L’adaptation nécessaire du dispositif d'alerte interne suite à la promulgation de la loi visant à améliorer la protection des lanceurs d’alerte.

Afin de renforcer la protection des lanceurs d’alerte et prévenir les risques de représailles au sein de leur entreprise, la loi n°2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (dite « Loi Sapin 2 ») oblige les entreprises de plus de 50 salariés à mettre en place un dispositif d’alerte interne.

Conformément à l’article 17, II, 2° de la Loi, le dispositif d’alerte interne est « destiné à permettre le recueil des signalements émanant d’employés et relatifs à l’existence de conduites ou de situations contraires au code de conduite de la société » (I).

La loi n°2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte en élargissant la reconnaissance du statut de lanceur d’alerte au sein de l’entreprise et les informations pouvant être couvertes par la loi et en supprimant la hiérarchisation des canaux de signalement, oblige les entreprises à mettre à jour leur dispositif d’alerte interne. Elle entre en vigueur au 1er septembre 2022 (II).

I. La mise en place d’un dispositif d’alerte interne

Le dispositif d’alerte interne est la procédure mise en œuvre par les entreprises afin de permettre notamment à leurs employés de porter à la connaissance d’un référent dédié, un comportement ou une situation potentiellement contraire au code de conduite.

L’Agence Française Anticorruption préconise la mise en place d’un dispositif technique unique de recueil des signalements ouvert non seulement aux personnels mais également aux collaborateurs extérieurs et occasionnels.[1] Il doit être présenté sans délai aux collaborateurs venant de rejoindre l’entreprise.

Le dispositif s’applique à la dénonciation d’un large éventail de faits parmi lesquels sont visés notamment les atteintes aux règles en matière de passation des marchés publics, la prévention du blanchiment d’argent et de l’évasion fiscale, la protection de l’environnement, la protection de la vie privée et des données personnelles, les aides d’Etat etc.

Le dispositif d’alerte doit être sécurisé et doit notamment préciser :

• Le type d’information pouvant faire l’objet d’une alerte,
• Les personnes pouvant lancer l’alerte,
• Les canaux pour effectuer une alerte : il peut s’agir d’une adresse électronique dédiée, d’un logiciel de gestion voire, pour certaines entreprises, d’une plateforme dédiée,
• Les conditions de transmission, par l’auteur du signalement, des informations ou documents produits à l’appui de son signalement,
• En cas d’enquête interne, les informations et documents professionnels transmis par l’auteur de l’alerte et susceptibles d’être exploités,
• Les dispositions prises pour informer sans délai l’auteur du signalement de la réception de son alerte et du délai nécessaire à l’examen de sa recevabilité,
• Les dispositions prises pour informer de la clôture de la procédure l’auteur du signalement et, le cas échéant, les personnes visées par celui-ci.

Le respect par la personne signalant l’alerte de la procédure peut lui permettre de bénéficier du statut de lanceur d’alerte la protégeant ainsi contre les risques de licenciement, de harcèlement et /ou de représailles par son employeur.

II. L’adaptation nécessaire du dispositif d’alerte interne suite à la promulgation de la loi visant à améliorer la protection des lanceurs d’alerte

1. Un élargissement des faits pouvant faire l’objet d’une alerte

La loi visant à améliorer les lanceurs d’alerte du 21 mars 2022 entrant en vigueur au 1er septembre 2022 qui transpose la Directive européenne 2019/1937 du 23 octobre 2019 renforce la protection des lanceurs d’alerte en élargissant les personnes pouvant bénéficier du statut ainsi que les faits pouvant faire l’objet d’une alerte.

S’agissant des faits, alors que le lanceur d’alerte devait en avoir préalablement eu personnellement connaissance, la loi prévoit désormais que dans le contexte professionnel, le lanceur d’alerte peut signaler des faits rapportés par un tiers. L’obligation d’en avoir eu une connaissance personnelle subsiste cependant en dehors du cadre professionnel.

La condition de « violation grave et manifeste » d’un engagement international est supprimée et les informations pouvant être dénoncées sont celles portant sur :

« un crime, un délit, une menace ou un préjudice pour l’intérêt général, une violation ou une tentative de dissimulation d’une violation d’un engagement international régulièrement ratifié ou approuvé par la France, d’un acte unilatéral d’une organisation internationale pris sur le fondement d’un tel engagement, du droit de l’Union européenne, de la loi ou du règlement ».

Par ailleurs, les faits dénoncés peuvent également porter sur des « faits susceptibles de se produire » et pas seulement sur des actes qui se sont produits ce qui pourra poser des difficultés en pratique quant à la présomption d’innocence et à l’absence de matérialisation de l’acte si l’infraction reprochée est de commission.

Conformément aux dispositions actuellement en vigueur de la loi Sapin 2, le lanceur d’alerte doit agir de manière désintéressée ce qui exclut par exemple :

• Une personne entrant en conflit avec son employeur,
• Une personne victime de l’infraction signalée.

La loi renforçant la protection du lanceur d’alerte et entrant en vigueur à compter du 1er septembre 2022 prévoit comme seule condition que le lanceur d’alerte agisse sans contrepartie financière directe ce qui permet d’étendre la protection aux cas cités en exemple ci-dessus.

Le dispositif d’alerte devra donc être modifié pour prendre en compte ces modifications et garantir à la personne faisant le signalement qu’elle peut bénéficier du statut de lanceur d’alerte si elle agit sans contrepartie financière et si l’information dénoncée est couverte par la loi.

2. La suppression de l’obligation de passer par un signalement interne avant de pouvoir procéder à un signalement externe

L’article 8 de la loi Sapin 2 actuel prévoit que tout signalement doit d’abord être réalisé en interne et porté soit à la connaissance du supérieur hiérarchique, de l’employeur ou du référent désigné.

Ce n’est qu’en l’absence de diligences de la personne destinataire de l’alerte dans un délai raisonnable que le signalement adressé à l’autorité judiciaire, à l’autorité administrative ou aux ordres professionnels est considéré comme recevable.

En dernier ressort et en l’absence de traitement par le destinataire secondaire dans un délai de trois mois, le signalement peut être rendu public.

Désormais, la loi renforçant le statut du lanceur d’alerte prévoit que le lanceur d’alerte peut effectuer un signalement interne ou un signalement externe et supprime la hiérarchie entre les deux signalements.

Plus précisément, le lanceur d’alerte peut désormais effectuer un signalement interne notamment lorsqu’il estime qu’il « est possible de remédier efficacement à la violation par cette voie et qu’il ne s’expose pas à un risque de représailles ».

Il reste cependant essentiel au sein des entreprises d’encourager le signalement interne afin de pouvoir traiter les faits dénoncés et d’éviter ainsi que l’enquête soit confiée en premier lieu aux autorités judiciaires et administratives qui vont nécessairement devoir s’immiscer dans les affaires de l’entreprise.

Il convient donc de garantir et de rappeler au lanceur d’alerte dans le dispositif d’alerte interne que son signalement est pris en compte et ne pourra pas donner lieu à des représailles s’il est effectué de bonne foi avec la possibilité de pouvoir recourir à l’anonymat.

3. La durée de traitement des signalements

La loi renforçant la protection du lanceur d’alerte introduit un nouvel article dans la Loi Sapin 2 prévoyant que :

« les signalements ne peuvent être conservés que le temps strictement nécessaire et proportionné à leur traitement et à la protection de leurs auteurs, des personnes qu’ils visent et des tiers qu’ils mentionnent, en tenant compte des délais d’éventuelles enquêtes complémentaires. Des données relatives aux signalements peuvent toutefois être conservées au-delà de cette durée, à la condition que les personnes physiques concernées n’y soient identifiées, ni identifiables. Lorsqu’elles font l’objet d’un traitement, les données à caractère personnel relatives à des signalements sont conservées dans le respect du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ».

Il convient de modifier le dispositif d’alerte interne en rappelant ces durées de traitement et d’adapter également en interne la procédure afin que les signalements ne soient pas conservés au-delà de la durée légale.

Les entreprises d’au moins 50 salariés devront également compléter leur règlement intérieur pour y inscrire l’existence du dispositif de protecteur des lanceurs d’alerte mis en place.