La loi dite Sapin 2 du 9 décembre 2016 a institué, au-delà des protections sectorielles, un véritable droit commun du lanceur d’alerte
Cette loi n’a pas seulement prévu une protection générale des lanceurs d’alerte, au sein des entreprises, des collectivités et des administrations. Elle a imposé, en outre, la mise en place de processus de signalements au sein de ces entités.
Le statut du lanceur d’alerte a été renforcé, à la suite d’une directive européenne, par la loi dite Waserman du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte et par le décret d’application du 3 octobre 2022 sur les procédures de recueil et de traitement des signalements émis.
Ce décret impose à toutes les entreprises, dès lors qu’elles emploient au moins 50 salariés, d’instituer une procédure interne de recueil et de traitement des signalements.
LE CONTEXTE
Un élargissement considérable du domaine de l’alerte
Alors que la loi de 2016 permettait aux seuls membres du personnel et aux collaborateurs d’effectuer un signalement, la loi Waserman ouvre cette faculté aux anciens membres du personnel, aux candidats à un emploi, aux dirigeants, actionnaires, associés, titulaires de droit de vote, mais également aux cocontractants de l’entreprise, à leurs dirigeants et à leurs salariés (L., art. 8 I).
La loi étend également les faits susceptibles de signalements :
■ les violations d’une règle de droit signalées n’ont plus à être graves et manifestes ; en pratique n’importe quelle méconnaissance d’une règle devient susceptible de signalement,
■ la condition tenant à la connaissance personnelle des faits par le lanceur d’alerte n’est plus exigée lorsqu’il agit dans un contexte professionnel ; un salarié peut donc faire état de faits qui lui aurait été rapportés par d’autres, voire de simples rumeurs (L., art. 6 I).
La loi expose donc les entreprises à une multitude de signalements potentiels qu’elles devront être en mesure de traiter.
Une mise en concurrence des canaux de signalements internes et externes
La loi de 2016 prévoyait une hiérarchie entre trois types de signalements :
■ la priorité était donnée au signalement interne auprès du supérieur hiérarchique, de l’employeur ou du référent désigné par lui,
■ ce n’était que si le signalement interne n’avait pas été vérifié dans un délai raisonnable que le salarié pouvait procéder à un signalement externe auprès de l’autorité judiciaire, d’une autorité administrative ou aux ordres professionnelles,
■ enfin, sauf danger grave et imminent ou en présence d’un risque de dommage irréversible, l’alerte ne pouvait être rendue publique qu’en cas de défaut de traitement par l’autorité saisie d’un signalement externe dans un délai de trois mois.
La loi de 2022 supprime la chronologie entre les signalements interne et externe. Le lanceur d’alerte peut désormais adresser directement un signalement auprès d’une autorité, sans avoir préalablement procédé à un signalement auprès de l’entité concernée (L., art. 7-1). Rien n’interdit de mettre en oeuvre les deux canaux simultanément.
La divulgation publique de l’alerte reste, en revanche, l’issue ultime et ne peut, sauf danger grave et imminent, être opérée que lorsqu’un signalement externe n’a pas été suivi de mesures appropriées (L., art. 8 III).
Un renforcement des procédures de recueil et de traitement des signalements
Les dispositions antérieures prévoyaient que, dans l’entreprise, l’alerte était opérée auprès du supérieur hiérarchique, de l’employeur ou d’un référent désigné par lui.
S’il était prévu que les entreprises d’au moins 50 salariés devaient mettre en place une « procédure adaptée », les textes ne comportaient aucune réelle exigence quant à la teneur de cette procédure et aux garanties l’encadrant. Les textes ne prévoyaient aucune obligation particulière de traitement des alertes.
La loi de 2022 impose la mise en œuvre d’une procédure interne assortie de garanties et de délais de réponse. Elle a renvoyé à un décret d’application le soin de préciser ces éléments (L. art. 8 I).
C’est dans ce contexte qu’intervient le décret du 3 octobre, entré en vigueur le 5 octobre. Ce décret oblige les entreprises d’au moins 50 salariés à mettre en place une procédure interne ou à adapter la procédure qu’elles avaient déjà pu mettre en place.
LES MODALITÉS DE MISE EN PLACE
Les entreprises concernées
Seules les entreprises employant moins de 50 salariés sont dispensées de mettre en place une procédure. Si la protection des lanceurs d’alerte s’applique dans ces entreprises, il est simplement prévu que les signalements doivent être effectués auprès du supérieur hiérarchique, l’employeur ou un référent désigné par lui (L. art. 8 I B).
La mise en place d’une procédure interne s’applique dès que l’entreprise emploie au moins 50 salariés. L’obligation concerne donc des entreprises très diverses, de la PME à la très grande entreprise.
Le décret comporte une précision quant aux modalités de détermination du seuil d’effectif. Ce seuil n’est plus déterminé, au regard des dispositions du code du travail, mais sur deux exercices consécutifs au regard des dispositions du code de la sécurité sociale (D., art. 2 I). C’est là une simplification qui devrait permettre aux entreprises de se fonder sur les effectifs déterminés par l’URSSAF à partir des déclarations sociales.
L’acte instaurant la procédure de signalement
Le décret laisse aux entreprises la possibilité d’adopter l’ « instrument juridique » de leur choix (D., art. 3 I).
La procédure peut donc être en pratique établie par tout acte émanant de la direction de l’entreprise. La notice du décret prévoit, par exemple, que la procédure peut être mise en place par le biais d’une note de service.
Cette liberté s’explique par le fait que le champ de l’obligation concerne des entreprises très différentes, en termes d’effectif, mais également d’organisation et d’activités. Chaque entreprise doit donc pouvoir choisir l’instrument qu’elle estime le plus adapté à sa situation.
Par ailleurs, les lanceurs d’alerte visés par la loi ne sont pas nécessairement des personnes travaillant dans l’entreprise. L’instauration du dispositif par un acte à destination des seuls travailleurs – on pense ici au règlement intérieur – serait insuffisante.
L’information sur l’existence de la procédure
La mise en place du dispositif doit être précédée d’une consultation du comité social et économique (D., art. 3 I).
Le code du travail prévoit que le règlement intérieur doit rappeler l’existence du dispositif de signalement (C. trav., art. L. 1321-2).
De manière plus générale, le décret impose la diffusion de la procédure par tout moyen permettant une publicité suffisante et une accessibilité permanente à l’ensemble des personnes concernées par le dispositif d’alerte (D., art. 8). Le décret laisse aux entreprises le choix du ou des modes de diffusion de la procédure. Ce qui importe, c’est que toutes les personnes concernées par le dispositif d’alerte puissent concrètement en avoir connaissance et y avoir accès.
Dans la mesure où le lanceur d’alerte peut être une personne extérieure à l’entreprise, le site internet de l’entreprise paraît en pratique le mode d’accès le plus efficace.
L’information sur l’existence de la procédure
La mise en place du dispositif doit être précédée d’une consultation du comité social et économique (D., art. 3 I).
Le code du travail prévoit que le règlement intérieur doit rappeler l’existence du dispositif de signalement (C. trav., art. L. 1321-2).
De manière plus générale, le décret impose la diffusion de la procédure par tout moyen permettant une publicité suffisante et une accessibilité permanente à l’ensemble des personnes concernées par le dispositif d’alerte (D., art. 8). Le décret laisse aux entreprises le choix du ou des modes de diffusion de la procédure. Ce qui importe, c’est que toutes les personnes concernées par le dispositif d’alerte puissent concrètement en avoir connaissance et y avoir accès.
Dans la mesure où le lanceur d’alerte peut être une personne extérieure à l’entreprise, le site internet de l’entreprise paraît en pratique le mode d’accès le plus efficace.
LES DIFFÉRENTES ÉTAPES DE LA PROCÉDURE DE SIGNALEMENT
Le recueil des signalements et la délivrance d’un accusé de réception
Le décret prévoit que la procédure instaure un canal de réception permettant au lanceur d’alerte de déposer un signalement (D., art. 4 I).
L’entreprise définit librement le type de canal qu’elle entend mettre en place. Elle peut choisir de mettre en place de mettre en place un canal de recueil de signalements écrits ou oraux. Elle peut mettre en place les deux types de canaux.
Le décret précise que le canal de réception doit, en toute hypothèse, permettre la transmission de tout élément, quel qu’en soit la forme ou le support, de nature à étayer les faits signalés.
Si l’entreprise choisit de donner la possibilité de procéder au signalement de manière orale, il doit être précisé que, dans un premier temps, le signalement peut être effectué par téléphone ou messagerie vocale puis, dans un second temps, si le lanceur d’alerte le demande et selon son choix, par une rencontre physique ou par visio-conférence, dans les 20 jours du signalement. Toujours dans l’hypothèse d’un signalement oral, le décret impose que ce signalement soit consigné par écrit et que le lanceur d’alerte puisse vérifier, rectifier et approuver cette transcription en y apposant sa signature (D., art. 7 II).
Enfin, quelle qu’en soit la forme, le signalement doit être suivi d’un accusé de réception écrit dans un délai de 7 jours ouvrés (D., art. 4 I).
Le traitement des signalements
C’est sans doute la problématique la plus délicate à laquelle vont se trouver confrontées les entreprises, particulièrement les plus petites d’entre elles.
Le traitement sérieux des signalements est une condition indispensable à l’effectivité du dispositif et à sa crédibilité.
Le domaine de l’alerte a été considérablement augmenté et les entreprises sont susceptibles de faire face à une multitude de signalements, parfois sur le fondement de simples rumeurs. Tous les signalements ne méritent pas des investigations poussées – notamment des enquêtes internes – qui peuvent se révéler lourdes à mettre en œuvre et avoir des effets délétères dans l’entreprise.
Vont donc se poser, d’une part, la question des moyens nécessaires au traitement et, d’autre part, celle de l’évaluation des signalements.
S’agissant des moyens, il est certain que les entreprises devront mettre en œuvre des moyens matériels et humains nécessaires au traitement des alertes.
On précisera simplement que le décret tient compte de la situation des petites entreprises et autorise les entreprises de moins de 250 salariés, par décisions concordantes de leurs organes dirigeants, à mutualiser leurs moyens de réception et d’évaluation de l’exactitude des signalements (D. art. 7 II).
S’agissant de l’évaluation du signalement, le décret prévoit que la personne en charge du traitement doit s’assurer de la conformité du signalement aux conditions relatives à la protection du lanceur d’alerte (D. art. 4 II).
Le décret prévoit également la possibilité de demander des informations complémentaires pour s’assurer de cette conformité (D. art. 4 II) ou pour vérifier l’exactitude du signalement (D. art. 4 III).
Pour les groupes de sociétés, le décret prévoit la possibilité, s’il apparaît que les faits intéressent une autre société appartenant au même périmètre de consolidation, d’inviter l’auteur d’adresser son signalement à cette société. S’il apparaît que cette autre société du groupe serait en mesure de traiter le signalement de manière plus efficace, il est permis d’inviter l’auteur à retirer son signalement et à procéder au signalement selon la procédure en vigueur au sein de cette société (D. art. 4 II).
Les suites données au signalement et l’information du lanceur d’alerte
Schématiquement, on peut distinguer trois hypothèses.
Première hypothèse, le signalement ne respecte pas les conditions relatives à la protection des lanceurs d’alerte. Aucune investigation n’a alors à être mise en œuvre.
Deuxième hypothèse, il apparaît, après une première évaluation de l’exactitude du signalement, que les allégations sont inexactes ou que le signalement est devenu sans objet. Dans ce cas, il est procédé à la clôture du signalement (D. art. 4 III).
Troisième hypothèse, les allégations paraissent avérées. Dans ce cas, l’entreprise doit mettre en œuvre les moyens à sa disposition pour remédier à l’objet du signalement (D. art. 4 III). Ces moyens devront nécessairement être appréciés au cas par cas selon la nature et la gravité des faits signalés.
Quelle que soit l’hypothèse concernée, le décret impose d’informer l’auteur du signalement des suites qui y sont données dans un délai de trois mois à compter de l’accusé de réception du signalement ou, à défaut, du délai de sept jours pour accuser réception (D. art. 4 III).
L’auteur du signalement devra donc être informé par écrit :
■ soit des raisons permettant de considérer que son signalement ne relève pas du champ de la protection conférée aux lanceurs d’alerte (D. art. 4 II),
■ soit de la clôture du dossier,
■ soit des mesures envisagées ou prises pour évaluer l’exactitude des allégations et, le cas échéant, remédier à l’objet du signalement.
L'EXISTENCE DES GARANTIES
L’impartialité de la procédure
La loi Waserman prévoit que le décret doit définir « les garanties d’indépendance et d’impartialité de la procédure » (L. art. 8 I B).
Le décret est cependant peu disert sur ce point puisqu’il se borne à préciser que :
■ les personnes ou services désignés doivent disposer, par leur positionnement ou statut, de la compétence, de l’autorité et des moyens suffisants à l’exercice de leurs missions,
■ la procédure prévoit les garanties permettant l’exercice impartial de ces missions, sans donner plus de précision (D., art. 5 I).
En réalité, compte tenu de la très grande diversité des entreprises concernées et dès lors que le recueil et le traitement des signalements est effectué par des personnes qui appartiennent à l’entreprise, on ne pouvait pas s’attendre à ce que le décret fixe des critères trop stricts en matière d’indépendance et d’impartialité.
L’exigence d’impartialité doit, en réalité, conduire à confier ces missions à des salariés ou à des services qui n’appartiennent pas à la direction de l’entreprise et qui ne sont pas susceptibles d’exercer une autorité sur les potentiels auteurs de signalements. Ces salariés ou services doivent disposer d’une autonomie suffisante pour arrêter des positions susceptibles de déplaire aux dirigeants de l’entreprise.
Une telle mise en place ne pose pas de réelle difficulté dans les grandes entreprises qui sont déjà dotées de services internes dont l’objet est de s’assurer du respect des normes juridiques et éthiques. On pense ici aux services en charge de la conformité ou de la compliance.
De telles personnes « hors hiérarchie » pourront être plus difficiles à trouver dans les petites et moyennes entreprises.
Le décret prévoit alors la possibilité d’externaliser la gestion des signalements auprès d’un tiers indépendant (art. 7 I). La procédure peut, par exemple, être confiée à un avocat, qui ne devra pas être le conseil habituel de l’entreprise et dont la mission devra faire l’objet d’un cahier des charges précis.
La confidentialité de la procédure
La procédure doit prévenir toute divulgation d’information recueillie lors d’un signalement, notamment l’identité de l’auteur du signalement et de toute personne qui y est mentionnée (D. art. 6 I).
L’accès aux informations doit être strictement limité aux personnes en charge du recueil et de traitement des signalements. La communication d’informations à des tiers ne peut intervenir que si elle est nécessaire au traitement du signalement et dans les conditions prévues par la loi.
Sur ce point, on rappellera qu’en principe la communication d’éléments de nature à identifier le lanceur d’alerte ne peut intervenir qu’avec le consentement de ce dernier (L. art. 9 I). La seule exception concerne les faits qui doivent légalement être signalés à l’autorité judiciaire par toute personne en ayant connaissance. Dans ce cas, le lanceur d’alerte est informé par écrit de cette divulgation, sauf si celle-ci risque de compromettre l’enquête judiciaire.
La conservation des données
Selon la loi, le décret devait déterminer les modalités de conservation des données (L., art. 8 I B).
Le décret ne comporte cependant qu’une seule précision sur ce point relativement aux enregistrements, transcriptions et procès-verbaux établis en cas de signalement oral. Ces éléments ne pourront être conservés que le temps strictement nécessaire et proportionné à leur traitement et à la protection de l’auteur du signalement et des personnes mentionnées par celui-ci (D., art. 6 II).
Le décret ne fait ici que reprendre les règles relatives à la conservation du signalement fixées par la loi qui est même plus précise puisqu’elle prévoit, d’une part, que la conservation peut être prolongée pour tenir compte d’éventuelles enquêtes complémentaires et, d’autre part, que les données relatives peuvent être conservées au-delà de la durée nécessaire à condition que les personnes physiques concernées ne soient ni identifiées, ni identifiables (L., art. 9 III).
L’ABSENCE DE SANCTION
Aucune sanction n’est prévue si l’entreprise ne met pas en place de procédure ou que celle-ci n’est pas conforme aux exigences de la loi ou du décret. Aucune sanction n’est prévue dans l’hypothèse où les signalements ne seraient pas traités.
Il sera, bien entendu, possible, notamment pour une organisation syndicale, d’agir en justice pour demander la mise en place d’une procédure interne ou sa mise en conformité.
En réalité, les entreprises ont un réel intérêt à mettre en place des dispositifs internes de signalements crédibles qui permettent de traiter les signalements de manière efficiente. Si sa mise en place est contraignante et peut mobiliser des moyens importants, le dispositif de signalement interne permet à l’entreprise de connaître les alertes et d’y apporter la réponse qu’elle estime appropriée. Le signalement interne permet à l’entreprise de conserver une maîtrise sur les informations qu’elle reçoit et de prévenir les risques de diffusion inopportune, notamment en termes réputationnels ou judiciaires.
Or, on l’a vu, la loi ne garantit plus aux entreprises la primeur d’un signalement interne. Le lanceur d’alerte peut aujourd’hui faire un signalement externe auprès d’une autorité, sans avoir préalablement procédé au même signalement auprès de l’entreprise concernée.
Le décret fixe, à cet égard, une liste très étendue d’autorités habilitées à recevoir et à traiter des signalements. Il impose à ces autorités de mettre en place une procédure de recueil et de traitement des signalements et d’y répondre dans un délai de trois mois pouvant, en cas de nécessité et après information du lanceur d’alerte, être porté à six mois (D., art. 9 et s.). Par ailleurs, si la loi ne permet pas que l’absence de réponse au signalement interne ait pour effet d’autoriser la divulgation publique, elle prévoit, en revanche, que la protection du lanceur d’alerte joue en cas de divulgation publique, lorsque le lanceur a procédé à un signalement externe auprès d’une autorité publique et que celle-ci n’a pris aucune mesure appropriée dans le délai de retour (L. art., 8 III). La carence d’une autorité désignée pour répondre signalement externe fait donc courir un risque de divulgation publique à l’entreprise.
La promotion d’un dispositif interne protecteur et efficace est un moyen d’inciter les lanceurs d’alertes potentiels à utiliser ce dispositif, plutôt que des canaux externes de signalement. La crédibilité et l’efficience du dispositif doivent constituer des enjeux majeurs pour l’entreprise pour être en mesure de gérer des risques qu’elle ne pourra pas maîtriser en cas de signalement externe ou public.
