Toute entreprise d’au moins cinquante salariés doit tenir une procédure interne de recueil et de traitement des signalements. L’obligation figure à l’article 8 de la loi du 9 décembre 2016, réécrit par la loi du 21 mars 2022. Le décret du 3 octobre 2022 en fixe le contenu minimal, les canaux acceptés et les délais de réponse.
Le lanceur d’alerte tel que la loi le définit depuis 2022
Le statut ne dépend ni du niveau hiérarchique du signalant ni de la gravité des faits rapportés. L’article 6 de la loi n° 2016-1691 du 9 décembre 2016, dite loi Sapin II, dans sa rédaction issue de la loi n° 2022-401 du 21 mars 2022, vise la personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, ou sur une violation du droit de l’Union européenne, de la loi ou du règlement.
Le périmètre déborde donc largement la corruption : fraude comptable, atteinte à l’environnement, manquement à la sécurité d’un produit, traitement illicite de données personnelles, entrave aux règles du droit du travail.
Trois conditions cumulatives
Le statut de lanceur d’alerte suppose la réunion de trois éléments, sans hiérarchie entre eux.
- Une personne physique. Une société, une association ou un syndicat ne revêt pas cette qualité, même en relayant un signalement.
- L’absence de contrepartie financière directe. Le signalant ne monnaye pas son information. Rien ne l’empêche en revanche de demander réparation d’un préjudice subi.
- La bonne foi. Elle porte sur la conviction raisonnable que les faits sont exacts au moment du signalement, pas sur leur confirmation ultérieure.
Une nuance tient au contexte d’obtention des informations. Recueillies dans le cadre professionnel, elles ouvrent le statut sans autre condition. Recueillies en dehors, elles imposent au signalant d’en avoir eu personnellement connaissance.
Ce que la réforme de 2022 a retiré du texte
La loi du 21 mars 2022 transpose la directive (UE) 2019/1937 du 23 octobre 2019, dont le délai de transposition expirait le 17 décembre 2021. Elle a fait sauter trois verrous du régime initial.
Le critère de la violation « grave et manifeste » disparaît. Le caractère « désintéressé » cède la place à la formule « sans contrepartie financière directe », moins hostile au salarié déjà en différend avec son employeur. L’obligation de saisir d’abord la voie interne tombe elle aussi.
Certains secrets restent hors du champ : le secret de la défense nationale, le secret médical, le secret des délibérations judiciaires et le secret professionnel de l’avocat. Un signalement portant sur ces informations ne bénéficie pas de la protection légale.
Quelles structures doivent ouvrir un canal interne
Le seuil est fixé à cinquante salariés par l’article 8 de la loi Sapin II. Il vise les employeurs de droit privé comme les administrations et les établissements publics.
Le secteur public local suit une règle distincte : communes de plus de 10 000 habitants, départements, régions, établissements publics de coopération intercommunale à fiscalité propre comprenant au moins une commune de plus de 10 000 habitants, ainsi que les établissements publics qui leur sont rattachés.
Mutualiser entre cinquante et deux cent quarante-neuf salariés
Les entités dont l’effectif reste inférieur à 250 salariés mettent en commun leurs ressources pour la réception et l’analyse des signalements. La directive européenne ouvrait cette faculté, le droit français l’a reprise. Un groupe organise de son côté une procédure partagée entre plusieurs de ses entités.
Le risque de cette mutualisation tient à la dilution des responsabilités. Chaque entité reste tenue de ses propres délais et de sa propre obligation de confidentialité, quel que soit l’organe qui reçoit matériellement le signalement.
La consultation préalable des instances de dialogue social
La procédure interne s’établit après consultation du comité social et économique. Un dispositif déployé sans cette étape s’expose à contestation, alors même que son contenu serait irréprochable sur le fond.
Ce que le décret du 3 octobre 2022 impose de prévoir
Le décret n° 2022-1284 du 3 octobre 2022 détaille les procédures de recueil et de traitement, et fixe en annexe la liste des autorités externes compétentes. Il constitue le document de référence pour rédiger un dispositif conforme.
Recevoir les signalements écrits comme oraux
Le canal accepte l’écrit et l’oral. L’oral couvre le téléphone et la messagerie vocale. À la demande de l’auteur, l’entité organise une visioconférence ou une rencontre physique, au plus tard vingt jours ouvrés après réception de la demande.
Le recueil revient soit à un référent interne (direction de la conformité, déontologue, ressources humaines), soit à un prestataire extérieur. Le choix relève de l’entité, la responsabilité également.
Le signalement anonyme entre dans le champ du dispositif : l’absence d’identité déclarée ne justifie pas de l’écarter. La protection contre les représailles, en revanche, ne joue qu’à partir du moment où l’identité est révélée ou découverte.
Deux délais qui font foi
| Étape | Délai fixé par le décret du 3 octobre 2022 |
|---|---|
| Accusé de réception du signalement | 7 jours ouvrés à compter de la réception |
| Retour sur les mesures envisagées ou prises | Délai raisonnable n’excédant pas 3 mois à compter de l’accusé de réception, ou de l’expiration du délai de 7 jours ouvrés |
Ces deux bornes structurent tout le dispositif. Un canal parfaitement rédigé qui ne produit ni accusé de réception dans les sept jours ouvrés ni retour dans les trois mois manque à l’obligation, indépendamment de la qualité du traitement au fond.
Diffuser la procédure au-delà des salariés
La procédure se diffuse par tout moyen assurant une publicité suffisante : notification, affichage, publication sur le site internet ou par voie électronique. Le public visé dépasse largement l’effectif inscrit au registre du personnel. Il englobe les intérimaires, les stagiaires, les candidats à un recrutement, les anciens salariés, les actionnaires, les membres des organes de direction, les cocontractants et leurs sous-traitants.
Traiter les données comme un traitement sensible
Le dispositif crée un traitement de données personnelles particulièrement exposé. Les données relatives à un signalement manifestement hors du champ sont détruites ou archivées sans délai après anonymisation. Celles d’un signalement clos sans suite le sont dans un délai de deux mois à compter de la clôture des opérations de vérification.
Cette mécanique de purge gagne à être documentée dans le registre des activités de traitement, au même titre que les autres traitements passés en revue lors d’un audit de conformité RGPD.
La confidentialité, obligation la plus lourdement sanctionnée
L’article 9 de la loi du 9 décembre 2016 protège trois identités : celle de l’auteur du signalement, celle des personnes visées et celle de tout tiers mentionné. Les éléments de nature à identifier l’auteur ne peuvent être divulgués sans son consentement, sauf à l’autorité judiciaire.
Divulguer ces éléments confidentiels expose à deux ans d’emprisonnement et 30 000 euros d’amende. La confidentialité stricte conditionne aussi la crédibilité du canal : un dispositif réputé poreux ne reçoit plus rien, et les signalements repartent vers l’extérieur.
Deux autres sanctions complètent l’édifice, à l’article 13 du même texte. Faire obstacle, de quelque façon que ce soit, à la transmission d’un signalement est puni d’un an d’emprisonnement et de 15 000 euros d’amende. La procédure abusive ou dilatoire engagée contre un lanceur d’alerte, souvent qualifiée de procédure bâillon, expose son auteur à une amende civile pouvant atteindre 60 000 euros.
Ces montants restent modestes au regard des sanctions financières du droit de la conformité. Leur portée est ailleurs : la sanction pénale vise des personnes physiques, dirigeants et référents compris.
Interne, externe, public : trois canaux, un ordre libre
Depuis le 1er septembre 2022, date d’entrée en vigueur de la loi du 21 mars 2022, le signalant choisit librement son canal de signalement.
| Canal | Destinataire | Condition d’accès |
|---|---|---|
| Interne | Procédure de l’entité, référent désigné ou prestataire | Aucune, ouvert dès l’origine |
| Externe | Autorité listée en annexe du décret du 3 octobre 2022, Défenseur des droits, autorité judiciaire, institution de l’Union européenne | Aucune, accessible sans passage préalable par l’interne |
| Divulgation publique | Presse, réseaux sociaux, tout public | Absence de traitement approprié après signalement externe, danger grave et imminent, ou risque de représailles |
L’annexe du décret recense les autorités compétentes par domaine : la Commission nationale de l’informatique et des libertés pour les données personnelles, l’Autorité des marchés financiers et l’Autorité de contrôle prudentiel et de résolution pour la sphère financière, l’Agence française anticorruption pour les atteintes à la probité, l’inspection du travail pour le droit du travail.
Le Défenseur des droits joue un rôle transversal. Il oriente le signalant vers l’autorité compétente et peut certifier sa qualité de lanceur d’alerte. La loi organique n° 2022-400 du 21 mars 2022 a créé auprès de lui un adjoint chargé de cet accompagnement.
Conserver le signalement en interne reste dans l’intérêt de l’entreprise, à une condition : que le canal fonctionne réellement. C’est la seule variable pilotable par l’employeur, puisque le choix appartient désormais au signalant.
Les protections attachées au statut
Nullité des mesures de représailles
L’article 10-1 de la loi Sapin II dresse une liste ouverte de mesures de représailles prohibées : suspension, mise à pied, licenciement, rétrogradation ou refus de promotion, transfert de fonctions, changement de lieu de travail, réduction de salaire, modification des horaires, évaluation de performance défavorable, mesures disciplinaires, intimidation, discrimination, non-renouvellement d’un contrat à durée déterminée, atteinte à la réputation notamment sur les réseaux sociaux, orientation abusive vers un traitement psychiatrique ou médical.
Toute mesure prise en méconnaissance de cette interdiction est nulle. La nullité ouvre la voie à la réintégration du salarié, pas seulement à une indemnisation.
La protection dépasse la personne du signalant. Les facilitateurs, personnes physiques ou personnes morales de droit privé à but non lucratif qui l’aident, les collègues et proches susceptibles de subir des représailles, ainsi que les entités juridiques qu’il contrôle en bénéficient également.
Une charge de la preuve aménagée
Devant le conseil de prud’hommes, le salarié présente des éléments de fait laissant supposer qu’il a signalé ou divulgué des informations dans les conditions prévues par la loi. Il revient ensuite à l’employeur d’établir que la décision contestée repose sur des éléments objectifs étrangers au signalement.
Le juge alloue au demandeur, y compris en référé, une provision pour frais d’instance lorsque sa situation financière s’est dégradée du fait du signalement. Cette provision répond à un déséquilibre bien identifié : la durée d’un contentieux prud’homal excède souvent les capacités financières d’un salarié écarté de son poste.
Irresponsabilité pénale et civile
L’article 122-9 du code pénal écarte la responsabilité pénale du lanceur d’alerte pour la soustraction, le détournement ou le recel de documents ou d’informations dont il a eu connaissance de manière licite. Le texte vise la situation classique du salarié qui emporte des pièces pour étayer son signalement.
La responsabilité civile n’est pas davantage engagée pour les dommages causés de bonne foi par le signalement, dès lors que le signalant avait des motifs raisonnables de croire à la nécessité de l’alerte.
Un canal qui s’articule avec le reste du dispositif de conformité
Le dispositif d’alerte n’existe pas isolément. L’article 17 de la loi Sapin II impose aux sociétés d’au moins 500 salariés dont le chiffre d’affaires dépasse 100 millions d’euros un programme anticorruption, placé sous le contrôle de l’Agence française anticorruption, dont le dispositif d’alerte interne constitue l’une des mesures obligatoires.
Le canal croise également les obligations de notification d’incident qui pèsent sur les entreprises au titre de leurs obligations légales en cybersécurité. Un signalement révèle parfois une faille de sécurité avant tout dispositif technique de détection, simplement parce qu’un salarié a vu passer une pratique interne anormale.
Le sujet touche enfin la responsabilité personnelle des dirigeants. Signalement mal traité, confidentialité rompue, sanction déguisée : autant de faits reprochables à un mandataire social, ce que couvrent en partie les garanties décrites dans l’assurance de responsabilité des dirigeants.
Sur le terrain, la fonction de référent alerte échoit le plus souvent à un juriste conformité ou à un déontologue, deux profils recensés parmi les métiers du droit en entreprise.
Prochaine étape : relever la date du dernier accusé de réception émis par le canal interne. Si le registre ne remonte à rien depuis six mois ou plus, auditer la diffusion de la procédure avant d’en réviser le contenu.