Dejan Jasnic · Cofondateur et responsable de la conformité, Trusty · Plus de 20 ans d’expérience en lutte antifraude et conformité · Membre du conseil d’administration de l’ACFE Swiss Chapter
Le droit européen des lanceurs d’alerte protège les personnes qui signalent des faits répréhensibles rencontrés dans le cadre de leur travail, et il oblige les employeurs de 50 salariés ou plus à mettre en place un canal de signalement interne confidentiel. Ces règles sont issues de la directive (UE) 2019/1937, que chacun des 27 États membres a désormais transposée dans son droit national.
Cela paraît simple, mais chaque pays y a ajouté ses propres règles. Ce guide explique ce qu’exige le droit des lanceurs d’alerte, en quoi les principales lois nationales diffèrent, ce qui a changé en 2026, et comment se mettre en conformité sans créer un service juridique.
moins de 5 minutes
Besoin d’un canal de signalement conforme au droit de l’alerte de l’UE ? Trusty met en place un canal de signalement sécurisé et anonyme en moins de cinq minutes.
Qu'est-ce que le droit des lanceurs d'alerte ?
Le droit des lanceurs d’alerte est l’ensemble des règles qui protègent une personne contre les représailles lorsqu’elle signale une violation du droit dont elle a eu connaissance dans le cadre de son travail. Dans l’UE, il a un double objectif : protéger la personne qui signale, et obliger les organisations à lui offrir un moyen sûr de le faire.
La directive européenne sur les lanceurs d’alerte fixe le socle minimal. Les lois nationales, comme le Hinweisgeberschutzgesetz en Allemagne, la Ley 2/2023 en Espagne, le dispositif Sapin II en France et le décret législatif 24/2023 en Italie, l’appliquent au niveau local et vont souvent plus loin.
Les entreprises de 50 salariés ou plus peuvent mettre en place un logiciel de signalement de Trusty en quelques minutes, à partir de 49 € par mois.
Qui est protégé par le droit des lanceurs d'alerte ?
Le droit des lanceurs d’alerte protège toute personne qui signale une violation dont elle a eu connaissance dans un contexte professionnel, et pas seulement les salariés. En vertu de l’article 4 de la directive, cela inclut :
• Les salariés, fonctionnaires, travailleurs à temps partiel et en contrat à durée déterminée
• Les indépendants, prestataires, sous-traitants et fournisseurs
• Les actionnaires, membres du conseil d’administration, bénévoles et stagiaires
• Les candidats à un emploi et anciens salariés
• Les facilitateurs qui aident le lanceur d’alerte, ainsi que les collègues ou proches susceptibles de subir des représailles
La protection s’applique dès lors que la personne avait des motifs raisonnables de croire que l’information était vraie au moment du signalement. Sa motivation importe peu, et une erreur de bonne foi ne supprime pas la protection.
Qu'est-ce qu'un signalement protégé ?
Un signalement est protégé lorsqu’il concerne une violation du droit dans un domaine couvert par la législation. La directive énumère des domaines du droit de l’UE, dont les marchés publics, les services financiers, le blanchiment de capitaux, la sécurité des produits et des transports, la protection de l’environnement, la sécurité alimentaire, la santé publique, la protection des consommateurs, la protection des données et les règles de concurrence.
De nombreux États membres ont élargi cette liste. L’Allemagne couvre les infractions pénales et certaines infractions administratives, et la France couvre tout crime, délit ou menace pour l’intérêt général. Un grief purement personnel lié au travail échappe généralement au droit des lanceurs d’alerte.
Que doivent faire les employeurs au titre du droit des lanceurs d'alerte ?
Les employeurs de 50 salariés ou plus doivent mettre en place un canal de signalement interne et suivre une procédure fixe pour chaque signalement. Les organismes publics sont également concernés, et certains secteurs, comme les services financiers, le sont quelle que soit leur taille.
Les obligations principales, prévues aux articles 8, 9, 16 et 18 de la directive, sont les suivantes :
1. Proposer un canal. Les personnes doivent pouvoir signaler par écrit, oralement, ou des deux manières. Sur demande, vous devez également proposer une rencontre en personne dans un délai raisonnable.
2. Préserver la confidentialité des identités. Le canal doit être sécurisé, et le personnel non autorisé à traiter les signalements ne doit pas pouvoir y accéder.
3. Désigner une personne ou une équipe impartiale. Une personne indépendante doit recevoir les signalements, assurer le suivi et rester en contact avec le lanceur d’alerte.
4. Accuser réception sous 7 jours. Le lanceur d’alerte doit recevoir une confirmation de réception dans un délai de sept jours.
5. Donner un retour sous 3 mois. Vous devez informer le lanceur d’alerte des mesures prises ou envisagées, au plus tard trois mois après l’accusé de réception.
6. Expliquer la voie externe. Vous devez fournir des informations claires sur la manière de signaler auprès de l’autorité nationale compétente.
7. Conserver des registres. Chaque signalement doit être documenté et conservé uniquement le temps nécessaire, conformément au RGPD.
Le seuil de 50 salariés s'applique-t-il par entreprise ou par groupe ?
Le seuil s’applique à chaque entité juridique, et non au groupe dans son ensemble. Les entreprises de 50 à 249 salariés peuvent mutualiser les ressources pour recevoir et instruire les signalements, mais chaque entité conserve sa propre obligation.
Un canal peut être géré en interne ou confié à un tiers externe. Dans tous les cas, l’employeur reste responsable de la confidentialité, des délais et du suivi.
En quoi les lois sur les lanceurs d'alerte diffèrent-elles entre pays de l'UE ?
Les lois nationales sur les lanceurs d’alerte partagent le socle de la directive mais diffèrent sur le champ d’application, les signalements anonymes, les autorités et les sanctions. Une entreprise ayant des entités dans plusieurs pays doit respecter chaque loi locale, et pas seulement le minimum fixé par l’UE.
Pays | Law | En vigueur depuis | Signalements anonymes | Autorité externe | Amendes maximales |
|---|---|---|---|---|---|
Allemagne | Hinweisgeberschutzgesetz (HinSchG) | 2 juillet 2023 | Doivent être traités, mais aucune obligation de proposer un canal anonyme | Office fédéral de la justice | Jusqu'à 50 000 € ; jusqu'à 500 000 € pour les entreprises en cas d'entrave aux signalements, de représailles ou d'atteinte à la confidentialité ; jusqu'à 20 000 € en l'absence de canal interne |
Espagne | Ley 2/2023 | 13 mars 2023 | Doivent être acceptés | Autorité indépendante de protection des lanceurs d'alerte (AIPI) | Jusqu'à 1 000 000 € pour les entreprises |
France | Sapin II, modifiée par la loi Waserman et le décret n° 2022-1284 | 1er septembre 2022 | Autorisés, avec protection si la personne est identifiée ultérieurement | Défenseur des droits | Jusqu'à 1 an d'emprisonnement et 15 000 € pour obstruction à un signalement |
Italie | Décret législatif 24/2023 | 15 juillet 2023 | Autorisés, avec protection si la personne est identifiée ultérieurement | ANAC | 10 000 € à 50 000 € |
Trois différences pratiques comptent particulièrement pour les employeurs présents dans plusieurs pays :
• Anonymat. L’Espagne vous oblige à accepter les signalements anonymes. Un système qui les prend en charge partout constitue la base la plus sûre.
• Langue. Les lanceurs d’alerte ont besoin d’informations et de formulaires qu’ils peuvent comprendre ; proposez donc le canal dans chaque langue locale.
• Séparation des entités. Chaque entité juridique a besoin de son propre traitement des dossiers et de ses propres droits d’accès, même lorsque le groupe partage une seule plateforme.
Cet article constitue une information générale, et non un conseil juridique. Vérifiez le texte en vigueur de chaque loi nationale, ou consultez un conseil local, avant de finaliser votre politique.
les groupes multi-pays
Vous gérez des entités dans plusieurs pays de l’UE ? Trusty accepte les signalements anonymes, sépare le traitement des dossiers pour chaque entité et centralise tout sur une seule plateforme. Ou réservez une démo.
Qu'est-ce qui a changé dans le droit des lanceurs d'alerte en 2026 ?
Deux changements sont intervenus en 2026 : la directive couvre désormais explicitement les signalements relatifs au règlement européen sur l’IA, et la Commission européenne évalue l’ensemble du dispositif.
Les signalements liés au règlement sur l’IA (AI Act) sont désormais protégés. Depuis le 2 août 2026, les protections de la directive couvrent explicitement les signalements de violations du règlement européen sur l’IA, en vertu de l’article 87 de ce règlement. Si votre organisation conçoit ou utilise des systèmes d’IA, votre formulaire et votre politique de signalement doivent mentionner l’IA comme sujet signalable.
La directive fait l’objet d’un réexamen. L’évaluation de la directive par la Commission doit s’achever d’ici le quatrième trimestre 2026. Elle pourrait déboucher sur des propositions visant à renforcer ou élargir les règles.
L’attention se porte désormais sur l’application effective. Les 27 États membres ont tous adopté leur loi, mais les organismes de surveillance signalent qu’aucun n’est pleinement conforme à la directive. Attendez-vous à ce que les règles nationales continuent d’évoluer, et révisez votre canal au moins une fois par an.
Qu'est-ce qui constitue des représailles contre un lanceur d'alerte ?
Les représailles désignent tout acte ou menace préjudiciable pris en raison d’un signalement. La directive les interdit purement et simplement, y compris le licenciement, la rétrogradation, le refus de promotion, la réduction de salaire, des références professionnelles négatives, le harcèlement, l’inscription sur une liste noire et la résiliation anticipée d’un contrat avec un fournisseur.
La charge de la preuve incombe à l’employeur. Si un lanceur d’alerte démontre qu’il a effectué un signalement puis subi un préjudice, l’employeur doit prouver que la mesure n’a aucun lien avec ce signalement.
Quelles sont les sanctions en cas de non-respect du droit des lanceurs d'alerte ?
Les sanctions sont fixées par chaque État membre et peuvent atteindre 1 000 000 € pour les entreprises en Espagne. L’article 23 de la directive impose des sanctions à l’encontre de toute personne qui :
• Entrave ou tente d’entraver un signalement
• Exerce des représailles contre un lanceur d’alerte
• Engage une procédure abusive contre un lanceur d’alerte
• Manque à l’obligation de préserver la confidentialité de l’identité du lanceur d’alerte
Plusieurs pays, dont l’Allemagne et l’Italie, sanctionnent également les employeurs qui ne disposent d’aucun canal interne. Au-delà des amendes, les tribunaux peuvent ordonner une réintégration et une indemnisation, et un signalement mal géré devient souvent un signalement public.
Comment les employeurs peuvent-ils se conformer rapidement au droit des lanceurs d'alerte ?
La voie la plus rapide vers la conformité est un système dédié aux lanceurs d’alerte qui intègre les exigences légales directement dans le processus. Trusty est une plateforme de signalement conçue autour de la directive européenne sur les lanceurs d’alerte, et vous pouvez mettre en place un canal interne en moins de cinq minutes.
Ce qu'exige la loi | Réponse de Trusty |
|---|---|
Signalement écrit et oral | Formulaire de signalement en ligne et messages vocaux dans le navigateur avec modification de la voix |
Confidentialité et accès restreint | Accès basé sur les rôles, avec traitement des dossiers séparé pour chaque entité juridique |
Contact avec le lanceur d'alerte, y compris les lanceurs anonymes | Boîte de réception anonyme bidirectionnelle que l'auteur du signalement rouvre avec un code d'accès |
Accusé de réception sous 7 jours et retour d'information sous 3 mois | Tableau de bord des dossiers affichant chaque signalement et son statut |
Conservation des données | Horodatage qualifié eIDAS sur chaque signalement et journal d'audit infalsifiable |
Traitement conforme au RGPD | Hébergement dans des centres de données certifiés ISO/IEC 27001 en Allemagne |
Information et sensibilisation | Politiques de conformité prêtes à l'emploi et formation des employés incluses |
Essayez Trusty gratuitement pendant 7 jours sur trusty.report, ou réservez une courte démonstration pour voir le canal de signalement en action.
Questions fréquentes sur le droit des lanceurs d'alerte
Lancer une alerte consiste à signaler un acte répréhensible dont vous avez eu connaissance dans le cadre de votre travail, comme une fraude, un acte de corruption, un manquement à la sécurité ou un usage abusif de données. Le signalement peut être adressé à votre employeur, à une autorité publique ou, dans certains cas limités, au public.
Dans l'UE, la directive (UE) 2019/1937 et la loi nationale qui la transpose vous protègent. C'est le cas du Hinweisgeberschutzgesetz en Allemagne, de la Ley 2/2023 en Espagne, de Sapin II en France et du décret législatif 24/2023 en Italie.
Les entreprises privées comptant 50 salariés ou plus et les organismes du secteur public doivent disposer d'un canal de signalement interne. Certains secteurs, comme les services financiers, doivent en disposer quelle que soit leur taille.
Oui. Une entreprise dont le siège est situé hors de l'UE doit se conformer à cette obligation pour chaque entité juridique européenne employant 50 salariés ou plus, conformément au droit du pays où cette entité est établie.
Oui. Une personne qui effectue un signalement anonyme et qui est identifiée ultérieurement bénéficie de la même protection qu'un lanceur d'alerte identifié. L'obligation pour les employeurs d'accepter les signalements anonymes dépend du pays ; l'Espagne l'impose.
Un employeur doit accuser réception du signalement dans un délai de sept jours et fournir un retour sur le suivi dans un délai de trois mois à compter de cet accusé de réception.
Oui. Un lanceur d'alerte peut signaler à l'autorité nationale compétente sans passer au préalable par le canal interne, tout en conservant une protection complète. Les employeurs sont encouragés à faire du signalement interne l'option la plus simple.
Oui. Depuis le 2 août 2026, les signalements de violations du règlement européen sur l'IA sont explicitement couverts par la directive européenne sur les lanceurs d'alerte.
Sources
• Directive (UE) 2019/1937 sur la protection des personnes qui signalent des violations du droit de l’Union, EUR-Lex
• Les lanceurs d’alerte et le règlement européen sur l’IA, EU Artificial Intelligence Act
• L’évaluation européenne de la directive sur les lanceurs d’alerte est désormais en cours, EU Whistleblowing Monitor
• Récapitulatif des mises à jour d’avril 2026, EU Whistleblowing Monitor
• Trusty, informations produit
à la directive européenne et au RGPD
Logiciel de signalement simplifié, conçu par des experts en conformité.