Depuis l’entrée en vigueur de la loi du 21 mars 2022, soit le 1er septembre 2022, le lanceur d’alerte se définit comme une personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, une violation ou une tentative de dissimulation d’une violation d’un engagement international.
Cette loi « visant à améliorer la protection des lanceurs d’alerte » a, par ailleurs, modifié les règles procédurales applicables en supprimant l’obligation pour le lanceur d’alerte d’introduire un signalement interne avant de recourir au signalement externe. Désormais, le lanceur d’alertes aura le choix entre signalement interne et signalement externe, et ce selon une procédure qui vient d’être précisée par décret.
Avant d’entrer dans le détail desdits décrets, il convient de rappeler que les entreprises d’au moins 50 salariés[1] ont l’obligation de mettre en place une procédure de signalement interne, en précisant qu’il s’agit d’une « procédure de recueil et de traitement » des alertes. Une procédure commune à plusieurs entreprise peut être mise en place, notamment au niveau d’un groupe de sociétés.
Ainsi, toute entreprise d’au moins 50 salariés doit mettre en place une procédure de signalement interne, l’employeur disposant toutefois du choix de l’« instrument juridique » qu’il souhaite utiliser : accord collectif, décision unilatérale, etc.
En revanche, l’employeur doit obligatoirement consulter au préalable le CSE.
La procédure interne doit désormais être organisée en deux étapes :
- Etape 1 : recueil des alertes
La procédure de signalement doit préciser le mode de réception des alertes qui peuvent être écrites ou orales. Le lanceur d’alerte doit par ailleurs être informé par écrit de la réception de son alerte dans un délai de 7 jours ouvrés.
A réception, l’employeur doit vérifier que les conditions d’exercice du droit d’alerte sont remplies : objet de l’alerte, bonne foi du lanceur d’alerte, absence de contrepartie directe, etc.
S’il estime que l’alerte ne remplit pas les conditions requises, il doit en informer le lanceur d’alerte en précisant les raisons de sa décision.
- Etape 2 : traitement des alertes
L’employeur doit assurer le traitement de l’alerte dès lors qu’elle remplit les conditions susvisées. Il peut demander toute information complémentaire au lanceur d’alerte.
L’employeur doit informer le lanceur d’alertes du traitement de son alerte dans un délai de 3 mois à compter de l’accusé de réception du signalement. Pour ce faire, il doit communiquer par écrit au lanceur d’alertes des informations relatives aux mesures envisagées ou prises pour évaluer l’exactitude des allégations et, le cas échéant, remédier à l’objet du signalement.
L’employeur doit clôturer le signalement lorsque les allégations sont inexactes ou infondées, ou lorsque le signalement est devenu sans objet. Le lanceur d’alerte doit en être informé par écrit.
La procédure de signalement interne doit indiquer la ou les personnes ou les services chargés de recueillir et de traiter les alertes. La réception et le traitement des alertes peuvent être confiés à des personnes ou services différents. En toute hypothèse, les personnes ou services désignés doivent disposer, par leur fonctionnement ou leur statut, de la compétence, de l’autorité et des moyens suffisants à l’exercice de leur mission.
Il convient de rappeler que, depuis 2017, il est possible de confier la réception des alertes à un tiers. Le traitement de l’alerte relève, en revanche, de la seule responsabilité de l’employeur.
Bien entendu, la procédure de signalement doit être conforme au RGPD : garantie de l’intégrité et de la confidentialité des informations recueillies (notamment l’identité du lanceur d’alertes et des personnes visées), interdiction de l’accès à ces informations aux salariés qui ne sont pas chargés de recueillir ou de traiter l’alerte, etc.
S’agissant du signalement externe, le décret du 3 octobre 2022 dresse la liste des « autorités compétentes » en fonction du domaine de l’alerte : la CNIL est compétente pour les alertes relatives à la protection de la vie privée des données personnelles, à la sécurité des réseaux et des systèmes d’information ; la DGT est compétente pour les alertes relatives aux relations individuelles et collectives de travail et conditions de travail ; la DGEFP est compétente pour les alertes relatives à l’emploi et à la formation professionnelle ; la DGCCRF est compétente pour les alertes relatives aux pratiques anti-concurrentielles dans le cadre des marchés publics ou encore s’agissant de la sécurité et la conformité des produits, la protection des consommateurs ; l’Inspection Générale de l’Environnement et du Développement Durable (IGEDD) est compétente pour les alertes relatives à la protection de l’environnement ; etc.
Sophie WATTEL
Avocat spécialiste en droit du travail
[1] Il convient d’appliquer les règles de décompte de l’effectif sécurité sociale.