucratif qui aide le lanceur d’alerte. Elle couvre aussi les personnes physiques en lien avec lui exposées à des représailles professionnelles, ainsi que les entités qu’il contrôle (article 6-1). Certains secrets restent exclus du régime : défense nationale, secret médical, délibérations judiciaires, enquête ou instruction, secret professionnel de l’avocat.
Les exigences de la procédure interne de recueil et de traitement des signalements
Le décret n° 2022-1284 fixe le contenu minimal de la procédure. Votre dispositif d’alerte doit notamment prévoir :
- Des canaux écrits et oraux : l’alerte peut être adressée par écrit, par téléphone ou par messagerie vocale. Sur demande, une visioconférence ou une rencontre physique a lieu sous vingt jours ouvrés (art. 4).
- Un accusé de réception : l’auteur est informé par écrit dans un délai de sept jours ouvrés (art. 4).
- Un retour d’information : l’auteur est informé par écrit des suites données dans un délai raisonnable. Ce délai ne dépasse pas trois mois à compter de l’accusé de réception (art. 4).
- Des personnes compétentes : elles disposent de la compétence, de l’autorité et des moyens suffisants. La procédure prévoit des garanties d’impartialité (art. 5).
- Une règle pour les alertes anonymes : la procédure précise les suites qui leur sont données (art. 4).
- Une traçabilité des alertes orales : enregistrement avec l’accord de l’auteur, transcription intégrale ou procès-verbal que l’auteur peut vérifier et signer (art. 6).
- Une information accessible : la procédure est diffusée de façon suffisante et permanente. L’entité informe aussi clairement sur les procédures de signalement externe (art. 8).
Confidentialité et protection des données personnelles
La procédure garantit une stricte confidentialité de l’identité de l’auteur, des personnes visées et des tiers mentionnés (article 9 de la loi Sapin II). Les informations recueillies sont protégées de la même façon. L’identité du lanceur d’alerte ne peut être révélée qu’avec son consentement, sauf à l’autorité judiciaire. Celle de la personne mise en cause ne peut l’être qu’une fois l’alerte jugée fondée, sous la même réserve. Divulguer ces éléments est puni de deux ans d’emprisonnement et de 30 000 euros d’amende.
Les signalements ne sont conservés que le temps strictement nécessaire et proportionné. Les traitements de données respectent le RGPD. Si votre entreprise a désigné un délégué à la protection des données (DPO), associez-le dès la conception du dispositif. Il vous aidera sur l’analyse d’impact, les habilitations et les durées de conservation.
Mettre en place le dispositif d’alerte : les étapes clés
- Désigner les responsables : choisissez les personnes chargées de recueillir et de traiter les alertes, ou un prestataire externe pour le recueil.
- Consulter le CSE : la procédure est établie après consultation des instances de dialogue social.
- Rédiger la procédure : définissez les canaux, les délais, la confidentialité, les alertes anonymes et la clôture des dossiers.
- Ouvrir des canaux sécurisés : proposez un canal écrit et un canal oral, ouverts aux salariés comme aux tiers concernés.
- Diffuser l’information : publiez la procédure sur l’intranet et votre site, avec les coordonnées des autorités externes.
- Former et contrôler : formez les référents et vérifiez régulièrement le respect des délais.
Gérer le dispositif en interne ou le confier à un prestataire ?
Les deux options sont possibles. Le décret n° 2022-1284 permet de confier la gestion du canal de réception à un tiers (art. 7). Ce tiers doit respecter les garanties de confidentialité et d’intégrité prévues par le texte. Un prestataire spécialisé apporte souvent plus de distance et une plateforme sécurisée. L’externalisation ne dispense pas votre entreprise de ses obligations : c’est elle qui fixe la procédure et donne suite aux alertes. Les personnes chargées du traitement doivent disposer de la compétence, de l’autorité et des moyens suffisants. Enfin, chaque lanceur d’alerte en entreprise doit savoir comment accéder au dispositif.
Signalement interne ou externe : quelles voies pour le lanceur d’alerte ?
Le lanceur d’alerte n’est pas tenu de passer d’abord par la procédure interne. Il peut saisir directement une autorité externe, ou le faire après un signalement interne (article 8, II). Il peut s’adresser :
- à l’une des autorités désignées en annexe du décret n° 2022-1284, selon le domaine : par exemple l’Agence française anticorruption (AFA), l’Autorité des marchés financiers (AMF), l’ACPR, la CNIL ou la DGCCRF ;
- au Défenseur des droits, qui l’oriente vers l’autorité la mieux à même d’en connaître ;
- à l’autorité judiciaire ;
- à une institution, un organe ou un organisme compétent de l’Union européenne.
Une divulgation publique n’est protégée que dans des cas précis (article 8, III). C’est le cas, par exemple, si aucune mesure appropriée n’a suivi un signalement externe dans le délai prévu, ou en cas de danger grave et imminent. Les autorités désignées accusent réception sous sept jours ouvrés. Elles rendent compte des suites en trois mois, ou six mois si les circonstances le justifient. Un dispositif interne fiable reste donc le meilleur moyen de traiter les alertes au sein de votre entreprise.
Protection du lanceur d’alerte en entreprise et sanctions
La loi interdit toute mesure de représailles, y compris les menaces et les tentatives (article 10-1, II). La liste comprend notamment :
- la suspension, la mise à pied ou le licenciement ;
- la rétrogradation, le refus de promotion, la mutation ou la réduction de salaire ;
- l’évaluation négative ou la sanction disciplinaire ;
- le harcèlement, la discrimination ou l’inscription sur une liste noire ;
- le non-renouvellement d’un contrat à durée déterminée.
Toute mesure prise en méconnaissance de cette interdiction est nulle de plein droit. La charge de la preuve est aménagée : le salarié présente des éléments de fait laissant supposer une alerte protégée. Il incombe alors à l’employeur de prouver que sa décision est dûment justifiée (article 10-1, III). Le juge peut aussi accorder une provision pour frais de l’instance.
Le lanceur d’alerte en entreprise n’est pas civilement responsable des dommages causés par son signalement. Il doit avoir eu des motifs raisonnables de le croire nécessaire à la sauvegarde des intérêts en cause. Il bénéficie aussi de l’irresponsabilité pénale prévue à l’article 122-9 du code pénal.
Côté sanctions, faire obstacle à la transmission d’un signalement est puni d’un an d’emprisonnement et de 15 000 euros d’amende (article 13, I). En cas de procédure dilatoire ou abusive contre un lanceur d’alerte, l’amende civile peut atteindre 60 000 euros (article 13, II).
Les avantages d’un dispositif d’alerte pour votre entreprise
Au-delà de l’obligation légale, un dispositif d’alerte efficace est un atout. Il fait remonter les problèmes tôt, avant qu’ils ne causent des dommages ou ne deviennent publics. Il renforce la confiance des salariés, des clients et des partenaires. Un lanceur d’alerte en entreprise qui se sent protégé signale plutôt en interne. Le même canal peut aussi servir le programme anticorruption de l’article 17 de la loi Sapin II. Celui-ci exige un dispositif d’alerte interne dans les sociétés d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros.
Conclusion
La loi Sapin II, modifiée par la loi Waserman, offre au lanceur d’alerte en entreprise des canaux sûrs, des délais précis et une protection forte contre les représailles. Pour les employeurs d’au moins 50 salariés, une procédure conforme au décret n° 2022-1284 est obligatoire. Avec le logiciel de signalement Trusty, vous déployez un dispositif d’alerte conforme sans projet informatique, dès 49 EUR par mois.
Lectures complémentaires : Enquêtes sur les signalements : devoirs et limites des managers et Importance d’un canal de signalement chiffré.
Questions fréquentes
Pour le lanceur d’alerte en entreprise, le texte de référence est l’article 8 de la loi Sapin II (n° 2016-1691), modifié par la loi Waserman (n° 2022-401) qui transpose la directive (UE) 2019/1937. Les entreprises d’au moins 50 salariés doivent établir une procédure interne de recueil et de traitement des signalements, selon les modalités du décret n° 2022-1284.
Il veille à ce que les traitements liés aux alertes respectent le RGPD, par exemple pour l’analyse d’impact, les accès limités aux personnes habilitées et les durées de conservation. La loi Sapin II impose en outre une stricte confidentialité de l’identité des personnes concernées (article 9).
Les deux sont possibles. Le décret n° 2022-1284 permet de confier la gestion du canal de réception à un tiers, s’il respecte les garanties de confidentialité et d’intégrité. Les entreprises de moins de 250 salariés peuvent aussi mutualiser leur canal.
Le dispositif fait remonter les risques tôt, renforce la culture d’intégrité et aide à éviter sanctions et atteintes à la réputation. Il peut aussi servir de dispositif d’alerte interne pour le programme anticorruption exigé des grandes entreprises par l’article 17 de la loi Sapin II.
L’auteur reçoit un accusé de réception écrit dans les sept jours ouvrés. Il obtient ensuite un retour d’information écrit dans un délai raisonnable n’excédant pas trois mois à compter de cet accusé de réception (décret n° 2022-1284, art. 4).
Non. Le lanceur d’alerte en entreprise peut choisir le signalement interne ou s’adresser directement à une autorité externe, au Défenseur des droits, à l’autorité judiciaire ou à un organe de l’Union européenne (article 8, II de la loi Sapin II).
À PARTIR DE 49 EUR PAR MOIS
Trusty Whistleblowing : un canal de signalement conforme à la directive européenne sur les lanceurs d’alerte, opérationnel en quelques minutes sans projet informatique. À partir de 49 EUR par mois, essai gratuit de 7 jours.